"Mein Passwort ist sicher" – dieser Satz beruht oft auf einem Bauchgefühl, nicht auf einer Messung. Dabei lässt sich die Stärke eines Passworts erstaunlich präzise berechnen. Dieser Ratgeber erklärt, was die Crack-Zeit wirklich aussagt, warum scheinbar clevere Passwörter trotzdem schwach sein können und wie du dein Passwort sicher prüfst, ohne es jemals aus der Hand zu geben.
Entropie: Die Maßeinheit für Passwortstärke
Die Stärke eines Passworts wird in Entropie gemessen, ausgedrückt in Bit. Vereinfacht gesagt beschreibt die Entropie, wie unvorhersehbar ein Passwort ist – also wie viele Versuche ein Angreifer im Durchschnitt braucht, um es zu erraten. Jedes zusätzliche Bit verdoppelt die Zahl der nötigen Versuche.
Ein grober Maßstab: Unter 28 Bit gilt ein Passwort als sehr schwach, 36–59 Bit als mäßig, 60–127 Bit als stark und ab 128 Bit als praktisch unknackbar. Mit dem Passwort-Check siehst du diese Werte für dein eigenes Passwort direkt im Browser – inklusive geschätzter Crack-Zeit.
Crack-Zeit: Wie lange hält ein Passwort wirklich?
Die Crack-Zeit übersetzt die abstrakte Entropie in eine greifbare Größe: Wie lange würde ein Angreifer mit realistischer Hardware brauchen, um das Passwort durch Ausprobieren zu finden? Moderne Grafikkarten schaffen Milliarden Hash-Berechnungen pro Sekunde, spezialisierte Hardware-Cluster noch deutlich mehr.
Ein Beispiel verdeutlicht den Unterschied: Ein achtstelliges Passwort aus nur Kleinbuchstaben fällt in Sekunden. Ein zwölfstelliges Zufallspasswort mit gemischten Zeichen würde selbst leistungsstarke Angreifer rechnerisch Jahrhunderte beschäftigen. Genau dieser Sprung zeigt, warum Länge so entscheidend ist.
Warum cleveres Aussehen nicht reicht
Viele Menschen halten Passwörter wie "P@ssw0rt!" oder "Qwertz123" für sicher, weil sie kompliziert aussehen. Tatsächlich sind sie es nicht – denn Angreifer rechnen nicht zufällig, sondern intelligent.
Wörterbuchmuster
Ein Wörterbuchangriff testet zuerst alle bekannten Wörter, Namen und gängige Passwörter – auch in Varianten mit ersetzten Zeichen (a→@, o→0, i→1). Solche "Leetspeak"-Ersetzungen sind seit Jahren Standard in jeder Angriffssoftware und bieten keinen Schutz. "P@ssw0rt" ist für ein Crackprogramm fast so leicht wie "passwort".
Tastaturmuster
Sequenzen wie "qwertz", "asdf" oder "123456" liegen räumlich auf der Tastatur nebeneinander und stehen ganz oben auf jeder Angriffsliste. Auch das Anhängen einer Zahl oder eines Ausrufezeichens am Ende ändert daran wenig. Ein guter Passwort-Check erkennt genau diese Muster und stuft das Passwort entsprechend herab.
Lokale Prüfung: Niemals dein echtes Passwort hochladen
Beim Prüfen eines Passworts gilt eine eiserne Regel: Gib dein tatsächliches Passwort niemals in einen Dienst ein, der es an einen Server sendet. Ein seriöses Prüfwerkzeug rechnet vollständig lokal im Browser – das Passwort verlässt dein Gerät nicht. So kannst du Stärke und Muster gefahrlos analysieren, ohne ein neues Risiko zu schaffen.
Aus demselben Grund solltest du Passwörter nicht testweise in Suchmaschinen oder Chat-Programme tippen. Jede Übertragung ist eine potenzielle Schwachstelle.
Was du nach der Prüfung tun solltest
- Schwaches Passwort? Ersetze es sofort durch ein langes Zufallspasswort aus dem Passwort-Generator.
- Mehrfach verwendet? Vergib für jeden Dienst ein eigenes, einzigartiges Passwort.
- Schwer zu merken? Nutze eine Passphrase aus mehreren Zufallswörtern oder einen Passwort-Manager.
- Zweite Stufe: Aktiviere überall dort, wo möglich, die Zwei-Faktor-Authentifizierung.
Fazit
Passwortstärke ist keine Geschmacksfrage, sondern messbar. Entropie und Crack-Zeit zeigen objektiv, ob ein Passwort hält oder in Sekunden fällt – und Muster-Erkennung entlarvt scheinbar clevere Tricks. Prüfe deine wichtigsten Passwörter mit dem Passwort-Check und tausche jedes schwache Exemplar aus. Weitere Sicherheits-Werkzeuge findest du in der Webtools-Übersicht.