Brute-Force Simulator
Brute-Force Simulator
Simuliere Passwort-Angriffe und erfahre, wie lange ein Brute-Force-Angriff dauern würde. Mit Entropie-Analyse, Zeichensatz-Visualisierung und Live-Terminal.
Bildungszweck: Dieser Simulator dient ausschließlich der Sicherheitsbildung. Er zeigt, wie wichtig starke Passwörter sind. Die Simulation erfolgt rein lokal im Browser – es werden keine echten Angriffe durchgeführt.
Inhaltsverzeichnis
Schnellübersicht
- Brute-Force Simulator: Passwort-Angriffe visualisieren
- Entropie-Rechner: Passwort-Stärke in Bits
- Zeitabschätzung: Wie lange dauert ein Angriff?
- Terminal-Ansicht: Live-Simulation im Hacker-Stil
- Theorie: Wie funktioniert Brute-Force?
- Geschichte: Von ENIAC zu GPU-Clustern
- FAQ: Häufige Fragen zu Passwort-Sicherheit
1. Brute-Force Simulator
Gib ein Passwort ein und simuliere, wie lange ein Brute-Force-Angriff dauern würde.
| Zeichensatz | Beispiel | Anzahl Zeichen | Entropie/Zeichen | 8 Zeichen Kombinationen |
|---|---|---|---|---|
| Ziffern | 0123456789 | 10 | 3,32 Bits | 10^8 = 100 Mio. |
| Kleinbuchstaben | abcdefghij... | 26 | 4,70 Bits | 26^8 ≈ 2×10^11 |
| Groß- + Kleinbuchstaben | AaBbCc... | 52 | 5,70 Bits | 52^8 ≈ 5×10^13 |
| Alphanumerisch | A-Z, a-z, 0-9 | 62 | 5,95 Bits | 62^8 ≈ 2×10^14 |
| Alphanumerisch + Sonderzeichen | !@#$%^&*... | 94 | 6,55 Bits | 94^8 ≈ 6×10^15 |
| Erweiterter ASCII | Alle 256 Zeichen | 256 | 8,00 Bits | 256^8 = 1,8×10^19 |
| Unicode (BMP) | Emojis, Sonderzeichen | ~65.536 | 16,00 Bits | 65536^8 = 2,8×10^38 |
- Ein 8-stelliges Passwort nur aus Kleinbuchstaben hat nur 26^8 ≈ 200 Milliarden Kombinationen.
- Ein 8-stelliges Passwort mit allen ASCII-Zeichen hat 94^8 ≈ 6 Billiarden Kombinationen – das ist 30.000× mehr.
- Jedes zusätzliche Zeichen multipliziert die Kombinationen mit der Zeichensatz-Größe.
- Die Entropie wird in Bits gemessen: 100 Bits gelten heute als sicher.
- Ein GPU-Cluster mit 8× RTX 4090 schafft ca. 200 Milliarden MD5-Hashes/Sekunde.
- Die NSA empfiehlt heute 128-Bit-Entropie für Verschlüsselung.
2. Wie funktioniert Brute-Force?
Brute-Force (französisch für "rohe Gewalt") ist die einfachste Form des Passwort-Angriffs: Alle möglichen Kombinationen werden durchprobiert, bis die richtige gefunden wird.
Brute-Force
Systematisches Durchprobieren aller möglichen Zeichenkombinationen.
- Vorteil: Findet jedes Passwort
- Nachteil: Extrem zeitaufwendig
- Beispiel: a, b, c, ..., aa, ab, ...
Wörterbuch-Angriff
Durchprobieren von bekannten Wörtern aus Wörterbüchern.
- Vorteil: Sehr schnell bei schwachen Passwörtern
- Nachteil: Findet keine zufälligen Passwörter
- Beispiel: password, 123456, qwerty
Masken-Angriff
Kombination aus Brute-Force und Muster-Erkennung.
- Vorteil: Nutzt bekannte Passwort-Muster
- Beispiel:
?u?l?l?l?l?d?d - Bedeutung: Großbuchstabe, 4 Kleinbuchstaben, 2 Ziffern
Rainbow Tables
Vorberechnete Tabellen mit Hash-Werten.
