Wenn von "sicheren Passwörtern" die Rede ist, geht es im Kern um eine einzige Frage: Wie lange braucht ein Angreifer, um es durch reines Ausprobieren zu erraten? Genau das beschreibt ein Brute-Force-Angriff – das systematische Durchprobieren aller möglichen Zeichenkombinationen. Wie lange das dauert, lässt sich erstaunlich genau berechnen, und das Ergebnis überrascht die meisten: Es kommt viel weniger auf Sonderzeichen an, als man denkt, und viel mehr auf die Länge.
Was Brute-Force eigentlich bedeutet
Bei einem Brute-Force-Angriff probiert ein Programm jede mögliche Kombination aus dem verwendeten Zeichensatz durch, bis das richtige Passwort gefunden ist. Die Zahl der möglichen Passwörter ergibt sich aus einer einfachen Formel:
- Kombinationen = ZeichensatzgrößePasswortlänge
Ein Passwort aus nur Kleinbuchstaben nutzt einen Zeichensatz von 26 Zeichen. Bei 8 Stellen sind das 268 ≈ 208 Milliarden Kombinationen. Klingt nach viel – ist es aber nicht. Moderne Grafikkarten schaffen je nach Hash-Verfahren Milliarden bis Billionen Versuche pro Sekunde. Genau dieses Zusammenspiel aus Kombinationsmenge und Angreifer-Geschwindigkeit rechnet dir der Passwort Brute-Force-Zeit Rechner sofort vor, sodass du ein Gefühl für die echten Größenordnungen bekommst.
Warum Länge stärker wirkt als Komplexität
Jedes zusätzliche Zeichen multipliziert die Zahl der Kombinationen mit der Zeichensatzgröße. Das ist exponentielles Wachstum, und es schlägt jede Form von "Komplexität" durch Sonderzeichen.
Ein Beispiel: Ein 8-stelliges Passwort mit Groß-, Kleinbuchstaben, Ziffern und Sonderzeichen (Zeichensatz ca. 95) hat 958 ≈ 6,6 Billiarden Kombinationen. Ein 12-stelliges Passwort aus nur Kleinbuchstaben hat 2612 ≈ 95 Trilliarden Kombinationen – also rund 14 Millionen Mal mehr, obwohl es "einfacher" aussieht. Deshalb sind lange Passphrasen aus mehreren Wörtern in der Praxis sicherer als kurze, kryptische Zeichensalate, die man sich kaum merken kann.
- +1 Zeichen Länge ist meist wirkungsvoller als ein zusätzlicher Sonderzeichen-Block.
- Vier zufällige Wörter ergeben eine hohe Entropie und bleiben merkbar.
- Wiederverwendung macht jede Länge wertlos, sobald ein Dienst geleakt wird.
Die Rolle des Hash-Verfahrens
Passwörter werden bei seriösen Diensten nie im Klartext gespeichert, sondern als Hash. Wie schnell ein Angreifer testen kann, hängt massiv vom Verfahren ab. Ein schnelles Verfahren wie ungesalzenes MD5 erlaubt zig Milliarden Versuche pro Sekunde auf einer einzelnen GPU. Ein bewusst langsames Verfahren wie bcrypt, scrypt oder Argon2 bremst Angreifer auf einige Tausend bis wenige Millionen Versuche pro Sekunde – derselbe Passwortwert ist dann um Größenordnungen sicherer.
Das bedeutet: Die Knackzeit ist nie eine feste Zahl, sondern hängt immer von drei Faktoren ab – der Passwortlänge, dem Zeichensatz und der Angreifer-Hardware in Kombination mit dem Hash-Verfahren.
So nutzt du die Berechnung richtig
Trag im Rechner die Länge deines Passworts und den verwendeten Zeichensatz ein und wähle eine realistische Angreifer-Geschwindigkeit. Wenn das Ergebnis "Sekunden", "Minuten" oder "Stunden" zeigt, ist das Passwort akut gefährdet. Ziel sollten Zeiträume von vielen Jahrzehnten bis Jahrhunderten sein – dann lohnt sich der Angriff schlicht nicht mehr.
Wichtig: Brute-Force ist nur ein Angriffsweg. Gegen Wörterbuchangriffe (Listen bekannter Passwörter) hilft nur echte Zufälligkeit. Erzeuge Passwörter daher mit einem Generator und prüfe ihre reine Zufälligkeit mit dem Passwort Entropie Rechner. Weitere Sicherheitswerkzeuge findest du in der Übersicht der kotsch.tech Webtools.
Das Wichtigste in Kürze
- Knackzeit = Kombinationen geteilt durch Versuche pro Sekunde.
- Länge schlägt Komplexität – jedes Zeichen multipliziert den Aufwand.
- Langsame Hash-Verfahren (Argon2, bcrypt) erhöhen die Sicherheit drastisch.
- Einzigartige Passwörter pro Dienst plus Zwei-Faktor-Authentifizierung sind Pflicht.
Berechne die Brute-Force-Zeit für deine eigenen Passwörter direkt mit dem Passwort Brute-Force-Zeit Rechner – die Zahlen sind oft ein heilsamer Schock und der beste Anstoß für stärkere Passwörter.