Passwortstärke prüfen: Entropie, Rateversuche und Zeit

So verwenden Sie es

Tippen Sie ein Passwort in das Feld Passwort ein. Es ist verborgen. Drücken Sie Anzeigen, um zu lesen, was Sie eingegeben haben.
Lesen Sie die Geschätzte Entropie und die Angabe unter Stärke ab. Mehr Bit bedeuten mehr Rateversuche für einen Angreifer.
Prüfen Sie die Zeilen Zeit bis zum Knacken für die drei genannten Raten und die NIST-Prüfungen darunter.
Sehen Sie sich Gefundene Muster an, um zu erkennen, welche Teile des Passworts ein Rater zuerst ausprobieren würde.

So wird die Schätzung berechnet

Jedes Zeichen, das kein Muster abdeckt, kostet log2 des Pools, also der Anzahl der Zeichen, die die Klassen des Passworts erlauben: 26 Kleinbuchstaben, 26 Großbuchstaben, 10 Ziffern, 33 Sonderzeichen und Leerzeichen und 100 für andere Zeichen. Ein Muster kostet seine eigenen Bits: Ein Wort aus der Liste gängiger Passwörter kostet die Bits seines Rangs, eine Wiederholung oder eine Folge in Reihe kostet wenig, und ebenso ein Weg über benachbarte Tasten oder eine Jahreszahl.

Die Schätzung ist der günstigste Weg, das Passwort in Zeichen und Muster zu zerlegen. Die Reihenfolge, in der ein Rater die Teile ausprobieren würde, wird nicht mitgezählt, daher kann die Schätzung etwas zu niedrig sein. Jede Zahl ist ein Modell für die Größenordnung, keine Messung eines echten Angriffs.

Entropie, wenn zufällig = Länge × log2(Pool);   Schätzung = günstigste Zerlegung in Zeichen und Muster

Was NIST SP 800-63B sagt

Ein Passwort, das allein verwendet wird, muss mindestens 15 Zeichen haben. Ein Passwort, das nur als Teil einer Mehr-Faktor-Anmeldung dient, darf 8 haben. Ein Prüfer sollte mindestens 64 Zeichen annehmen und Leerzeichen sowie alle druckbaren Zeichen zulassen.

Prüfer dürfen keine Zusammensetzungsregeln wie eine Mischung aus Zeichenarten vorschreiben und keinen regelmäßigen Wechsel erzwingen, solange kein Hinweis auf eine Kompromittierung vorliegt. Sie müssen das ganze Passwort mit einer Liste gängiger oder kompromittierter Passwörter vergleichen, sollten das Einfügen erlauben und müssen Passwort-Manager und automatisches Ausfüllen zulassen.

Rechenbeispiel: Password2026

Password2026 hat 12 Zeichen aus 62 möglichen (Kleinbuchstaben, Großbuchstaben und Ziffern). Wäre es zufällig, läge seine Entropie bei 12 × log2(62), also bei 71,5 Bit.

Das Muster ist günstig: password ist das erste Wort der gängigen Liste (Rang 1) und kostet 0 Bit, dazu kommt 1 Bit für das große P. 2026 ist eine Jahreszahl und kostet log2(140), etwa 7,1 Bit. Die Schätzung liegt bei 8,1 Bit: schwach, mit etwa 280 Versuchen im Mittel. Das Passwort fällt daher schon bei der Online-Rate in einem Bruchteil einer Sekunde.

Häufig gestellte Fragen

Wird das Passwort an einen Server gesendet oder gespeichert?

Nein. Die Seite analysiert das Passwort in Ihrem Browser und stellt keine Anfrage, die es enthält. Die Liste gängiger Passwörter ist eine Datei, die diese Seite ausliefert, sie wird also geladen. Das Passwort selbst wird aber nie gesendet, und ein Neuladen vergisst es.

Warum ist Password1! schwach, obwohl es einen Großbuchstaben, eine Ziffer und ein Sonderzeichen hat?

Rater probieren zuerst gängige Wörter mit den üblichen Zusätzen aus, daher bringt die Mischung der Zeichenarten wenig. NIST SP 800-63B nennt genau dieses Beispiel und stellt fest, dass Zusammensetzungsregeln wenig bringen. Länge und ein Abgleich mit gängigen Passwörtern zählen mehr.

Was bedeutet die Entropie-Angabe?

Sie ist die Zahl der Bits in der geschätzten Auswahl des Passworts. Jedes zusätzliche Bit verdoppelt die Versuche, die im Mittel nötig sind. 60 Bit sind daher weit schwerer zu erraten als 40.

Warum unterscheiden sich die drei Zeiten so stark?

Sie nutzen drei genannte Raten: einen Online-Angriff ohne Begrenzung, einen Offline-Angriff auf eine langsame Hash-Funktion und einen Offline-Angriff auf eine schnelle Hash-Funktion auf einer Grafikkarte. Echte Angreifer weichen von allen dreien ab. Die Raten zeigen nur die Größenordnung.

Heißt ein starkes Ergebnis, dass das Passwort sicher zu verwenden ist?

Nicht allein. Die Seite prüft nicht, ob das Passwort abgeflossen oder auf einer anderen Seite wiederverwendet wurde. Verwenden Sie für jedes Konto ein eigenes Passwort und einen Passwort-Manager, um sie zu verwalten.

Warum 15 Zeichen, wenn NIST 8 erlaubt?

NIST setzt 15 für ein Passwort, das allein verwendet wird, und erlaubt 8, wenn es ein Faktor einer Mehr-Faktor-Anmeldung ist. Die Seite zeigt den Wert für einen einzelnen Faktor, weil er der strengere ist.

Warum ist die Liste gängiger Passwörter so kurz?

NIST rät zu einer Sperrliste gängiger Werte und sagt, dass eine übermäßig große Liste wenig bringt. Die Seite nutzt die 10.001 gängigsten Passwörter aus der Liste SecLists, die unter der MIT-Lizenz veröffentlicht ist.

Quellen

Zahlen und Text zuletzt geprüft: Dienstag, 10. November 2026.