Passwortstärke-Prüfer

Entropie misst, wie unvorhersehbar ein Passwort ist, angegeben in Bits, wobei jedes zusätzliche Bit die Anzahl der Versuche verdoppelt, die ein Angreifer benötigt. Dieser Check berechnet sie als Länge multipliziert mit dem Logarithmus zur Basis 2 der Zeichenpool-Größe. Der Pool wächst mit jedem verwendeten Zeichentyp: 26 für Kleinbuchstaben, 26 für Großbuchstaben, 10 für Ziffern und 32 für Sonderzeichen — ein gemischtes Passwort mit Groß-/Kleinschreibung, Zahlen und Sonderzeichen schöpft also aus einem Pool von 94. Das bedeutet, dass eine größere Länge weit mehr Entropie hinzufügt als das bloße Einfügen eines einzelnen Sonderzeichens, weil die Länge den gesamten Pool-Exponenten multipliziert. Die Schätzung wird bewusst niedrig gehalten, wenn dein Passwort einem bekannten, häufig verwendeten Passwort entspricht oder auf einem vorhersehbaren Muster beruht, da solche Passwörter unabhängig von der theoretischen Bit-Zahl einer Wortliste zum Opfer fallen. Gib oben ein Passwort ein, um seine genaue Entropie in Bits zu sehen.

Wie schnell ein Passwort fällt, hängt vollständig davon ab, wie es angegriffen wird — deshalb zeigt dieses Tool geschätzte Knackzeiten für sechs realistische Szenarien statt einer einzigen Zahl. Ein gedrosseltes Online-Login erlaubt nur etwa 100 Versuche pro Sekunde, ein ungedrosselter Endpunkt rund 10.000, und bcrypt mit Cost 12 bleibt bewusst langsam bei nahezu 10.000. Wurde dein Passwort in einer geleakten Datenbank jedoch als schneller Hash gespeichert, ändert sich die Rechnung drastisch: SHA-256 erlaubt etwa 10 Milliarden Versuche pro Sekunde, MD5 rund 100 Milliarden, und ein GPU-Cluster, das NTLM angreift, bis zu 100 Billionen. Dasselbe Passwort, das gegen ein gedrosseltes Formular Jahrhunderte überstehen würde, kann in Sekunden fallen, sobald ein schwacher, ungesalzener Hash geleakt wird. Genau dieser Unterschied zeigt, warum Länge und Zufälligkeit mehr zählen als eine einzelne clevere Ersetzung. Gib oben einen Kandidaten ein, um alle sechs Szenarien nebeneinander zu vergleichen.

In der Regel ja, und der Grund ist die Entropie. Da Zufälligkeit mit der Länge skaliert, erzeugen vier oder fünf unabhängige, zufällige Wörter typischerweise mehr Bits als eine kurze, achtstellige Zeichenkette voller Sonderzeichen — und sind dabei viel leichter zu merken. Ein kurzes Passwort hat außerdem weniger Gesamtpositionen, die ein Angreifer durchsuchen muss, weshalb ein zusätzliches Sonderzeichen kaum etwas bewirkt im Vergleich zu mehreren zusätzlichen Zeichen. Der Haken: Die Wörter müssen wirklich zufällig und unabhängig voneinander sein; ein berühmtes Zitat oder eine vorhersehbare Phrase steht bereits in Cracking-Wortlisten. Dieses Tool enthält einen integrierten Passphrasen-Generator, bei dem du die Anzahl der Wörter und das Trennzeichen festlegst, sowie eine Vergleichsansicht, um eine Passphrase gegen ein sonderzeichenlastiges Passwort bei Stärke, Entropie und Knackzeit antreten zu lassen. Erzeuge oben beides und beobachte, wie die längere Passphrase meist gewinnt.

Solche Ersetzungen werden Leetspeak genannt, und Angreifer rechnen damit. Moderne Cracking-Wortlisten wenden automatisch gängige Substitutionen wie @ für a, 0 für o, 3 für e und 1 für i an und testen anschließend die transformierten Varianten jedes Wörterbuchworts und bekannten Passworts. Aus „passwort“ wird durch „p@sswort“ also nichts wirklich Neues — es entsteht lediglich eine Zeichenkette, die eine Wortliste ohnehin generiert, weshalb dieser Check sie als vorhersehbar einstuft und den Stärke-Score niedrig hält. Dieselbe Logik gilt für Tastatur-Muster wie qwerty oder asdf, wiederholte Zeichen wie aaa oder 111 und einfache Sequenzen. Echte Stärke entsteht durch Länge und tatsächliche Zufälligkeit, nicht durch das Verkleiden eines gängigen Worts. Gib dein Passwort oben ein — die Kriterien-Checkliste zeigt dir genau, welche Muster wie Substitutionen, Wiederholungen und Sequenzen es schwächen.

Eine Leck-Prüfung zeigt dir, ob ein Passwort bereits in einem bekannten Datenleck aufgetaucht ist — das ist wichtig, weil Angreifer geleakte Zugangsdaten direkt in ihre erste Angriffsrunde einspeisen. Der sichere Weg dafür nutzt eine Technik namens k-Anonymität: Dein Passwort wird lokal gehasht, und nur die ersten paar Zeichen dieses Hashes werden an den Abfragedienst gesendet, der alle geleakten Hashes mit demselben Präfix zurückliefert. Dein Browser gleicht die Treffer dann offline ab, sodass das vollständige Passwort niemals dein Gerät verlässt. Dieses Tool verlinkt zu HaveIBeenPwned, das genau diese Teil-Hash-Bereichsabfrage nutzt und die Prüfung dadurch privat hält. Ein Passwort kann bei Länge und Entropie gut abschneiden und trotzdem unsicher sein, einfach weil es wiederverwendet wurde und anderswo bereits offengelegt ist. Bewerte dein Passwort zuerst hier und folge dann dem Leck-Link, um zu bestätigen, dass es noch nicht geleakt ist.