Passwort-Stärke-Check
Passwort-Stärke-Check
Analysiere die Sicherheit deiner Passwörter mit Entropie-Berechnung, Crack-Zeit-Schätzung und intelligenter Muster-Erkennung.
Datenschutz: Deine Passwörter werden ausschließlich lokal in deinem Browser verarbeitet. Es werden keine Daten an Server gesendet, gespeichert oder protokolliert.
Inhaltsverzeichnis
Schnellübersicht
- Einzel-Check: Ein Passwort analysieren
- Batch-Modus: Mehrere Passwörter prüfen
- Passwort-Generator: Sichere Zufallspasswörter erstellen
- Erweiterte Muster-Erkennung: Deutsche Wörter, Jahreszeiten, Jahreszahlen, Leetspeak
- Crack-Zeit: Online/Offline-Angriffe
- Theorie: Über Passwort-Sicherheit
- FAQ: Häufige Fragen zu Passwörtern
1. Passwort-Stärke-Check
Gib ein Passwort ein – die Analyse erfolgt live während des Tippens.
2. Theorie – Passwort-Sicherheit
Verstehe die Grundlagen sicherer Passwörter und Angriffsarten.
Was ist Entropie?
Entropie (nach Shannon) misst die Zufälligkeit in Bits:
- Formel: E = Länge × log₂(Zeichensatz)
- < 28 Bit: Sehr schwach
- 28-35 Bit: Schwach
- 36-59 Bit: Mittel
- 60-127 Bit: Stark
- ≥ 128 Bit: Sehr stark
Crack-Zeit-Berechnung
Die Zeit zum Knacken hängt von Entropie und Angriffsgeschwindigkeit ab:
- Online (Web): ~100 Versuche/Stunde
- Online (SSH): ~10.000/s (mit Rate-Limit)
- Offline (MD5): ~100 Mrd./s (GPU)
- Offline (bcrypt): ~10.000/s (langsam by design)
- Offline (Argon2): ~1.000/s (sehr sicher)
Muster-Erkennung
Unser Tool erkennt typische Schwächen:
- Häufige Passwörter: Top-500-Liste
- Deutsche Wörter: Sommer, Winter, Schatz
- Jahreszahlen: 1990-2030
- Wort+Zahl: Passwort123
- Leetspeak: P@ssw0rd, H3llo
- Tastaturmuster: qwerty, asdfgh
Best Practices
- Passphrase: 4-5 zufällige Wörter
- Länge: Mindestens 16 Zeichen
- Unique: Nie das gleiche Passwort 2×
- Passwort-Manager: Bitwarden, KeePass, 1Password
- 2FA: Zweiter Faktor immer aktivieren
- Keine Muster: Kein Datum, Name, Ort
Warum "Passwort123" gefährlich ist
Obwohl Passwort123 auf 11 Zeichen kommt und alle Zeichensätze nutzt, ist es katastrophal schwach. Der Grund: Es besteht aus einem bekannten Wort ("Passwort") + Sequenz ("123") + ist in jeder Wörterbuchliste enthalten. Angreifer nutzen Wörterbuch-Angriffe, die genau solche Muster zuerst prüfen. Die reale Entropie liegt bei ~10-15 Bit (nicht 65!) – knackbar in Sekunden. Merke: Länge allein reicht nicht – der Inhalt muss unvorhersehbar sein!
3. Geschichte der Passwörter
Von Wörtern zu Passphrases – 60 Jahre Passwort-Entwicklung.
Erste Passwörter am MIT
Am MIT wird das CTSS (Compatible Time-Sharing System) mit Passwörtern eingeführt. Nutzer konnten sich mit einem einfachen Wort anmelden.
Kryptographisches Hashing
Unix führt Passwort-Hashing mit crypt() ein. Klartext-Passwörter werden nicht mehr gespeichert. Erste Version mit 25-facher DES-Verschlüsselung.