- Vorteil: Sehr schnell bei schwachen Hashes
- Nachteil: Funktioniert nicht mit Salt
- Schutz: Salt + langsame Hash-Funktionen (bcrypt)
- MD5: ~200 Mrd. Hashes/s (GPU-Cluster) – unsicher für Passwörter
- SHA-1: ~50 Mrd. Hashes/s (GPU-Cluster) – unsicher
- SHA-256: ~10 Mrd. Hashes/s (GPU-Cluster) – nicht ideal
- bcrypt: ~50.000 Hashes/s (GPU-Cluster) – sicher
- Argon2: ~10.000 Hashes/s (GPU-Cluster) – sehr sicher
Fazit: Langsame Hash-Funktionen machen Brute-Force extrem teuer!
3. Wie lange dauert ein Brute-Force-Angriff?
Die Zeit hängt von drei Faktoren ab: Passwortlänge, Zeichensatz und Angriffsgeschwindigkeit.
| Passwort | Länge | Zeichensatz | Kombinationen | Online (10/s) | Offline (10 Mrd/s) | GPU-Cluster (200 Mrd/s) |
|---|---|---|---|---|---|---|
| 123456 | 6 | 10 | 10^6 | 27 Stunden | < 1 Sekunde | < 1 Sekunde |
| passwort | 8 | 26 | 2×10^11 | 650 Jahre | 20 Sekunden | 1 Sekunde |
| Passwort1 | 9 | 62 | 1,4×10^16 | 43 Mio. Jahre | 16 Tage | 19 Stunden |
| P@ssw0rd! | 9 | 94 | 5,7×10^17 | 1,8 Mrd. Jahre | 1,8 Jahre | 28 Tage |
| Tr0ub4dor&3 | 11 | 94 | 5×10^21 | 16 Billionen Jahre | 16.000 Jahre | 250 Jahre |
| correct-horse-battery-staple | 28 | 26 + Sonderzeichen | 10^40 | 10^31 Jahre | 10^22 Jahre | 10^20 Jahre |
| 8 zufällige Emojis | 8 | 65.536 | 2,8×10^38 | 10^29 Jahre | 10^20 Jahre | 10^18 Jahre |
- Länge: Mindestens 12–16 Zeichen (je länger, desto besser)
- Zeichensatz: Groß-, Kleinbuchstaben, Ziffern und Sonderzeichen mischen
- Zufall: Keine Wörter, Namen oder Muster verwenden
- Passphrases: 4–6 zufällige Wörter sind besser als 1 kurzes Passwort
- Passwort-Manager: Generiert und speichert zufällige Passwörter
- 2FA: Zwei-Faktor-Authentifizierung als zusätzliche Schutzschicht
4. Geschichte der Passwort-Angriffe
Von einfachen Rechnern zu GPU-Clustern – die Entwicklung der Brute-Force-Angriffe.
Erste Passwörter am MIT
Am MIT wird das erste Passwort-System für den CTSS-Computer eingeführt. Anfangs noch ohne Verschlüsselung – jeder konnte die Passwörter im Klartext sehen.
Erste Hash-Funktionen
Die crypt()-Funktion in Unix verschlüsselt Passwörter. Angreifer können nun Hashes stehlen – aber das Durchprobieren dauert auf damaligen Rechnern Jahre.
Erste Wörterbuch-Angriffe
Angreifer beginnen, Wörterbücher und Listen mit häufigen Passwörtern zu verwenden. Das Durchprobieren von 10.000 Wörtern dauert nur Sekunden.
Rainbow Tables
Philippe Oechslin veröffentlicht die ersten Rainbow Tables – vorberechnete Hash-Tabellen. Angriffe werden dadurch drastisch beschleunigt.
GPU-Beschleunigung
Mit CUDA (NVIDIA) und OpenCL beginnen Angreifer, Grafikkarten für Brute-Force zu nutzen. GPUs sind 100× schneller als CPUs für Hash-Berechnungen.
bcrypt & Argon2
Langsame Hash-Funktionen wie bcrypt und später Argon2 werden Standard. Sie machen Brute-Force durch künstliche Verlangsamung extrem teuer.
