Passwort-Entropie-Rechner
Passwort-Entropie-Rechner
Berechne die Entropie deines Passworts in Bits, die Anzahl der Kombinationen und die geschätzte Knackzeit. Mit Zeichensatz-Analyse, Muster-Erkennung und Sicherheitsbewertung.
Datenschutz-Garantie: Dein Passwort wird niemals an einen Server gesendet. Die gesamte Analyse erfolgt zu 100% lokal in deinem Browser. Du kannst den Code gerne überprüfen!
Inhaltsverzeichnis
Schnellübersicht
- Entropie-Rechner: Bits, Kombinationen, Knackzeit
- Zeichensatz-Analyse: Welche Zeichenarten sind enthalten?
- Muster-Erkennung: Schwachstellen im Passwort
- Knackzeit: Vergleich verschiedener Angriffs-Szenarien
- Theorie: Was ist Entropie und wie wird sie berechnet?
- Geschichte: Von Shannon zu NIST-Empfehlungen
- FAQ: Häufige Fragen zur Passwort-Entropie
1. Passwort-Entropie berechnen
Gib ein Passwort ein, um die Entropie, Kombinationen und Knackzeit zu berechnen.
- Entropie misst die Zufälligkeit eines Passworts in Bits.
- Die Formel lautet:
Entropie = Länge × log₂(Zeichensatz) - Jedes zusätzliche Bit verdoppelt die Anzahl der Kombinationen.
- 128 Bits gelten heute als sicher gegen Brute-Force.
- Ein Passwort mit 8 Zeichen hat maximal ~50 Bits Entropie.
- Eine Passphrase mit 6 Wörtern aus 7.000 Wörtern hat ~77 Bits.
- Shannon prägte 1948 den Begriff "Entropie" in der Informationstheorie.
2. Was ist Passwort-Entropie?
Entropie ist ein Maß für die Unvorhersehbarkeit eines Passworts. Je höher die Entropie, desto schwerer ist es zu erraten oder zu knacken.
Die Entropie-Formel
Die Entropie wird in Bits gemessen:
- H: Entropie in Bits
- L: Länge des Passworts
- N: Größe des Zeichensatzes
Beispiel: 8 Zeichen, 26 Buchstaben → 8 × log₂(26) ≈ 37,6 Bits
Warum ist Entropie wichtig?
Die Entropie bestimmt direkt, wie viele Versuche ein Angreifer braucht:
- 30 Bits: ~1 Mrd. Kombinationen – in Sekunden geknackt
- 50 Bits: ~10^15 Kombinationen – Stunden bis Tage
- 80 Bits: ~10^24 Kombinationen – Jahrhunderte
- 128 Bits: ~10^38 Kombinationen – praktisch unknackbar
Jedes zusätzliche Bit verdoppelt die Anzahl der Kombinationen.
Zeichensatz-Größe
Die Größe des Zeichensatzes bestimmt die Entropie pro Zeichen:
- Ziffern (10): 3,32 Bits/Zeichen
- Kleinbuchstaben (26): 4,70 Bits/Zeichen
- Groß + Klein (52): 5,70 Bits/Zeichen
- Alphanumerisch (62): 5,95 Bits/Zeichen
- Alle ASCII (94): 6,55 Bits/Zeichen
- Unicode (~65.536): 16 Bits/Zeichen
Länge vs. Komplexität
Die Länge ist wichtiger als die Komplexität:
- 8 Zeichen, 94 Zeichensatz: 52,4 Bits
- 12 Zeichen, 26 Zeichensatz: 56,4 Bits
- 16 Zeichen, 26 Zeichensatz: 75,2 Bits
- 20 Zeichen, 26 Zeichensatz: 94 Bits
Fazit: Ein langes Passwort mit Kleinbuchstaben ist besser als ein kurzes mit Sonderzeichen!
- Die theoretische Entropie geht von echter Zufälligkeit aus.
- Ein Passwort wie
Passwort123!hat theoretisch 65 Bits, ist aber in Wortlisten enthalten – real nur ~10 Bits. - Die Muster-Erkennung dieses Tools deckt solche Schwächen auf.
