Passwortstärke prüfen

Dieser Checker schätzt die Stärke eines Passworts, während du es eintippst, und berücksichtigt die Muster, die Angreifer zuerst ausprobieren. Er richtet sich an alle, die ein Passwort vor dem Einsatz beurteilen wollen, und an Teams, die für Sicherheit sensibilisieren, mit Stufe, Entropie, Knackzeit und Tipps.

Das Tool berechnet zuerst eine Basis-Entropie mit der Formel Länge × log2(Alphabetgröße), wobei das Alphabet aus den vorhandenen Zeichentypen abgeleitet wird: 26 Klein-, 26 Großbuchstaben, 10 Ziffern und Sonderzeichen. Danach zieht es für vorhersehbare Muster ab: Treffer in der Liste der häufigsten Passwörter, Tastaturfolgen wie qwerty, azerty oder 12345, wiederholte Zeichen (aaaa), alphabetische oder numerische Folgen (abcd, 6789), Jahreszahlen und Daten. So hat Qwerty2024! zwar 11 Zeichen und 4 Typen, kombiniert aber eine Tastaturfolge mit einer Jahreszahl, zwei Dinge, die Angriffswörterbücher sofort testen, und die Schätzung sinkt deutlich. Das Ergebnis ist eine Stufe von sehr schwach bis sehr stark mit der geschätzten Entropie in Bit.

Die Knackzeit ist die Zahl der Kombinationen (2 hoch Entropie) geteilt durch eine Rate an Versuchen, in zwei Szenarien. Online geht der Angreifer über das Anmeldeformular und ist durch Rate Limiting oder Sperren auf wenige Versuche pro Sekunde begrenzt. Offline hat er eine Datenbank mit schnellen Hashes (MD5, SHA-1, ungesalzenes SHA-256) gestohlen und testet 10 Milliarden Passwörter pro Sekunde, etwa die Leistung eines GPU-Cracking-Rechners. Ein zufälliges Passwort aus 8 Kleinbuchstaben (rund 2 × 10¹¹ Kombinationen) hält online also Jahrhunderte, offline aber nur etwa zwanzig Sekunden. Es handelt sich um eine Schätzung, keine Garantie: Das Tool prüft nicht, ob das Passwort in einem Datenleck vorkommt, da es keinen Netzwerkaufruf macht.