Passwortstärke prüfen

Was die Checklisten-Bewertung belohnt

Das Urteil ergibt sich aus einer einfachen Bewertung von 0 bis 6. Jeder dieser Punkte zählt einen Punkt hinzu:

Die Länge trägt allein drei der sechs Punkte, weil die Länge der einzelne wichtigste Faktor für die tatsächliche Stärke ist.

Wie Entropie und Knackzeit geschätzt werden

Entropie ist die Anzahl der Bits, die nötig wären, um das Passwort zu beschreiben, wenn jedes Zeichen zufällig wäre: length × log2(alphabet size). Die Alphabetgröße addiert die verwendeten Klassen: 26 für Kleinbuchstaben, 26 für Großbuchstaben, 10 für Ziffern und 33 für gängige Symbole, sodass ein Passwort mit allen vier Klassen aus 95 möglichen Zeichen schöpft.

Die Schätzung der Knackzeit geht von einem Offline-Angreifer aus, der den gestohlenen Hash bereits besitzt und etwa 10 Milliarden (10^10) Versuche pro Sekunde auf schnellen Consumer-GPUs durchführen kann. Dieser Wert entspricht schwachen, schnellen Hashes wie MD5 oder SHA-1. Absichtlich langsame Hashes wie bcrypt oder Argon2 senken diese Rate um den Faktor Millionen, sodass dasselbe Passwort dort weit sicherer ist.

Was dieses Tool prüft und was nicht

• Es prüft die Länge, welche Zeichenklassen vorhanden sind, die reine Entropie in Bits und eine daraus abgeleitete Schätzung der Knackzeit.
• Es prüft nicht, ob Ihr Passwort in Wörterbüchern, Listen geleakter Passwörter, Tastaturmustern (qwerty, 1qaz2wsx) oder gängigen Ersetzungen (p@ssw0rd) vorkommt. Ein Passwort kann jede Zeichenklassen-Prüfung bestehen und trotzdem trivial zu erraten sein, wenn es ein bekanntes Wort oder ein geleaktes Passwort ist.

Betrachten Sie die Bewertung als Untergrenze, nicht als Garantie: Sie sagt Ihnen, dass ein Passwort zu kurz oder zu einfach ist, aber eine hohe Bewertung beweist nicht, dass das Passwort unvorhersehbar ist.

Was ein Passwort wirklich stark macht

1. Länge zuerst. Jedes zusätzliche Zeichen ist mehr wert als jede andere einzelne Änderung. Ein zufälliges Passwort mit 14 Zeichen schlägt jedes komplexe mit 8 Zeichen.
2. Zufälligkeit. Menschen erzeugen im Kopf schlechte Entropie. Lassen Sie einen Generator die Zeichen wählen.
3. Vielfalt verteilen. Setzen Sie Ziffern und Symbole überall ein, nicht nur ans Ende, wo Angreifer sie erwarten.
4. Ein Passwort pro Website. Ein starkes Passwort, das über 50 Konten wiederverwendet wird, ist nur so sicher wie die schwächste Website, die es speichert.

Die sichere Empfehlung

• Verwenden Sie einen Passwort-Manager, um für jede Website ein einzigartiges, zufälliges Passwort mit 16 oder mehr Zeichen zu erstellen und zu speichern.
• Verwenden Sie eine Passphrase aus 5 bis 8 zufälligen Wörtern für die wenigen Passwörter, die Sie von Hand eingeben müssen, etwa das Master-Passwort Ihres Managers.
• Aktivieren Sie die Zwei-Faktor-Authentifizierung überall dort, wo sie angeboten wird.
• Prüfen Sie pwnedpasswords.com, bevor Sie ein Passwort weiter wiederverwenden, da dieses Tool nicht erkennen kann, ob Ihres bereits geleakt wurde.