- Für echte Sicherheit: Passwort-Manager mit Zufallsgenerator verwenden.
3. Entropie vs. Knackzeit
Die folgende Tabelle zeigt, wie lange ein Brute-Force-Angriff bei verschiedenen Entropie-Werten dauert.
| Entropie | Kombinationen | Online (10/s) | Offline (10 Mrd/s) | GPU-Cluster (200 Mrd/s) | Bewertung |
|---|---|---|---|---|---|
| 20 Bits | ~10^6 | 27 Stunden | < 1 ms | < 1 ms | Sehr schwach |
| 30 Bits | ~10^9 | 3 Jahre | 0,1 Sekunden | 5 ms | Schwach |
| 40 Bits | ~10^12 | 3.000 Jahre | 2 Minuten | 5 Sekunden | Mittel |
| 50 Bits | ~10^15 | 3 Mio. Jahre | 1 Tag | 1 Stunde | Mittel |
| 60 Bits | ~10^18 | 3 Mrd. Jahre | 3 Jahre | 2 Monate | Stark |
| 80 Bits | ~10^24 | 10^15 Jahre | 3 Mio. Jahre | 150.000 Jahre | Sehr stark |
| 100 Bits | ~10^30 | 10^21 Jahre | 10^12 Jahre | 10^10 Jahre | Extrem stark |
| 128 Bits | ~10^38 | 10^29 Jahre | 10^20 Jahre | 10^18 Jahre | Praktisch unknackbar |
- Minimum: 50 Bits Entropie (z.B. 10 Zeichen alphanumerisch)
- Empfohlen: 80 Bits Entropie (z.B. 16 Zeichen alphanumerisch)
- Hochsicherheit: 100+ Bits Entropie (z.B. 20 Zeichen gemischt)
- Passphrases: 4-6 zufällige Wörter = 50-80 Bits
- Passwort-Manager: 128+ Bits (16+ zufällige Zeichen)
4. Geschichte der Passwort-Entropie
Von Shannons Informationstheorie zu modernen NIST-Empfehlungen.
Shannon's Informationstheorie
Claude Shannon veröffentlicht "A Mathematical Theory of Communication" und prägt den Begriff der Entropie. Er legt damit die Grundlage für die moderne Passwort-Sicherheit.
Morris & Thompson
Robert Morris und Ken Thompson beschreiben in "Password Security: A Case History" die ersten Passwort-Studien. Sie empfehlen längere Passwörter mit gemischtem Zeichensatz.
Erste Passwort-Richtlinien
Erste Unternehmen führen Passwort-Richtlinien ein: Mindestens 8 Zeichen, Groß- und Kleinbuchstaben, Ziffern. Die Idee der "Komplexität" entsteht.
NIST SP 800-63
Das NIST veröffentlicht erstmals Richtlinien für elektronische Authentifizierung. Fokus auf Entropie statt nur auf Komplexität.
"The Mathematically Correct Horse Battery Staple"
Randall Munroe (XKCD) zeigt in seinem berühmten Comic, dass Passphrases sicherer und einfacher zu merken sind als komplexe Kurzpasswörter. Ein Meilenstein der Passwort-Diskussion.
NIST SP 800-63B
Das NIST verwirft Komplexitätsregeln und setzt auf Länge und Entropie. Passphrasen werden ausdrücklich empfohlen. Keine erzwungenen Sonderzeichen mehr!
Passwort-Manager & FIDO2
Moderne Empfehlungen: Passwort-Manager mit 128+ Bit Entropie, Zwei-Faktor-Authentifizierung und FIDO2/Passkeys als zukunftssichere Alternative.
5. FAQ – Häufige Fragen
Häufige Fragen zur Passwort-Entropie
Entropie ist ein Maß für die Unvorhersehbarkeit eines Passworts. Sie wird in Bits gemessen und gibt an, wie viele Ja/Nein-Fragen nötig wären, um das Passwort zu erraten.
