Passwort-Stärkemesser
Bewerten Sie die Passwortsicherheit mit Entropieanalyse, Schätzung der Knackzeit und umsetzbaren Verbesserungstipps.
Stärkeanalyse
Entropie
--
Bits
Geschätzte Knackzeit
--
bei 1 Mrd. Versuchen/Sek.
Verbesserungstipps
- Geben Sie ein Passwort ein, um Rückmeldung zu erhalten
Anleitung
- Passwort eintippen: Das zu bewertende Passwort eingeben.
- Wert ablesen: Sofortige Bewertung von 0–100 mit einer Stufe von Sehr schwach bis Sehr stark.
- Entschlüsselungszeit prüfen: Wie lange Brute-Force bei einer Milliarde Versuche pro Sekunde bräuchte.
- Feedback folgen: Die konkreten Vorschläge umsetzen, etwa Symbole oder Länge hinzufügen.
Funktionen
- Entropiebasierte Bewertung von 0–100 mit fünf Stärkestufen
- Realistische Entschlüsselungszeiten von „sofort“ bis „Jahrhunderte“
- Konkretes, umsetzbares Feedback statt einer nackten Zahl
- Erkennt fehlende Zeichenklassen (Kleinbuchstaben, Großbuchstaben, Ziffern, Symbole)
- 100 % clientseitig — nichts wird übertragen oder protokolliert
Wie Passwortstärke gemessen wird
Stärke ist im Kern eine Frage der Entropie: wie viele Versuche ein Angreifer im Schnitt braucht, um Ihr Passwort zu finden. Entropie wird in Bits gemessen, und jedes zusätzliche Bit verdoppelt den Suchraum. Dieser Raum hängt von zwei Dingen ab — Passwortlänge und Größe des Zeichenpools. Nur Kleinbuchstaben ergibt einen Pool von 26; Großbuchstaben, Ziffern und Symbole wachsen lassen ihn auf 95. Mathematisch ist Entropie Länge mal dem Basis-2-Logarithmus der Poolgröße, weshalb Länge Komplexität schlägt: von 8 auf 12 Kleinbuchstaben gibt rund 19 Bits, während Symbole in 8 Zeichen einzustreuen weit weniger bringt. Dieses Tool berechnet diese Entropie, ordnet sie fünf Stufen zu (28 Bit und darunter Sehr schwach, über 127 Sehr stark) und leitet die Entschlüsselungszeit durch die Annahme von einer Milliarde Versuche pro Sekunde ab.
Anwendungsfälle
- Neue Konten: Ein Passwort prüfen, bevor es einem wichtigen Dienst anvertraut wird.
- Sicherheitsaudits: Passwörter prüfen, die Sie noch über alte Konten wiederverwenden.
- Passphrase-Design: Eine lange Passphrase mit einem kurzen komplexen Passwort vergleichen.
- Aufklärung: Anderen zeigen, warum „P@ssw0rd!“ schwächer ist, als es aussieht.
Tipps für starke Passwörter
Länge schlägt Raffinesse: Eine 16-Zeichen-Passphrase aus zufälligen Wörtern ist sowohl stärker als auch leichter zu merken als Ersetzungen wie „Tr0ub4dor&3“, weil vorhersehbare Muster — großer Anfangsbuchstabe, Zahl am Ende, Leetspeak — das sind, was Knackwerkzeuge zuerst probieren. Verwenden Sie Passwörter nie sitesübergreifend: Eine durchbrochene Datenbank macht ein wiederverwendetes Passwort zum Hauptschlüssel, und keine Entschlüsselungszeitschätzung schützt davor. Die Einrichtung, die die meisten Profis empfehlen, ist ein Passwortmanager mit einem eindeutigen Zufallspasswort pro Seite, geschützt durch eine einzige lange Master-Passphrase — das eine Passwort, das Sie auswendig lernen müssen, und das eine, das Sie hier gestalten.
Verwandte Tools
Häufig gestellte Fragen
Wird mein Passwort an einen Server gesendet?
Nein. Die gesamte Passwortanalyse erfolgt vollständig in Ihrem Browser mittels JavaScript. Ihr Passwort verlässt niemals Ihr Gerät und wird nirgendwo gespeichert oder übertragen.
Wie wird die Passwortstärke berechnet?
Die Stärke wird mittels Shannon-Entropie berechnet, die sowohl die Passwortlänge als auch die Vielfalt der verwendeten Zeichentypen (Kleinbuchstaben, Großbuchstaben, Ziffern, Sonderzeichen) berücksichtigt. Eine höhere Entropie bedeutet ein stärkeres Passwort. Der Wert wird auf eine Skala von 0 bis 100 abgebildet.
Was ist ein guter Passwortstärke-Wert?
Ein Wert von 60 oder höher gilt als „Stark“. Streben Sie mindestens 12 Zeichen mit einer Mischung aus Großbuchstaben, Kleinbuchstaben, Zahlen und Sonderzeichen an. Ein „Sehr starkes“ Passwort (Wert 100) verwendet eine lange, zufällige Kombination aller Zeichentypen.
Wie genau ist die Schätzung der Knackzeit?
Die Knackzeit geht davon aus, dass ein Angreifer 1 Milliarde Versuche pro Sekunde durchführen kann (ungefähr die Geschwindigkeit eines modernen GPU-Clusters). Es ist eine vernünftige Schätzung für Brute-Force-Angriffe, berücksichtigt jedoch keine Wörterbuchangriffe oder durchgesickerte Passwörter.