Passwort testen: Wie sicher ist mein Passwort?

Ein Passwort-Test, der auf Ihrem Gerät bleibt

Dieses Werkzeug prüft die Stärke eines Passworts schon während der Eingabe. Es zählt nicht nur Großbuchstaben und Sonderzeichen, sondern sucht das, was Knackprogramme zuerst ausprobieren: die häufigsten Passwörter, Wörterbuchwörter, Tastaturfolgen wie qwertz, Wiederholungen, Datumsangaben und Buchstaben, die durch ähnliche Ziffern ersetzt wurden. Daraus ergeben sich die Zahl der nötigen Versuche, eine Bewertung in fünf Stufen und drei Zeiten zum Knacken.

Alles wird im Browser berechnet. Das Passwort wird weder gesendet noch gespeichert, und während der Prüfung gibt es keine Netzwerkanfrage. Auch ein Abgleich mit Datenlecks findet nicht statt: Manche Dienste bieten ihn an und senden dabei nur ein anonymisiertes Bruchstück des Passwort-Hashes, wir senden bewusst gar nichts.

So funktioniert es

1. Geben Sie das Passwort in „Zu prüfendes Passwort“ ein oder fügen Sie es ein. Es bleibt verdeckt; „Anzeigen“ macht es sichtbar, „Löschen“ leert das Feld. Solange es verdeckt ist, nennen die Schwächen nur Positionen („Zeichen 1 bis 6“) statt Ihres Textes.
2. Lesen Sie die „Stärke“ ab: Sehr schwach, Schwach, Mittel, Stark oder Sehr stark, dazu eine Anzeige mit fünf Feldern.
3. Prüfen Sie die „Geschätzte Zeit zum Knacken“ in drei Szenarien, die „Gefundenen Schwächen“ und die „Tipps“.

Was ein Passwort sicher macht

Entscheidend sind Länge und Unvorhersehbarkeit. Jedes zusätzliche Zeichen vervielfacht den Aufwand des Angreifers, solange es keinem bekannten Muster folgt. Komplexitätsregeln allein täuschen: P4ssw0rt! hat Großbuchstaben, Ziffern und ein Sonderzeichen. Ohne Berücksichtigung der Muster wären das 59 Bit. Das Werkzeug erkennt jedoch „passwort“ mit Ersetzungen: etwa 102.240 Versuche, 17 Bit, rund einen Monat bei einem gebremsten Online-Angriff und 10 Sekunden gegen einen langsamen Hash.

Passphrasen, Passwort-Manager und Zwei-Faktor-Authentifizierung

Eine Passphrase reiht mehrere zufällig gewählte Wörter aneinander. Zwei Wörter wie Sonne-Haus reichen nicht: etwa 1,9 × 10⁷ Versuche, 31 Minuten gegen einen langsamen Hash. Fünf Wörter aus einer Liste mit 1.296 Einträgen ergeben etwa 5,8 × 10¹⁶ Versuche, mehr als 185.000 Jahre gegen einen langsamen Hash. Die Wörter müssen ausgelost sein, nicht aus einem Sprichwort oder Liedtext stammen.

Verwenden Sie für jeden Dienst ein eigenes Passwort: Wird eine Datenbank gestohlen, probieren Angreifer dieselbe E-Mail-Adresse und dasselbe Passwort überall sonst. Ein Passwort-Manager erzeugt und speichert die Passwörter für Sie; merken müssen Sie sich nur eine starke Passphrase. Schalten Sie die Zwei-Faktor-Authentifizierung für E-Mail, Onlinebanking und soziale Netzwerke ein.

Nach einem Datenleck ändern Sie das betroffene Passwort sofort, ebenso ähnliche, melden offene Sitzungen ab und misstrauen E-Mails, die angeblich von diesem Dienst kommen.

Wie das Werkzeug rechnet, und seine Grenzen

Das Werkzeug sucht die für einen Angreifer günstigste Zerlegung des Passworts in bekannte Muster. Ein häufiges Passwort zählt mit seinem Rang in der Liste, ein deutsches Wörterbuchwort mit der Größe der Liste, ein Datum mit den plausiblen Jahren mal 365. Jedes Zeichen außerhalb eines Musters zählt als 10 Möglichkeiten, eine vorsichtige Annahme. Das Produkt ergibt die Versuche und die bereinigte Entropie.

Die Schwellen: unter 1.000 Versuchen sehr schwach, unter 100 Millionen schwach, unter 10¹³ mittel, unter 10¹⁸ stark, darüber sehr stark. Die Zeiten gehen von 100 Versuchen pro Stunde online, 10.000 pro Sekunde gegen einen langsamen Hash und 10 Milliarden pro Sekunde gegen einen schnellen Hash aus. Es sind Größenordnungen: eine Schätzung, keine Garantie. Was ein Angreifer über Sie weiß (Name des Hundes, Lieblingsverein), kennt das Werkzeug nicht, und es enthält nur einige tausend Wörter.

Häufige Fragen

Wird mein Passwort irgendwohin gesendet?

Nein. Die Prüfung läuft in der Seite, ohne dass das Tool während der Eingabe eine Anfrage sendet, und im Browser wird nichts gespeichert.

Warum ist „Schalke04“ nur schwach?

Vereinsnamen gehören zu den ersten Wörtern, die probiert werden. Mit großem Anfangsbuchstaben und zwei Ziffern kommen etwa 74.000 Versuche heraus: 7 Sekunden gegen einen langsamen Hash.

Brauche ich Sonderzeichen für ein starkes Passwort?

Sie helfen ein wenig, die Länge zählt aber viel mehr. Fünf zufällige Wörter in Kleinbuchstaben schlagen acht Zeichen voller Sonderzeichen.

Ist ein „Sehr stark“ bewertetes Passwort unknackbar?

Nein. Es widersteht dem Erraten, aber nicht Phishing, Spähsoftware oder der Wiederverwendung auf einer gehackten Seite.