KI & Cloud-Cluster
Moderne Angriffe nutzen Cloud-GPU-Cluster (z.B. AWS) und KI-gestützte Muster-Erkennung. Ein einzelner Angriff kann Milliarden von Passwörtern pro Sekunde testen.
5. FAQ – Häufige Fragen
Häufige Fragen zu Brute-Force & Passworten
Brute-Force (französisch für "rohe Gewalt") ist die einfachste Methode, ein Passwort zu knacken: Es werden alle möglichen Kombinationen durchprobiert, bis die richtige gefunden wird.
Beispiel für ein 3-stelliges numerisches Passwort:
- 000, 001, 002, ..., 009
- 010, 011, 012, ..., 099
- 100, 101, ..., 999
Das sind nur 1.000 Kombinationen – ein Computer schafft das in Sekundenbruchteilen.
Brute-Force: Probiert alle möglichen Kombinationen durch. Garantiert erfolgreich, aber extrem zeitaufwendig bei langen Passwörtern.
Wörterbuch-Angriff: Probiert nur bekannte Wörter und häufige Passwörter durch. Sehr schnell, aber erfolglos bei zufälligen Passwörtern.
Masken-Angriff: Kombination aus beidem – nutzt bekannte Passwort-Muster wie "Großbuchstabe + 4 Kleinbuchstaben + 2 Ziffern".
Fazit: Brute-Force ist der "Notfall-Plan", wenn andere Methoden versagen.
Die Empfehlungen hängen vom Kontext ab:
- Minimum heute: 12 Zeichen mit gemischtem Zeichensatz
- Empfohlen: 16+ Zeichen oder eine Passphrase
- Hochsicherheit: 20+ Zeichen oder 128 Bit Entropie
- Passphrase: 4–6 zufällige Wörter (z.B. "Kaffee-Tiger-Berg-7-Wolke")
Faustregel: Jedes zusätzliche Zeichen vervielfacht die nötigen Versuche um den Faktor des Zeichensatzes.
Entropie misst die Zufälligkeit eines Passworts in Bits. Je höher, desto schwerer zu knacken.
Formel: Entropie = Länge × log₂(Zeichensatz)
- Unter 28 Bits: Sehr schwach (in Sekunden geknackt)
- 28–35 Bits: Schwach (Minuten bis Stunden)
- 36–59 Bits: Mittel (Tage bis Jahre)
- 60–127 Bits: Stark (Jahrhunderte bis Billionen Jahre)
- 128+ Bits: Extrem stark (praktisch unknackbar)
Wichtig: Die Entropie hängt von der echten Zufälligkeit ab – "Passwort123" hat trotz 11 Zeichen nur ~30 Bits!
Beide Faktoren erhöhen die Sicherheit – aber Länge ist wichtiger:
- Komplexität: Erhöht den Zeichensatz (z.B. von 26 auf 94) → Faktor ~3,6 pro Zeichen
- Länge: Erhöht die Anzahl der Zeichen → Faktor Zeichensatz pro Zeichen
Vergleich:
- 8 Zeichen, 94 Zeichensatz: 94^8 ≈ 6×10^15
- 12 Zeichen, 26 Zeichensatz: 26^12 ≈ 9×10^16 (mehr!)
Fazit: Lieber ein langes Passwort mit einfachem Zeichensatz als ein kurzes mit vielen Sonderzeichen. Passphrases sind ideal!
Die Geschwindigkeit unterscheidet sich drastisch:
- Online-Angriff: Angreifer versucht sich über das Netzwerk anzumelden.
- Geschwindigkeit: ~10 Versuche/Sekunde
- Begrenzt durch Netzwerk-Latenz und Rate-Limiting
- Oft nach 3–5 Fehlversuchen gesperrt
- Offline-Angriff: Angreifer hat den Hash gestohlen und probiert lokal.
- Geschwindigkeit: ~10 Milliarden Versuche/Sekunde
- Keine Begrenzung, keine Sperren
- Mit GPU-Cluster: bis zu 200 Milliarden/Sekunde
Fazit: Offline-Angriffe sind 1 Milliarde Mal schneller. Deshalb sind langsame Hash-Funktionen (bcrypt, Argon2) so wichtig!
