Passwort-Stärke-Tester (Entropie + Knackzeit)

Was ‚Entropie' bei Passwörtern bedeutet

Entropie misst Unvorhersehbarkeit in Bits. Ein Passwort mit 30 Bits Entropie braucht im Durchschnitt ~2³⁰ ≈ 1 Milliarde Versuche zum Knacken. 70+ Bits gilt allgemein als stark; 80+ als ausgezeichnet.

Formel: Entropie = Länge × log₂(Zeichensatz-Größe). ‚abcdefgh' (8 Zeichen, nur Kleinbuchstaben) = 8 × log₂(26) ≈ 37,6 Bits. ‚aA1!aaaa' (8 Zeichen, alle Zeichensätze) = 8 × log₂(95) ≈ 52,6 Bits – aber die Knackzeit ist viel schlechter als 52 Bits nahelegen, weil ‚aaaa' ein gängiges Muster ist.

Warum Knackzeiten so stark variieren

Offline-GPU: ein gestohlener Passwort-Hash wird offline angegriffen. Moderne GPUs können 10⁹+ MD5-Hashes pro Sekunde erraten; bcrypt-Hashes nur 10⁴–10⁵/s. Die Schätzung hier verwendet die GPU-schnelle Hash-Annahme.

Online schnell: ein Angreifer, der direkt eine Login-API angreift. Die meisten APIs haben eine Ratenbegrenzung; 1.000 Versuche/Sek. ist eine obere Schätzung für einen schlecht gesicherten Endpunkt.

Online langsam: ein ordentlich gesicherter Endpunkt mit strengen Ratenlimits, Konto-Sperren und CAPTCHA. 100 Versuche/Sek. ist großzügig; viele Systeme erlauben nur 5–10/Minute.

Diese Schätzungen ignorieren reale Faktoren wie Wörterbuch-Angriffe (die gängige Passwörter viel schneller finden als Brute-Force) und Passwort-Wiederverwendung (Knacken eines Lecks hilft beim Knacken anderer).

Was ein starkes Passwort ausmacht

Länge über Komplexität: eine 16-stellige Passphrase wie ‚richtig pferd batterie heftklammer' ist stärker als ein gequältes 8-stelliges ‚P@ssw0rt!'. Die Erkenntnis gilt: 4 zufällige Wörter ergeben ~44 Bits Entropie.

Muster vermeiden: Daten, Namen, ‚123', ‚qwer', wiederholte Zeichen reduzieren alle die echte Entropie unter den Formelwert. Angriffs-Tools enthalten ausgedehnte ‚regelbasierte' Transformationen (z. B. ‚passwort' → ‚P@ssw0rt!').

Passwort-Manager verwenden: Menschen wählen Muster; Manager nicht. Bitwarden, 1Password, KeePass generieren echte Zufallspasswörter pro Seite, mit 16+ Zeichen aus allen Zeichensätzen. Das einzige Passwort, das du dir merken musst, ist das Master-Passwort – und das sollte eine lange, einprägsame Passphrase sein.