Ist mein Passwort sicher? So wird Stärke gemessen

Viele Seiten nennen Ihr Passwort „stark“, nur weil es Großbuchstaben, Ziffern und Sonderzeichen enthält. Angreifer raten aber danach, wie Menschen Passwörter bilden, nicht nach Zeichentypen.

Stärke wird in Bit gemessen

Passwortstärke wird meist als Entropie in Bit angegeben. Jedes Bit verdoppelt die Zahl der Möglichkeiten. Ein 40-Bit-Passwort fällt mit moderner Hardware in Minuten, ein zufälliges 80-Bit-Passwort praktisch nie – sofern es wirklich zufällig ist.

Muster senken die Stärke

Knackprogramme probieren zuerst geleakte Passwortlisten, dann Wörterbuchwörter und Varianten: Ziffern statt Buchstaben (a→@, o→0), Jahreszahlen am Ende, Tastaturfolgen (qwertz, 123456) und Wörter mit Großbuchstaben. „Schalke1904!“ hat 12 Zeichen, enthält aber fast alle diese Muster.

Online- und Offline-Angriffe

Rateversuche an einer Login-Seite stoßen meist auf Ratenlimits und Sperren. Gefährlich wird es, wenn eine Datenbank geleakt wird: Dann werden Passwort-Hashes offline mit Milliarden Versuchen pro Sekunde geknackt. Ein Passwort muss daher auch ohne Schutz der Website stark sein.

Hinweis zum Testen

Geben Sie echte Passwörter am besten in kein Online-Tool ein. Testen Sie lieber ein Beispiel mit gleicher Struktur, um zu sehen, wie sicher Ihre Gewohnheit ist.

Der Passwort-Sicherheitstest prüft Ihr Passwort nur im Browser, erkennt häufige Wörter und Muster und schätzt die Knackzeit. Fällt es schwach aus, erzeugen Sie mit dem Passwort-Generator ein neues.