"Mindestens acht Zeichen, ein Großbuchstabe, eine Zahl, ein Sonderzeichen" – diese Regel kennt jeder, aber sie sagt erstaunlich wenig über die tatsächliche Sicherheit eines Passworts aus. Das objektive Maß dafür heißt Entropie, gemessen in Bit. Dieser Artikel erklärt, was Passwort-Entropie bedeutet, wie man sie berechnet und warum Länge fast immer wichtiger ist als komplizierte Sonderzeichen.
Was bedeutet Entropie bei Passwörtern?
Entropie ist ein Maß für die Unvorhersehbarkeit. Bei Passwörtern beschreibt sie, wie viele mögliche Kombinationen ein Angreifer durchprobieren müsste, um das richtige zu finden. Je höher die Entropie, desto mehr Versuche sind nötig und desto sicherer ist das Passwort gegen einen Brute-Force-Angriff.
Gemessen wird in Bit: Jedes zusätzliche Bit verdoppelt die Anzahl der möglichen Kombinationen. 40 Bit Entropie bedeuten rund eine Billion Möglichkeiten, 60 Bit schon etwa eine Trillion. Mit dem Passwort Entropie Rechner gibst du ein Passwort ein und siehst sofort, wie viele Bit es bietet und wie stark es einzuordnen ist.
Die Formel hinter der Entropie
Die Berechnung ist einfacher, als sie klingt. Sie beruht auf zwei Größen:
- Zeichenvorrat (N): Wie viele unterschiedliche Zeichen kommen theoretisch infrage? Nur Kleinbuchstaben sind 26, mit Großbuchstaben 52, mit Ziffern 62, mit gängigen Sonderzeichen rund 94.
- Länge (L): Wie viele Zeichen hat das Passwort?
Die Entropie ergibt sich aus L × log₂(N). Ein Passwort aus 12 Kleinbuchstaben bietet 12 × log₂(26) ≈ 12 × 4,7 = rund 56 Bit. Nimmst du denselben Zeichenvorrat, aber 16 statt 12 Zeichen, steigt die Entropie auf rund 75 Bit – ein gewaltiger Unterschied, allein durch mehr Länge.
Warum Länge wichtiger ist als Sonderzeichen
Genau hier liegt der entscheidende Punkt, den die klassische Komplexitätsregel verfehlt. Den Zeichenvorrat zu vergrößern bringt nur linear etwas, die Länge dagegen multipliziert die Entropie:
- P4ss! (5 Zeichen, voller Vorrat von 94): rund 33 Bit – trotz Sonderzeichen schwach.
- pferdebatteriestapler (21 Kleinbuchstaben): rund 99 Bit – deutlich stärker.
Eine lange, leicht merkbare Passphrase aus mehreren Wörtern schlägt also ein kurzes, kompliziertes Passwort fast immer. Wichtig ist nur, dass die Wörter wirklich zufällig gewählt sind und keine bekannten Zitate oder offensichtlichen Phrasen bilden – sonst greift ein Wörterbuchangriff statt eines Brute-Force-Angriffs.
Wie viele Versuche braucht ein Angreifer?
Aus der Entropie lässt sich grob abschätzen, wie lange ein Angriff dauert. Eine durchschnittliche Suche findet das Passwort nach etwa der Hälfte aller Möglichkeiten. Bei 40 Bit und einer Hardware, die eine Milliarde Versuche pro Sekunde schafft, ist das Passwort in unter einer Minute geknackt. Bei 80 Bit reden wir bereits über Millionen von Jahren. Als grobe Orientierung gelten:
- unter 40 Bit: schwach, für sensible Konten ungeeignet.
- 40–60 Bit: okay für unwichtige Zugänge, aber nicht für Kernkonten.
- 60–80 Bit: solide für die meisten Anwendungsfälle.
- über 80 Bit: sehr stark, auch gegen leistungsfähige Angreifer.
Wichtig: Diese Werte gelten für reine Brute-Force-Angriffe. In der Praxis schützt zusätzlich serverseitiges Hashing mit langsamen Verfahren, und kompromittierte Passwörter aus Datenlecks sind unabhängig von ihrer Entropie unsicher.
Praktische Anwendung
Bevor du ein neues Passwort für ein wichtiges Konto festlegst, prüfe seine Stärke mit dem Passwort Entropie Rechner – komplett lokal im Browser, dein Passwort verlässt nie dein Gerät. Wenn du lieber eindeutige Zufalls-Bezeichner statt merkbarer Passphrasen brauchst, etwa für API-Schlüssel oder Tokens, hilft der NanoID Generator. Weitere Sicherheits- und Entwickler-Tools findest du in der Übersicht der kotsch.tech Webtools.
Häufige Fragen
Macht ein Sonderzeichen mein Passwort wirklich sicherer?
Ein wenig, aber weniger als gedacht. Sonderzeichen vergrößern den Zeichenvorrat und damit die Entropie pro Stelle leicht. Ein zusätzliches Zeichen Länge bringt jedoch fast immer mehr Sicherheit als ein einzelnes Sonderzeichen in einem kurzen Passwort.
Warum gelten 80 Bit als sicher, wenn 128-Bit-Schlüssel üblich sind?
Kryptografische Schlüssel müssen Angriffen über Jahrzehnte standhalten und werden daher mit großem Sicherheitspuffer dimensioniert. Für ein menschliches Login-Passwort, das zusätzlich durch Rate-Limits und Account-Sperren geschützt ist, bietet ein Wert um 80 Bit bereits sehr soliden Schutz.
Berücksichtigt die Entropie auch bekannte Passwörter?
Nein. Die Entropie-Formel geht von rein zufälliger Wahl aus. Ein Passwort wie "Passwort123!" hat rechnerisch eine hohe Entropie, steht aber in jeder Angriffsliste und ist trotzdem unsicher. Vermeide deshalb bekannte Wörter, Muster und wiederverwendete Passwörter.