Anleitung

Geben Sie das Passwort in das Feld ein oder fügen Sie es dort ein. Es ist standardmäßig verborgen. Mit „Anzeigen“ können Sie prüfen, was Sie eingegeben haben.
Lesen Sie die Stärkebezeichnung, die Entropiewerte und die ungefähre Schätzung der Knackzeit ab.
Sehen Sie sich die gefundenen Muster an und folgen Sie den Tipps, um das Passwort schwerer erratbar zu machen.

So funktioniert es

Der Prüfer berechnet zunächst die Entropie des verwendeten Zeichenvorrats: die Anzahl möglicher Zeichen (26 Kleinbuchstaben, 26 Großbuchstaben, 10 Ziffern, 33 ASCII-Symbole einschließlich Leerzeichen und 100 für jedes andere Zeichen, etwa Buchstaben mit Akzenten oder Emoji), potenziert mit der Länge. Das Ergebnis in Bit wird als log2(Zeichenvorrat) × Länge ausgedrückt. Dabei wird angenommen, dass jedes Zeichen zufällig gewählt wurde – was bei selbst ausgedachten Passwörtern selten der Fall ist.

Anschließend sucht der Prüfer nach Mustern, die Angreifer zuerst ausprobieren, und berechnet für jeden gefundenen Bestandteil nur die Anzahl an Bit, die zum Erraten dieses Musters nötig ist: eine integrierte Liste der 1.000 häufigsten Passwörter, etwa 3.000 häufig verwendete englische Wörter und 600 gängige Vornamen (auch nach dem Rückgängigmachen von Leetspeak-Ersetzungen wie 4→a, 3→e, 0→o, $→s), Tastaturfolgen wie qwerty und asdf, Sequenzen wie abc oder 4321, wiederholte Zeichen oder Blöcke, Jahreszahlen von 1900 bis 2099 und Datumsangaben wie 12/05/1990 oder 19900512. Das Ergebnis wird als „Schätzung nach Mustern“ angezeigt. Die Methode ähnelt im Grundprinzip dem Open-Source-Schätzverfahren zxcvbn, ist aber einfacher.

Die geschätzte Zeit zum Knacken basiert auf 10 Milliarden Versuchen pro Sekunde – ungefähr der Leistung einiger moderner Grafikkarten bei einem schnellen Hash ohne Salt wie MD5 oder SHA-1 in einem Offline-Angriff. Außerdem wird angenommen, dass im Durchschnitt die Hälfte der verbleibenden Möglichkeiten ausprobiert werden muss. Online-Angriffe auf ein Anmeldeformular sind viel langsamer; gut konfigurierte, langsame Hash-Verfahren ebenfalls. Betrachten Sie den Wert als Größenordnung, nicht als Versprechen. Der Prüfer weiß nicht, ob Ihr Passwort in einem Datenleck aufgetaucht ist.

Beispiele

Ein typisches Passwort, das „stark“ wirkt

„Summer2023!“ hat 11 Zeichen und enthält alle vier Zeichentypen. Die Entropie des Zeichenvorrats beträgt daher etwa 72 Bit. Der Prüfer erkennt das Wort „Summer“ und die Jahreszahl 2023; dadurch sinkt die Schätzung auf ungefähr 22 Bit: sehr schwach und offline in deutlich unter einer Sekunde zu erraten.

Leetspeak hilft nicht

„P@55w0rd“ wird mit seinen Ersetzungen als „password“ erkannt – eines der häufigsten Passwörter. Es gilt als sehr schwach, unabhängig davon, wie viele Symbole es enthält.

Ein zufälliges Passwort

Ein 16 Zeichen langes, mit einem Generator erstelltes Passwort wie „v7#Qm!2pXr9$Lw4z“ enthält keine erkennbaren Muster. Die Schätzung entspricht dem Wert des Zeichenvorrats von etwa 105 Bit und gilt als sehr stark.

Häufig gestellte Fragen

Ist es sicher, mein echtes Passwort hier einzugeben?

Die Analyse läuft vollständig in Ihrem Browser mit JavaScript auf dieser Seite. Das Passwort wird nicht an einen Server gesendet, gespeichert oder in Analysen erfasst. Wenn Sie möchten, prüfen Sie stattdessen ein Passwort mit derselben Struktur wie das echte.

Warum ist mein Passwort schwächer, als der Entropiewert vermuten lässt?

Bei der Entropie des Zeichenvorrats wird angenommen, dass jedes Zeichen zufällig ist. Knack-Tools probieren Wörter, Namen, Datumsangaben und Tastaturmuster zuerst aus. Deshalb bewertet der Prüfer sie als deutlich leichter zu erraten. Das zeigt der Wert „Schätzung nach Mustern“.

Wird geprüft, ob mein Passwort geleakt wurde?

Nein. Der Prüfer vergleicht Ihr Passwort nur mit einer integrierten Liste der 1.000 häufigsten Passwörter und schätzt, wie leicht es zu erraten ist. Für eine Prüfung auf Datenlecks ist ein separater Dienst nötig. Wenn Sie einen solchen nutzen, wählen Sie einen, der nur einen Teil des Passwort-Hashes erhält.

Welcher Wert ist ein gutes Ziel?

Für die meisten Konten sollten Sie mindestens „stark“ anstreben (60 Bit oder mehr nach Berücksichtigung von Mustern). Für das Master-Passwort eines Passwort-Managers oder für Ihr E-Mail-Konto sollten Sie „sehr stark“ anstreben (80 Bit oder mehr), zum Beispiel mit einer Passphrase aus sechs zufälligen Wörtern.

Warum zeigen verschiedene Passwortprüfer unterschiedliche Ergebnisse?

Jeder Stärkeindikator verwendet eigene Wortlisten, Musterregeln und Annahmen zur Geschwindigkeit von Angreifern. Einfache Indikatoren zählen nur die Zeichentypen und bewerten dadurch Passwörter wie „Password1!“ zu gut. Nutzen Sie Schätzungen als Orientierung, nicht als exakte Messwerte.

Datenschutz

Das Passwort wird ausschließlich in Ihrem Browser analysiert. Es wird weder hochgeladen noch gespeichert, protokolliert oder an Analysedienste gesendet. Erfasst wird lediglich ein anonymes Ereignis, dass das Tool verwendet wurde. Die Listen mit häufigen Passwörtern und Wörtern sind Teil der Seite; es werden keine Daten über das Netzwerk abgerufen.