Passwortstärke prüfen

So prüfen Sie ein Passwort

1. Geben Sie das Passwort in Zu prüfendes Passwort ein oder fügen Sie es ein. Das Feld verbirgt Ihre Eingabe; mit Anzeigen machen Sie sie sichtbar, mit Verbergen wieder unsichtbar.
2. Das Ergebnis erscheint schon beim Tippen. Der Balken Stärke reicht von 0 (Sehr schwach) bis 4 (Sehr stark).
3. Lesen Sie die Tabelle Geschätzte Zeit zum Knacken: Sie nennt für vier Angriffsszenarien je eine Dauer – von einer Website, die Anmeldeversuche begrenzt, bis zu einer gestohlenen Datenbank, die mit Grafikkarten angegriffen wird.
4. Sehen Sie sich Schwachstellen und Tipps an. Dort steht, welches Problem die Prüfung gefunden hat (ein häufiges Passwort, ein Tastaturmuster, ein Datum, eine wiederholte Folge …), und wie Sie es beheben. Wichtig: Diese Hinweise stammen aus der Bibliothek zxcvbn und werden auf deutschen Seiten auf Englisch angezeigt.

Das Passwort wird nur auf dieser Seite analysiert. Es wird nie gesendet, gespeichert oder protokolliert, und das Feld wird geleert, wenn Sie die Seite verlassen. Trotzdem ist es am sichersten, ein Passwort zu testen, das Ihrem ähnelt, statt Ihres echten.

Wie die Bewertung berechnet wird

Das Tool nutzt zxcvbn, einen quelloffenen Passwortschätzer, der ursprünglich bei Dropbox entstand (hier in der gepflegten TypeScript-Version zxcvbn-ts). Statt Großbuchstaben und Sonderzeichen zu zählen, denkt er wie ein Passwortknacker. Er zerlegt das Passwort in Teile und sucht nach Mustern, die Angreifer zuerst ausprobieren:

• die häufigsten geleakten Passwörter, Vornamen, Nachnamen sowie häufige englische und französische Wörter, auch rückwärts geschrieben und mit „l33t“-Ersetzungen wie p@ssw0rd;
• Tastaturmuster wie qwerty, azerty oder 1qaz2wsx;
• wiederholte Zeichen (aaaa), wiederholte Blöcke (abcabc) und Folgen (abcd, 9876);
• Datumsangaben und jüngere Jahreszahlen.

Ein deutsches Wörterbuch enthält die Prüfung nicht: Deutsche Wörter wie „Sommer2024“ erkennt sie nur über andere Muster (Jahreszahl, Länge), nicht als Wort. Solche Passwörter können daher besser bewertet werden, als sie sind.

Anschließend schätzt das Tool, wie viele Versuche ein Angreifer bräuchte, um das ganze Passwort zu finden, angezeigt als Geschätzte Rateversuche. Die Bewertung folgt dieser Zahl: unter tausend Versuchen 0, unter einer Million 1, unter 100 Millionen 2, unter 10 Milliarden 3, alles darüber 4.

Die vier Angriffsszenarien

Die Knackzeiten ergeben sich aus der geschätzten Zahl der Versuche geteilt durch die Geschwindigkeit des jeweiligen Angriffs:

Bei einem Online-Angriff tippt jemand Rateversuche in ein Anmeldeformular. Ein Offline-Angriff folgt auf ein Datenleck: Der Angreifer besitzt eine Kopie der gespeicherten Passwort-Hashes und kann auf eigener Hardware testen. Die letzte Zeile ist der ungünstigste Fall und die entscheidende für Passwörter, die E-Mail, Onlinebanking oder einen Passwortmanager schützen. Die Zeiten sind Durchschnittswerte: Ein Angreifer kann auch früher Glück haben.

Entropie-Schätzung

Die Geschätzte Entropie ist der klassische Brute-Force-Wert: Länge × log2(Zeichenvorrat), wobei der Vorrat die Summe der verwendeten Zeichenarten ist (26 Kleinbuchstaben, 26 Großbuchstaben, 10 Ziffern, 33 Sonderzeichen und 100 für sonstige Zeichen wie Umlaute, Akzente oder Emoji). Qwerty123! kommt nach dieser Formel auf etwa 66 Bit, zxcvbn bewertet es aber mit 0 (Sehr schwach), weil es eine Tastaturreihe mit einer üblichen Endung ist. Die Entropie ist nur für zufällig gewählte Passwörter aussagekräftig, etwa aus einem Passwort-Generator; bei selbst ausgedachten Passwörtern zählen Bewertung und Knackzeiten.