Zum Hauptinhalt springen
Kalcufy

Passwort-Stärke-Rechner

Analysieren Sie Passwort-Entropie, erkennen Sie schwache Muster und schätzen Sie Knackzeiten über 7 Angriffsszenarien — einschließlich Quantencomputing. 100% privat, nichts verlässt Ihren Browser.

Passwort-Sicherheit Best Practices

  • Verwenden Sie 16+ Zeichen — jedes zusätzliche Zeichen erhöht die Sicherheit exponentiell. Länge schlägt Komplexität.
  • Vermeiden Sie vorhersagbare Muster: Tastaturwege (qwerty), Sequenzen (12345), wiederholte Zeichen (aaa) und Leet-Speak (P@$$w0rd).
  • Passphrasen aus 5+ zufälligen Wörtern sind leicht zu merken und bieten 60+ Bits Entropie.
  • Verwenden Sie einen Passwort-Manager, um wirklich zufällige, einzigartige Passwörter für jedes Konto zu generieren.

Was ist Passwort-Entropie?

Passwort-Entropie misst die Unvorhersagbarkeit eines Passworts in Bits. Sie repräsentiert die Anzahl binärer Ja/Nein-Entscheidungen, die ein Angreifer treffen muss, um Ihr Passwort durch Brute-Force zu erraten. Ein Passwort mit 40 Bits Entropie hat 2⁴⁰ (etwa 1,1 Billionen) mögliche Kombinationen. Jedes zusätzliche Bit verdoppelt den Suchraum und macht das Passwort exponentiell schwerer zu knacken. Die Formel ist: Entropie = Länge × log₂(Zeichensatzgröße). Zum Beispiel hat ein 8-Zeichen-Passwort mit nur Kleinbuchstaben (Zeichensatz = 26) 8 × 4,7 = 37,6 Bits Entropie. Jedoch nimmt die Roentropie an, dass jedes Zeichen perfekt zufällig ist — echte Passwörter enthalten oft Muster, die ihre effektive Stärke reduzieren. Dieser Rechner erkennt diese Muster und wendet Strafen an, um Ihnen eine realistischere Sicherheitsbewertung zu geben.

Wie dieser Rechner funktioniert

Dieser Rechner geht über einfache Entropie-Mathematik hinaus, indem er eine mehrstufige Analyse anwendet. Zuerst berechnet er die Roentropie aus Zeichensatzgröße und Passwort-Länge. Dann scannt er nach Schwachstellen-Mustern: häufige Passwörter (Top 200 aus Breach-Datenbanken), Tastaturwege (qwerty, asdf), sequenzielle Zeichen (abc, 123), wiederholte Zeichen (aaa), Leet-Speak-Substitutionen (@ für a, 0 für o) und nachgestellte Jahresmuster (2024, 2025). Jedes erkannte Muster wendet eine Entropie-Strafe an und produziert einen 'effektive Entropie'-Score, der die reale Knackbarkeit besser widerspiegelt. Knackzeiten werden für 7 Szenarien geschätzt: von ratenbegrenzten Online-Angriffen (100 Versuche/Sek) bis zu theoretischen Quantencomputern mit Grovers Algorithmus (der die effektive Bit-Länge halbiert). Alle Analysen laufen vollständig in Ihrem Browser — Ihr Passwort wird niemals irgendwohin übertragen.

Kritische Sicherheitsüberlegungen

  • Länge schlägt Komplexität: ein 20-Zeichen-Kleinbuchstaben-Passwort (94 Bits) ist stärker als ein 8-Zeichen-gemischtes Passwort (52 Bits). Priorisieren Sie immer die Länge.
  • Häufige Passwörter wie 'Password123!' haben nahezu null echte Entropie, obwohl sie alle Zeichentypen verwenden. Angreifer prüfen zuerst Wörterbuch- und Breach-Listen.
  • Tastaturmuster (qwerty, zxcv), Sequenzen (abcd, 1234) und Leet-Speak (P@$$w0rd) sind das Erste, was Knack-Tools nach Wörterbüchern probieren.
  • Passphrasen aus 5+ zufälligen Wörtern bieten 60+ Bits Entropie und sind viel einfacher zu merken als zufällige Zeichenketten.
  • Passwort-Manager generieren wirklich zufällige Passwörter — der einzige Weg, maximale Entropie zu garantieren. Verwenden Sie einen für jedes Konto.
  • Multi-Faktor-Authentifizierung (MFA) schützt Sie selbst bei kompromittierten Passwörtern. Aktivieren Sie sie überall, besonders für E-Mail, Banking und Cloud-Konten.

Entropie-Stärke-Level

  • 0–28 Bits (Sehr Schwach): In Sekunden knackbar. Umfasst häufige Passwörter, kurze PINs, einzelne Wörterbuch-Wörter und triviale Muster.
  • 28–35 Bits (Schwach): Offline in Minuten bis Stunden knackbar. Kurze gemischte Passwörter, einfache Substitutionen wie P@ss, Telefonnummern.
  • 36–59 Bits (Ordentlich): Dauert Tage bis Jahre offline. Mittellange Passwörter mit etwas Komplexität. Nur für niedrigwertige Konten geeignet.
  • 60–79 Bits (Stark): Würde Jahrzehnte bis Jahrhunderte dauern. Lange Passwörter oder 4+ Wort-Passphrasen. Gut für die meisten Konten.
  • 80–127 Bits (Sehr Stark): Praktisch unknackbar mit aktueller Technologie. Zufällige 16+ Zeichen-Passwörter. Empfohlen für kritische Konten.
  • 128+ Bits (Maximum): Übersteigt Verschlüsselungs-Sicherheit. Selbst Quantencomputer bräuchten astronomische Zeit. Übertrieben für die meisten Zwecke.