Erste Passwort-Wörterbücher
Morris & Thompson veröffentlichen eine Studie: 30% aller Passwörter sind Wörter aus einem 10.000-Wörter-Wörterbuch. Erste Passwort-Richtlinien entstehen.
Passwort-Richtlinien
Unternehmen führen Komplexitätsregeln ein: Großbuchstaben, Ziffern, Sonderzeichen, regelmäßige Wechsel. Erste Passwort-Manager (KeePass 2003) kommen auf.
Rainbow Tables
Rainbow Tables ermöglichen das schnelle Knacken von MD5/SHA1-Hashes. Salted Hashes werden Standard. bcrypt (1999) und scrypt (2009) als Antwort.
GPU-Cracking
Hashcat und John the Ripper nutzen GPUs. Cracking-Raten steigen auf Milliarden Versuche/Sekunde. Lange Passwörter werden essentiell.
NIST SP 800-63B
NIST veröffentlicht neue Richtlinien: Länge statt Komplexität, keine erzwungenen Wechsel, Passphrases fördern, Sperrlisten nutzen. Paradigmenwechsel!
Passkeys & FIDO2
Passkeys (WebAuthn, FIDO2) ersetzen Passwörter durch kryptographische Schlüssel. Phishing-resistent, keine Passwörter mehr nötig. Die Zukunft ist passwortlos.
4. FAQ – Häufige Fragen
Häufige Fragen zu Passwörtern
"Passwort123" erfüllt zwar die reine Entropie-Formel (11 Zeichen × log₂(62) ≈ 65 Bit), ist aber extrem schwach:
- Bekanntes Wort: "Passwort" ist in jeder Wörterbuchliste
- Sequenz: "123" ist die häufigste Ziffernfolge
- Muster: Wort + Zahl ist Standard-Angriffsziel #1
- Reale Entropie: ~10-15 Bit (nicht 65!)
Crack-Zeit: < 1 Sekunde mit moderner Hardware.
Merke: Die mathematische Entropie-Formel überschätzt Passwörter mit erkennbaren Mustern massiv!
Aktuelle Empfehlungen (NIST SP 800-63B):
| Verwendung | Mindestlänge |
|---|---|
| Web-Accounts | 8 Zeichen |
| Wichtige Accounts (E-Mail, Banking) | 12-15 Zeichen |
| Administrator-Passwörter | 20+ Zeichen |
| Passphrase (4-5 Wörter) | 25+ Zeichen |
| Kritische Infrastruktur | 30+ Zeichen |
Faustregel: Länge schlägt Komplexität. Eine Passphrase aus 5 zufälligen Wörtern (korrekt-pferd-batterie-klammer-2024) ist sicherer als ein 10-Zeichen-Passwort mit Sonderzeichen.
Entropie (nach Claude Shannon) misst die Zufälligkeit in Bits:
Formel: E = Länge × log₂(Zeichensatzgröße)
Zeichensatzgrößen:
- Nur Kleinbuchstaben: 26 (4,7 Bit/Zeichen)
- + Großbuchstaben: 52 (5,7 Bit/Zeichen)
- + Ziffern: 62 (5,95 Bit/Zeichen)
- + Sonderzeichen: 94 (6,55 Bit/Zeichen)
Wichtig: Diese Formel gilt nur für echt zufällige Passwörter. Bei erkennbaren Mustern (Wort+Zahl) ist die reale Entropie drastisch niedriger.
Unser Tool korrigiert die Entropie entsprechend erkannten Mustern nach unten.
Passphrases sind Sätze aus mehreren zufälligen Wörtern:
- Beispiel:
korrekt-pferd-batterie-klammer - Länge: 4-5 Wörter, 20-30 Zeichen
- Entropie: ~13 Bit pro Wort → 50-65 Bit
- Leicht zu merken: Bild im Kopf
- Schwer zu knacken: Keine Wörterbuch-Angriffe
Warum besser als kurze komplexe Passwörter?