Beispiel: Ein Passwort mit 50 Bits Entropie benötigt im Schnitt 2^49 ≈ 5,6 × 10^14 Versuche – das sind etwa 560 Billionen Versuche.
Wichtig: Entropie ist nur ein theoretisches Maß. Reale Angriffe nutzen oft Wörterbücher oder Muster, um die effektive Entropie zu reduzieren.
Die Formel lautet:
H = L × log₂(N)
- H: Entropie in Bits
- L: Länge des Passworts (Anzahl Zeichen)
- N: Größe des Zeichensatzes
Beispiele:
- 8 Zeichen, nur Kleinbuchstaben:
8 × log₂(26) = 37,6 Bits - 8 Zeichen, alle ASCII-Zeichen:
8 × log₂(94) = 52,4 Bits - 16 Zeichen, alle ASCII-Zeichen:
16 × log₂(94) = 104,8 Bits
Wichtig: Diese Formel geht von echter Zufälligkeit aus. Bei menschengemachten Passwörtern ist die reale Entropie oft viel niedriger!
Die Empfehlungen hängen vom Kontext ab:
- Unter 28 Bits: Sehr schwach – in Sekunden geknackt
- 28–35 Bits: Schwach – in Minuten bis Stunden geknackt
- 36–59 Bits: Mittel – in Tagen bis Jahren geknackt
- 60–79 Bits: Stark – Jahrhunderte bis Jahrtausende
- 80–99 Bits: Sehr stark – Millionen von Jahren
- 100+ Bits: Extrem stark – praktisch unknackbar
- 128+ Bits: Sicher gegen alle bekannten Angriffe
NIST-Empfehlung 2024: Mindestens 50 Bits für normale Konten, 80+ Bits für sensible Daten.
Länge ist wichtiger als Komplexität! Der Grund:
- Komplexität erhöht den Zeichensatz (z.B. von 26 auf 94) → Faktor ~3,6 pro Zeichen
- Länge erhöht die Anzahl der Zeichen → Faktor Zeichensatz pro Zeichen
Vergleich:
- 8 Zeichen, 94 Zeichensatz: 8 × 6,55 = 52,4 Bits
- 12 Zeichen, 26 Zeichensatz: 12 × 4,70 = 56,4 Bits
- 16 Zeichen, 26 Zeichensatz: 16 × 4,70 = 75,2 Bits
NIST 2017: Komplexitätsregeln wurden verworfen. Fokus auf Länge und Entropie. Passphrasen sind ausdrücklich empfohlen.
Die theoretische Entropie geht von echter Zufälligkeit aus. In der Praxis gibt es viele Schwächen:
- Wörterbuch-Wörter:
Passwort123!hat theoretisch 65 Bits, ist aber in Wortlisten enthalten – real nur ~10 Bits. - Muster:
Qwerty123!folgt einem Tastatur-Muster – leicht zu erraten. - Persönliche Daten: Namen, Geburtsdaten, Haustiere – in Social-Media-Profilen zu finden.
- Wiederholungen:
aaaaBBBB1234– geringe effektive Entropie. - Leetspeak:
P@ssw0rd– von Tools leicht erkannt.
Unser Tool prüft diese Muster und zeigt die effektive Entropie an, nicht nur die theoretische.
Die Anzahl der Kombinationen berechnet sich aus:
Kombinationen = N^L
- N: Größe des Zeichensatzes
- L: Länge des Passworts
Beispiele:
- 6 Ziffern: 10^6 = 1.000.000
- 8 Kleinbuchstaben: 26^8 ≈ 2 × 10^11
- 8 Alphanumerisch: 62^8 ≈ 2 × 10^14
- 12 Alphanumerisch: 62^12 ≈ 3 × 10^21
- 16 Alphanumerisch + Sonderzeichen: 94^16 ≈ 4 × 10^31
Faustregel: Jedes zusätzliche Zeichen multipliziert die Kombinationen mit der Zeichensatz-Größe.
Eine Passphrase ist eine Folge von mehreren Wörtern, z.B. "Kaffee-Tiger-Berg-Wolke-7".