Passwort-Entropie-Beispiele

Schritt-für-Schritt-Berechnungen zeigen rohe vs. effektive Entropie

Schwach: password123

  1. Zeichensatz: Kleinbuchstaben (26) + Ziffern (10) = 36
  2. Länge: 11 Zeichen
  3. Rohe Entropie = 11 × log₂(36) = 11 × 5,17 = 56,8 Bits
  4. ⚠️ Muster erkannt: häufiges Passwort-Match → −30 Bits Strafe
  5. ⚠️ Muster erkannt: sequenzielle Ziffern (123) → −10 Bits Strafe
  6. Effektive Entropie = 56,8 − 40 = 16,8 Bits → Sehr Schwach

Trotz 56,8 Bits roher Entropie beträgt die effektive Entropie nur 16,8 Bits, weil 'password123' in jeder Breach-Datenbank steht. Es würde sofort geknackt.

Stark: kQ8#mL!2xP$5nR7&wZ

  1. Zeichensatz: Klein (26) + Groß (26) + Ziffern (10) + Symbole (32) = 94
  2. Länge: 18 Zeichen
  3. Rohe Entropie = 18 × log₂(94) = 18 × 6,55 = 117,9 Bits
  4. ✅ Keine Muster erkannt → 0 Strafe
  5. Effektive Entropie = 117,9 Bits → Sehr Stark
  6. GPU-Cluster Knackzeit: 2,1 × 10¹⁵ Jahre

117,9 Bits ohne Strafen. Dieses wirklich zufällige Passwort ist praktisch unknackbar mit aktueller oder naher Zukunftstechnologie.

Häufig Gestellte Fragen

Ist es sicher, mein echtes Passwort hier einzugeben?

Ja. Dieser Rechner läuft 100% in Ihrem Browser mit JavaScript — Ihr Passwort wird niemals an einen Server, API oder Drittanbieter gesendet. Alle Analysen finden lokal auf Ihrem Gerät statt. Sie können dies überprüfen, indem Sie die Internetverbindung trennen und den Rechner offline verwenden. Wir speichern, protokollieren oder übertragen Ihre Eingabe niemals.

Was ist der Unterschied zwischen roher und effektiver Entropie?

Rohe Entropie ist das theoretische Maximum basierend nur auf Passwort-Länge und Zeichensatzgröße (die klassische Formel: Länge × log₂(Zeichensatz)). Effektive Entropie berücksichtigt reale Schwächen: wenn Ihr Passwort häufige Wörter, Tastaturmuster, sequenzielle Zeichen oder Leet-Speak-Substitutionen enthält, müssen Angreifer nicht jede Kombination per Brute-Force probieren. Sie versuchen diese Muster zuerst. Effektive Entropie subtrahiert Strafen für jedes erkannte Muster und gibt einen realistischeren Sicherheits-Score.

Wie lang sollte mein Passwort sein?

Mindestens 14 Zeichen, idealerweise 16 oder mehr. NIST SP 800-63B empfiehlt mindestens 8 Zeichen als Basis, aber moderne Sicherheitsexperten und Organisationen wie CISA empfehlen 16+. Jedes zusätzliche Zeichen multipliziert den Suchraum mit der Zeichensatzgröße — ein Zeichen zu einem gemischten alphanumerischen Passwort hinzuzufügen multipliziert die Brute-Force-Schwierigkeit um 62×. Ein 20-Zeichen-Passwort hat über eine Milliarde Mal mehr Kombinationen als ein 14-Zeichen-Passwort mit demselben Zeichensatz.

Sind Passphrasen besser als zufällige Passwörter?

Für die Merkbarkeit, ja. Eine 5-Wort-Passphrase aus einer 7.776-Wort-Liste (wie EFFs Diceware) hat etwa 64 Bits Entropie — äquivalent zu einem 10-Zeichen zufälligen gemischten Passwort. Eine 7-Wort-Passphrase erreicht 90 Bits. Passphrasen sind viel einfacher zu tippen und zu merken. Jedoch müssen die Wörter wirklich zufällig sein (nicht ein Satz, den Sie natürlich sagen würden). Für maximale Sicherheit ist ein zufälliges 18+ Zeichen-Passwort aus einem Passwort-Manager immer noch der Goldstandard.

Was ist das Quantencomputing-Szenario?

Grovers Algorithmus erlaubt einem Quantencomputer, eine unsortierte Datenbank in √N Operationen statt N zu durchsuchen. Für Passwörter halbiert dies effektiv die Entropie-Bits: ein 128-Bit-Passwort wird gegen einen Quantenangriff äquivalent zu 64 Bits. Aktuelle Quantencomputer sind viel zu klein und fehleranfällig dafür, aber es ist eine nützliche Planungsmetrik. Die Standardempfehlung ist, Passwörter mit 128+ Bits Entropie zu verwenden, um selbst gegen zukünftige Quantenbedrohungen sicher zu bleiben.

Warum schneidet 'P@$$w0rd!' trotz aller Zeichentypen schlecht ab?

Weil echte Angreifer nicht Zeichen für Zeichen per Brute-Force vorgehen — sie verwenden Wörterbücher, Breach-Datenbanken und regelbasierte Angriffe, die häufige Substitutionen zuerst probieren. 'P@$$w0rd!' ist eine Leet-Speak-Variante des weltweit häufigsten Passworts Nr. 1. Passwort-Knacker wie Hashcat und John the Ripper enthalten Regeln, die automatisch a→@, s→$, o→0 und ähnliche Substitutionen probieren. Die Roentropie-Formel nimmt an, dass jedes Zeichen zufällig ist, aber diese Muster machen das Passwort hochgradig vorhersagbar.

Quellen