- Länge: 25 Zeichen > 10 Zeichen
- Memorierbar: Kein Zettel nötig
- Robust: Auch gegen GPU-Cracking
- Diceware: Würfel-basiert (echt zufällig)
Empfehlung: 5 Wörter aus 7.776-Wort-Liste = ~65 Bit. Mit Sonderzeichen & Zahl = ~75 Bit.
Passkeys (WebAuthn, FIDO2) sind kryptographische Schlüsselpaare:
- Private Key: Bleibt auf deinem Gerät
- Public Key: Wird beim Dienst gespeichert
- Biometrie/PIN: Entsperrt den Private Key
- Kein Passwort: Wird nie übertragen
Vorteile:
- Phishing-resistent: Kein Geheimnis zum Stehlen
- Kein Passwort-Reuse: Pro Dienst eigener Key
- Bequem: Fingerabdruck oder Face ID
- Synchronisiert: iCloud, Google, 1Password
Aktueller Stand (2024): Apple, Google, Microsoft unterstützen Passkeys. PayPal, GitHub, Amazon bieten sie an. Nicht überall verfügbar.
Ja, sehr sicher – wenn richtig genutzt:
- Verschlüsselung: AES-256 für Datenbank
- Zero-Knowledge: Anbieter kennt Master-Passwort nicht
- Starke Ableitung: PBKDF2, Argon2 für Master-Key
- Open Source: KeePass, Bitwarden (besser)
- Unique Passwörter: Für jede Seite ein anderes
Nachteile:
- Single Point of Failure: Bei Verlust alle Passwörter weg
- Master-Passwort: Muss sehr stark sein
- Cloud-Anbieter: Vertrauen in Verschlüsselung
- Kompromittierung: Bei Malware auf Endgerät
Empfehlung: Bitwarden oder KeePass XC nutzen. Master-Passwort als Passphrase (25+ Zeichen).
NIST SP 800-63B (2017) empfiehlt keine erzwungenen Wechsel mehr:
Probleme mit erzwungenen Wechseln:
- Schwächere Passwörter: Nutzer wählen einfache Muster
- Inkrementell: Passwort1 → Passwort2 → Passwort3
- Post-it: Nutzer schreiben sie auf
- Kein Sicherheitsgewinn: Gegen moderne Angriffe
Neue Empfehlung: Nur bei Verdacht wechseln. Multi-Faktor ist besser als Wechsel.
Sofortmaßnahmen:
- 1. Passwort ändern: Beim betroffenen Dienst
- 2. Überall ändern: Wo dasselbe Passwort genutzt wurde
- 3. 2FA aktivieren: Zusätzliche Sicherheit
- 4. Konto prüfen: Auf unbekannte Aktivitäten
- 5. Bank informieren: Bei Zahlungsdaten
Prüfen, ob betroffen:
Langfristig: Passwort-Manager, 2FA überall, Passkeys wo möglich.
Zusammenfassung
Die wichtigsten Punkte
- Muster sind gefährlich: Passwort123 ist in Sekunden geknackt
- Länge schlägt Komplexität: 16+ Zeichen besser als 8 mit Sonderzeichen
- Entropie: Reale Entropie ist bei Mustern drastisch niedriger
- Passphrase: 4-5 zufällige Wörter = beste Balance
- Passwort-Manager: Bitwarden, KeePass, 1Password nutzen
- 2FA: Zweiter Faktor immer aktivieren
- Unique: Nie dasselbe Passwort für 2 Dienste
- Keine Jahreszeiten: Sommer2024 ist genauso schwach wie Passwort123
- Passkeys: Zukunft – phishing-resistent, bequem
- Unser Tool: Erweiterte Muster-Erkennung mit deutschen Wörtern
Weitere Sicherheits-Tools
Sichere Zufallspasswörter mit Web Crypto API erstellen.
Zum ToolMD5, SHA-1, SHA-256, SHA-512 Hashes generieren.
Zum ToolDetaillierte Entropie-Berechnung für Passphrases.
Zum ToolSSL/TLS-Zertifikate analysieren und dekodieren.
Zum Tool