Entropie-Berechnung:
- Bei 7.000 gängigen Wörtern: ~12,8 Bits pro Wort
- 4 Wörter: 4 × 12,8 = 51,2 Bits
- 5 Wörter: 5 × 12,8 = 64 Bits
- 6 Wörter: 6 × 12,8 = 76,8 Bits
- 7 Wörter: 7 × 12,8 = 89,6 Bits
Vorteile:
- Leicht zu merken (Bilder im Kopf)
- Sehr lang (30+ Zeichen)
- Hohe Entropie bei zufälliger Wortwahl
Wichtig: Wörter müssen wirklich zufällig gewählt werden – nicht aus einem Satz ableiten!
Die Empfehlungen haben sich geändert:
- Früher (bis 2017): Alle 90 Tage ändern
- Heute (NIST 2024): Nur bei Verdacht auf Kompromittierung
Warum die Änderung?
- Erzwungene Änderungen führen zu schwächeren Passwörtern (z.B. Passwort1 → Passwort2)
- Nutzer wählen oft vorhersehbare Varianten
- Regelmäßige Änderungen sind kein Schutz gegen moderne Angriffe
Stattdessen:
- Starke, einzigartige Passwörter pro Dienst
- Zwei-Faktor-Authentifizierung aktivieren
- Passwort-Manager verwenden
- Bei Datenleck sofort ändern
Entropie ist ein theoretisches Maß für die Zufälligkeit eines Passworts.
Passwortstärke ist ein praktisches Maß, das auch andere Faktoren berücksichtigt:
- Entropie: Wie viele Kombinationen gibt es?
- Wörterbuch-Attacken: Ist das Passwort in Wortlisten?
- Muster: Folgt es bekannten Mustern?
- Persönliche Daten: Enthält es Namen, Daten?
- Wiederverwendung: Wird es mehrfach verwendet?
- Hash-Funktion: Wie schnell kann es getestet werden?
Unser Tool berechnet die theoretische Entropie und zeigt zusätzlich die Schwachstellen an, die die reale Sicherheit reduzieren.
Passwort-Manager lösen die zentralen Probleme der Passwort-Sicherheit:
- Zufälligkeit: Generiert Passwörter mit 128+ Bits Entropie
- Einzigartigkeit: Für jeden Dienst ein anderes Passwort
- Speicherung: Verschlüsselt in einer Datenbank
- Autofill: Schutz vor Phishing-Seiten
- Synchronisation: Auf allen Geräten verfügbar
- Leak-Prüfung: Warnt bei bekannten Datenlecks
Empfehlungen: Bitwarden (Open Source), 1Password, KeePassXC, Dashlane.
Wichtig: Ein starkes Master-Passwort mit hoher Entropie ist Pflicht – am besten eine Passphrase mit 6+ Wörtern!
Zusammenfassung
Die wichtigsten Punkte
- Entropie misst die Unvorhersehbarkeit in Bits
- Formel:
H = L × log₂(N) - Länge ist wichtiger als Komplexität
- 50 Bits: Minimum für normale Konten
- 80 Bits: Empfohlen für sensible Daten
- 128 Bits: Praktisch unknackbar
- Passphrases: 5-6 zufällige Wörter = 64-77 Bits
- Wörterbuch-Angriffe: Reduzieren effektive Entropie drastisch
- NIST 2024: Länge statt Komplexität, keine erzwungenen Wechsel
- Passwort-Manager: Generiert 128+ Bit Passwörter
- 2FA: Zusätzliche Schutzschicht
- Unser Tool: Lokale Entropie-Analyse mit Muster-Erkennung
Weitere Tools
Simuliere Passwort-Angriffe und erfahre, wie lange ein Brute-Force dauert.
Zum ToolAnalysiere die Stärke deines Passworts mit detaillierten Empfehlungen.
Zum ToolErstelle sichere, zufällige Passwörter mit individuellen Optionen.
Zum ToolMD5, SHA-1, SHA-256 und SHA-512 für Text und Dateien.
Zum Tool