Mehrere Schutzschichten sind am effektivsten:
- Lange Passwörter: 16+ Zeichen oder Passphrases
- Passwort-Manager: Generiert und speichert zufällige Passwörter
- 2FA/MFA: Zwei-Faktor-Authentifizierung (TOTP, FIDO2)
- Rate-Limiting: Maximal 3–5 Versuche pro Minute
- Account-Sperre: Nach 5–10 Fehlversuchen temporär sperren
- CAPTCHA: Verhindert automatisierte Angriffe
- bcrypt/Argon2: Langsame Hash-Funktionen für Passwörter
- Salt: Zufälliger Wert pro Passwort – verhindert Rainbow Tables
- Monitoring: Fehlgeschlagene Logins überwachen
Das kannst du prüfen:
- Have I Been Pwned:
haveibeenpwned.com– prüft E-Mail-Adressen und Passwörter gegen bekannte Datenlecks - Firefox Monitor:
monitor.firefox.com– benachrichtigt bei neuen Lecks - Google Password Checkup: In Chrome integriert
- Passwort-Manager: Viele prüfen automatisch auf bekannte Lecks
Wichtig: Wenn ein Passwort in einem Leck auftaucht, sofort ändern – auch wenn es nur ein altes Konto betrifft. Angreifer probieren geleakte Passwörter oft auf anderen Diensten aus (Credential Stuffing).
Credential Stuffing ist ein Angriff, bei dem geleakte Zugangsdaten (E-Mail + Passwort) automatisiert auf vielen anderen Diensten ausprobiert werden.
Beispiel:
- Ein Angreifer kauft 1 Milliarde geleakte Logins aus einem Datenleck
- Er probiert diese automatisch auf Amazon, PayPal, Netflix, etc. aus
- Funktioniert, weil viele Menschen dasselbe Passwort überall verwenden
Schutz: Für jeden Dienst ein eigenes Passwort verwenden – am besten mit einem Passwort-Manager.
Eine Passphrase ist eine Folge von mehreren Wörtern, z.B. "Kaffee-Tiger-Berg-Wolke-7".
Vorteile:
- Leicht zu merken: Bilder im Kopf statt zufälliger Zeichen
- Sehr lang: 5 Wörter ≈ 30+ Zeichen
- Hohe Entropie: Bei 7.000 Wörtern pro Wort ≈ 12,8 Bits
Beispielrechnung:
- 4 Wörter aus 7.000: 7.000^4 ≈ 2,4×10^15 Kombinationen
- Entspricht ~51 Bits Entropie
- Bei 6 Wörtern: ~77 Bits – sehr sicher!
Tipp: Wörter wirklich zufällig wählen, nicht aus einem Satz ableiten!
Zusammenfassung
Die wichtigsten Punkte
- Brute-Force = alle Kombinationen durchprobieren – je länger das Passwort, desto teurer
- Entropie in Bits misst die echte Zufälligkeit – 128 Bit gelten als sicher
- Länge schlägt Komplexität: 12 Zeichen mit Kleinbuchstaben > 8 Zeichen mit Sonderzeichen
- Online vs. Offline: Offline ist 1 Milliarde Mal schneller
- Schwache Passwörter: "123456" ist in Sekunden geknackt
- Sichere Passwörter: 16+ Zeichen oder 5+ Wörter Passphrase
- Hash-Funktionen: bcrypt und Argon2 machen Brute-Force teuer
- Salt: Verhindert Rainbow-Table-Angriffe
- 2FA: Zusätzliche Schutzschicht – macht Passwort-Diebstahl nutzlos
- Passwort-Manager: Erzeugt und speichert starke, einzigartige Passwörter
- Credential Stuffing: Nie dasselbe Passwort für mehrere Dienste verwenden
- Unser Tool: Simuliert Brute-Force-Angriffe lokal im Browser
Weitere Tools
Erstelle sichere, zufällige Passwörter mit individuellen Optionen.
Zum ToolAnalysiere die Stärke deines Passworts mit Entropie und Mustern.
Zum ToolBerechne die Entropie und Kombinationen deines Passworts.
Zum ToolMD5, SHA-1, SHA-256 und SHA-512 für Text und Dateien.
Zum Tool