Passwort-Stärke
Über dieses Tool
Dieser Passwort-Prüfer zeigt in Echtzeit, wie leicht ein Passwort zu erraten wäre. Statt nur Zeichenarten zu zählen, sucht er die Muster, die Angreifer zuerst probieren: häufige Passwörter, Wörter, Tastaturfolgen, Wiederholungen und Jahreszahlen. Du bekommst eine klare Stufe, eine geschätzte Knackzeit und konkrete Tipps zur Verbesserung. Das Passwort verlässt dabei nie deinen Browser.
Wofür du es nutzen kannst
- Vor dem Anlegen eines neuen Kontos prüfen, ob ein geplantes Passwort-Muster taugt
- Verstehen, warum ein Passwort wie „Sommer2024!“ trotz Sonderzeichen schwach ist
- Passphrasen aus mehreren Wörtern mit kurzen komplexen Passwörtern vergleichen
- Kindern oder Familienmitgliedern zeigen, was ein gutes Passwort ausmacht
- Im Unterricht oder in Schulungen Mustererkennung und Knackzeiten veranschaulichen
- Prüfen, ob ein Passwort die Mindestlängen von NIST oder BSI erfüllt
- Ein vom Passwortmanager erzeugtes Passwort zum Vergleich einschätzen lassen
- Ausprobieren, wie stark Leetspeak (P@ssw0rd) oder angehängte Ziffern wirklich helfen
Häufige Fragen
Ist es sicher, mein Passwort hier einzugeben?
Die Prüfung läuft vollständig im Browser. Beim Tippen wird nichts gesendet oder gespeichert, und das Feld wird beim Verlassen der Seite geleert. Trotzdem ist es eine gute Gewohnheit, nicht das echte, aktuell genutzte Passwort einzugeben, sondern ein ähnlich aufgebautes Beispiel.
Wie lang sollte ein sicheres Passwort sein?
Länge ist der wichtigste Faktor. NIST nennt mindestens 15 Zeichen, wenn das Passwort allein schützt, und mindestens 8 mit zweitem Faktor. Das BSI empfiehlt 8 Zeichen mit vier Zeichenarten oder mindestens 25 Zeichen bei einfacherem Aufbau.
Was bedeutet die Angabe in Bit?
Bit ist ein Maß für die Zahl der nötigen Rateversuche: Jedes zusätzliche Bit verdoppelt sie. 10 Bit entsprechen etwa 1.000 Versuchen, 30 Bit etwa einer Milliarde. Das Tool schätzt die Bit aus den erkannten Mustern, nicht nur aus der Länge.
Warum gilt „Passwort123!“ als schwach, obwohl es alle Regeln erfüllt?
Es besteht aus einem sehr häufigen Wort, einer Zahlenfolge und einem angehängten Sonderzeichen. Genau diese Kombinationen probieren Angreifer zuerst. Regeln wie „Großbuchstabe, Ziffer, Sonderzeichen“ sagen wenig darüber, wie leicht ein Passwort zu erraten ist.
Wie realistisch ist die angezeigte Knackzeit?
Sie ist eine Schätzung: geschätzte Versuche geteilt durch eine angenommene Rategeschwindigkeit. Die Geschwindigkeit unterscheidet sich enorm, je nachdem ob online mit Sperre oder offline an einer gestohlenen Datenbank geraten wird. Vorne steht daher die vorsichtige Annahme mit schnellem Hash.
Sind Passphrasen aus mehreren Wörtern sicherer?
Ja, wenn die Wörter zufällig gewählt sind. Das BSI nennt 5–6 zufällige Wörter als Alternative. Selbst ausgedachte Sätze oder Zitate sind deutlich schwächer, weil sie vorhersehbar sind.
Prüft das Tool, ob mein Passwort in einem Datenleck vorkommt?
Nein. Dafür wäre eine Anfrage ins Internet nötig, und das Tool sendet bewusst nichts. Einen solchen Abgleich bieten viele Passwortmanager an, meist mit einem Verfahren, das nur einen Teil des Hashwerts überträgt.
