Da ist der Wurm drin: if ($row !== false && password_verify

[dedlfix]

Tach!

Beides würde in deinem Fall heißen, dass deine Abfrage auf $rows !== FALSE fehlschlägt, weil in $rows der Wert NULL oder ein leeres Array steht.

Mit einfachem Debugging kann man sich darüber Gewissheit verschaffen. Sollte man immer tun, wenn Wunsch und Wirklichkeit nicht übereinstimmen. var_dump($row); klärt auf.

dedlfix.