Passwort-Entropie & Stärke-Checker

Wie diese Seite gepflegt wird

• Schritte und Texte werden gegen das aktuelle Tool-Verhalten geprueft.
• Browser-Limits, Dateigroessen und Kompatibilitaetsgrenzen werden dokumentiert, wenn sie relevant sind.
• Wenn nicht anders angegeben, bleiben Dateien und Texte bei der Verarbeitung lokal im Browser.

Das Problem mit starren Passwortregeln

Jahrelang wurde uns stets beigebracht: Ein sicheres Kennwort braucht zwingend ein Sonderzeichen, eine Ziffer und darf nicht zu kurz sein (Coo!2020). Die Wahrheit ist erschreckend: Solange die Herkunft der Struktur ein existierendes Wort aus einem Wörterbuch ist, fällt es moderner Cracking-Hardware unter extremer Hash-Analyse nahezu sofort zum Opfer. Sie raten nicht einfach blind; sie kennen Leetspeak und Anhängsel in perfider mathematikbasierter Anordnung.

Deshalb benutzen wir zxcvbn für den Stress-Test

Anstatt lediglich einen stupiden Regex-Regler über die Zeichenlänge zu schieben, implementiert der Password Checker zxcvbn – ursprünglich für Dropbox entwickelt. Er prüft jedes deiner Zeichenfolgen erbarmungslos ab via:

1. Vollintegrierten Wörterbüchern: Es gleicht gegen die häufigsten amerikanischen, englischen und popkulturellen Lexika ab.
2. Standardisierte Mustererkennungen: Sind deine Finger nur faul über die Tasten gerutscht (qwertz, yxscv)?
3. Leetspeak-Wahrnehmung: Es identifiziert klassische Modifikationen verblüffend treffsicher.

Diskret und Offline

Unsere Adaption benötigt null Kontakt zur Serverseite. Bevor du deine nächste Accountstruktur wählst, regele die Fakten hier – und das selbst ab dem Zeitpunkt, wenn dein Router kein Wi-Fi mehr streamt. Vertraue auf die knallharte Berechnung der Passwort-Robustheit und verzichte auf Augenwischerei.

Passwortstärke prüfen: warum Sonderzeichen allein nichts retten

Der Passwort-Stärke-Checker arbeitet mit zxcvbn, dem Modell, das ursprünglich für Dropbox entwickelt wurde, um genau dieses Problem zu lösen. Es zählt nicht Zeichenklassen, sondern schätzt, wie viele Rateversuche ein Angreifer braucht, und rechnet daraus eine Entropie in Bits sowie konkrete Zeiten für vier Angriffsszenarien.

Ein Beispiel, das die Grenze starrer Regeln zeigt. Nehmen Sie dieses Kennwort, das jede typische Richtlinie erfüllt: neun Zeichen, Groß- und Kleinbuchstabe, Ziffer, Sonderzeichen. Das Modell erkennt darin das Wort aus einem Wörterbuch, die angehängte Jahreszahl und die übliche Ersetzung des Buchstabens durch eine Ziffer. Es bewertet die Kette deshalb als schwach. Die scheinbare Komplexität ist für eine maschinelle Suche keine Hürde, weil genau diese Muster in geleakten Passwortlisten millionenfach vorkommen.

Stellen Sie dagegen vier zufällig gewählte Wörter aneinander und ergänzen eine Zahl: Das Ergebnis ist länger, aber vor allem ist die Suche nicht mehr auf bekannte Muster angewiesen. Die Bewertung steigt deutlich. Verlangt sind hier also nicht mehr Zeichen, sondern Zeichenketten, die kein bekanntes Muster bedienen.

Die vier Szenarien im Detail. Genau diese vier Zeiten zeigt das Tool an, jeweils in Sekunden, Stunden oder Jahren:

1. Online-Angriff mit Drosselung, 100 Versuche pro Stunde — das ist ein Anmeldeformular mit Sperre.
2. Online-Angriff ohne Drosselung, 10 Versuche pro Sekunde — ein Dienst ohne Schutzmechanismus.
3. Offline gegen einen langsamen Hash, 10000 Versuche pro Sekunde — der Fall, in dem der Anbieter bcrypt, scrypt oder Argon2 verwendet.
4. Offline gegen einen schnellen Hash, 10 Milliarden Versuche pro Sekunde — der Fall, in dem ein GPU-Verbund einen MD5- oder SHA1-Abdruck durchprobiert.

Diese vier Zeiten sind die aussagekräftigste Ausgabe. Ein Passwort, das gegen Szenario 4 noch Jahrhunderte hält, ist eine andere Qualität als eines, das dort in Minuten fällt, selbst wenn beide denselben Farbbalken zeigen. Deshalb ist der wichtigste Satz zur Nutzung dieses Werkzeugs: Tippen Sie niemals Ihr echtes Master-Passwort in irgendein Webformular, auch nicht in dieses. Prüfen Sie stattdessen ein Muster, das Ihrer Gewohnheit entspricht, etwa gleiche Länge und gleiche Bauart, aber mit vertauschten Wörtern.

Für neue Kennwörter ist der Passwort-Generator der bessere Weg, weil die Zufälligkeit nicht von Ihrer Handbewegung abhängt. Wie Sie die Ergebnisse in einen Passwortmanager überführen, beschreibt Starke Passwörter erzeugen und richtig verwalten.

Wichtige Funktionen

• Authentische Lokale Ausführung: Gib deine Tastenabfolgen nicht in externe Formulare ein. Die Bewertung läuft mit der JavaScript-Bibliothek zxcvbn im Browser; die Website erfasst Nutzungsdaten wie in der Datenschutzerklärung beschrieben.
• Dropbox Algorithmus: Beruht auf bewährter Industrie-Analyse. Es identifiziert Standardmuster aus riesigen Hitlisten oder simple Tastatur-Schwünge ohne Umwege.
• Klare Zeitachsen: Liefert echte Crack-Zeiten statt bunter Farbbalken, damit du erkennst, ob etwas vor spezialisierten GPUs Stunden oder Ewigkeiten aushält.
• Präzise Empfehlungen: Statt sturer Kritik gibt es echte Empfehlungen. Erkennst du, weshalb das bloße Ändern von A zu @ in Brute-Force keine Hürde mehr darstellt?

Häufige Fragen