Hilft es, Buchstaben durch Zahlen oder Zeichen zu ersetzen?
Kaum. Ersetzungen wie @ für a oder 0 für o sind in Angriffswerkzeugen fest eingebaut und werden früh ausprobiert. Mehr Länge bringt wesentlich mehr.
Warum wird mein deutsches Wort als zufällig und stark bewertet?
Das eingebaute Wörterbuch ist klein und enthält vor allem englische Wörter sowie eine kurze Liste häufiger Passwörter und Namen. Unbekannte deutsche Wörter, Namen oder Fachbegriffe werden dann als Zufall gewertet. Die echte Stärke ist in diesem Fall niedriger als angezeigt.
Hintergrund: so wird bewertet
Wie stark ein Passwort ist, hängt nicht davon ab, wie kompliziert es aussieht, sondern davon, wie viele Versuche ein Angreifer im Durchschnitt braucht, um es zu erraten. Angreifer probieren nicht stur alle Zeichenkombinationen durch. Sie beginnen mit dem Wahrscheinlichsten: Listen häufiger Passwörter, Wörterbuchwörter mit üblichen Abwandlungen wie Großbuchstabe am Anfang oder Ziffern am Ende, Tastaturfolgen wie qwertz oder asdf, Zahlenreihen, Wiederholungen sowie Jahreszahlen und Geburtsdaten. Ein Passwort, das aus solchen Bausteinen besteht, fällt früh, auch wenn es Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen enthält.
Dieses Tool folgt dem Ansatz des Open-Source-Schätzers zxcvbn in einer eigenen, vereinfachten Umsetzung. Es zerlegt das Passwort in erkannte Bausteine und schätzt für jeden, wie viele Versuche nötig sind. Teile ohne erkanntes Muster gelten als Zufall. Aus der günstigsten Zerlegung ergibt sich die Gesamtzahl der Versuche, angegeben in Bit. Bit ist der Zweierlogarithmus der Versuchszahl, jedes zusätzliche Bit verdoppelt also den Aufwand. Die verbreitete Faustformel „Länge mal Logarithmus des Zeichenvorrats“ überschätzt Passwörter mit Mustern oft erheblich, weil sie jedes Zeichen als zufällig gewählt annimmt.
Die Knackzeit ergibt sich aus der Versuchszahl geteilt durch eine angenommene Geschwindigkeit. Bei Online-Angriffen mit Sperren sind nur wenige Versuche pro Stunde möglich. Wird dagegen eine Datenbank gestohlen, kann offline geraten werden. Mit langsamen Hash-Verfahren wie bcrypt sind das grob Tausende Versuche pro Sekunde, mit schnellen wie MD5 oder SHA-1 auf Grafikkarten Milliarden. Wie ein Dienst Passwörter speichert, ist von außen meist nicht erkennbar. Deshalb ist der schnelle Offline-Fall die vorsichtige Annahme.
Offizielle Empfehlungen setzen heute auf Länge statt auf Zusammensetzungsregeln. NIST SP 800-63B-4 verlangt mindestens 15 Zeichen für Passwörter als einzigen Faktor, verbietet zusätzliche Zusammensetzungsregeln und erzwungene regelmäßige Wechsel und fordert einen Abgleich mit Listen bekannter oder kompromittierter Passwörter. Das BSI nennt zwei Wege: mindestens 8 Zeichen aus vier Zeichenarten oder mindestens 25 Zeichen bei geringerer Komplexität. Alternativ empfiehlt es 5–6 zufällige Wörter. Beide raten zu einem eigenen Passwort pro Zugang, zu Passwortmanagern und, wo möglich, zu einem zweiten Faktor.
Grenzen: Jeder Schätzer ist nur so gut wie seine Wortlisten. Dieses Tool kennt eine kleine Liste häufiger Passwörter und Namen sowie ein englisches Wörterbuch, aber kein großes deutsches. Unbekannte Wörter wertet es als Zufall und schätzt sie dann zu stark ein. Ob ein Passwort bereits in einem Datenleck aufgetaucht ist oder anderswo wiederverwendet wird, kann ein lokaler Prüfer nicht erkennen.
