Passwort Sicherheitscheck

Entropie als Maß für Passwortstärke

Die Entropie eines Passworts gibt an, wie viel "Zufälligkeit" es enthält, gemessen in Bits. Je höher die Entropie, desto schwieriger ist es, das Passwort durch systematisches Ausprobieren (Brute Force) zu knacken. Ein Passwort mit 40 Bits Entropie hat etwa eine Billion mögliche Kombinationen, während 80 Bits bereits astronomische Werte erreichen. Die Entropie hängt von der Länge des Passworts und der Größe des verwendeten Zeichenvorrats ab: Ein Passwort aus Kleinbuchstaben, Großbuchstaben, Ziffern und Sonderzeichen hat pro Zeichen deutlich mehr Entropie als eines, das nur aus Kleinbuchstaben besteht.

Muster vermeiden

Angreifer verwenden nicht nur Brute Force, sondern auch intelligente Wörterbuch-Angriffe und Mustererkennung. Tastaturmuster wie "qwertz" oder "asdfgh", gängige Ersetzungen wie "P@ssw0rd" und persönliche Daten wie Geburtsdaten sind in den Wortlisten der Angreifer enthalten und werden innerhalb von Sekunden geknackt. Auch die Wiederholung von Zeichen oder einfache Sequenzen wie "123456" bieten keinen Schutz. Ein starkes Passwort ist zufällig und enthält keine erkennbaren Muster.

Passphrasen als Alternative

Lange Passphrasen aus mehreren zufälligen Wörtern (z.B. "korrekt-pferd-batterie-klammer") können eine hohe Entropie erreichen und sind gleichzeitig leichter zu merken als kryptische Zeichenkombinationen. Das BSI empfiehlt Passwörter mit mindestens 8 Zeichen, besser 12 oder mehr. In Kombination mit einem Passwort-Manager können Sie für jeden Dienst ein einzigartiges, hochentropisches Passwort verwenden, ohne es sich merken zu müssen.

Geschätzte Knackzeit

Unser Tool schätzt, wie lange ein Angreifer mit moderner Hardware benötigen würde, um Ihr Passwort zu knacken. Diese Schätzung basiert auf der Entropie und einer angenommenen Rechenleistung von 10 Milliarden Versuchen pro Sekunde — was aktuellen GPU-Clustern entspricht. Beachten Sie, dass die tatsächliche Sicherheit auch von der Implementierung des Dienstes abhängt: Gute Hash-Algorithmen wie bcrypt oder Argon2 verlangsamen Brute-Force-Angriffe erheblich.

Datenschutz dieses Tools

Ihr Passwort wird zu keinem Zeitpunkt an einen Server übertragen. Die gesamte Analyse findet ausschließlich in Ihrem Browser statt (clientseitiges JavaScript). Es werden keine Daten geloggt, gespeichert oder an Dritte weitergegeben. Sie können dies überprüfen, indem Sie die Netzwerk-Aktivität in den Entwicklertools Ihres Browsers beobachten.