Passwortstärke berechnen

So rechnet dieser Rechner

Formel

Die Stärke eines zufällig gewählten Passworts wird häufig als Entropie in Bit angegeben. Sie beschreibt, wie viele Möglichkeiten ein Angreifer im ungünstigsten Fall durchprobieren müsste:

Entropie (Bit) = Länge × log₂(Zeichenvorrat)

Der Zeichenvorrat ist die Anzahl der möglichen Zeichen pro Stelle. Kleinbuchstaben allein ergeben 26, Groß- und Kleinbuchstaben 52, zusätzlich Ziffern 62, mit Sonderzeichen oft 94 oder mehr. Der Logarithmus zur Basis 2 wandelt die Zahl der Kombinationen in Bit um.

Einstufung

Datenschutz

Die Berechnung erfolgt ausschließlich lokal in Ihrem Browser. Das eingegebene Passwort wird weder gespeichert noch an einen Server übertragen. Geben Sie dennoch nicht Ihre echten, aktiv genutzten Passwörter ein, sondern testen Sie Muster mit ähnlicher Länge und Zusammensetzung.

Beispielrechnungen

Ein Passwort mit 8 Kleinbuchstaben: log₂(26) ≈ 4,70; 8 × 4,70 ≈ 37,6 Bit, also schwach. Ein Passwort mit 12 Zeichen aus Groß- und Kleinbuchstaben sowie Ziffern (Zeichenvorrat 62): log₂(62) ≈ 5,95; 12 × 5,95 ≈ 71,5 Bit, also stark. Ein Passwort mit 16 Zeichen aus 94 möglichen: log₂(94) ≈ 6,55; 16 × 6,55 ≈ 104,9 Bit, also sehr stark.

Grenzen

Die Formel gilt nur, wenn jedes Zeichen zufällig und unabhängig gewählt wurde. Menschen wählen selten zufällig: Namen, Geburtsdaten, Wörterbuchwörter und Muster wie „Passwort1!“ sind für Angreifer viel leichter zu erraten, als die rechnerische Entropie vermuten lässt. Ein Passwort, das in einem Datenleck auftauchte, ist unabhängig von seiner Länge unbrauchbar. Außerdem hängt die Sicherheit davon ab, wie ein Dienst Passwörter speichert und wie viele Versuche er zulässt. Das BSI empfiehlt auf bsi.bund.de, lange, nur einmal verwendete Passwörter zu nutzen und einen Passwort-Manager sowie Zwei-Faktor-Authentifizierung einzusetzen. Der Rechner ist eine Orientierungshilfe, keine Garantie.

Tipps zur Anwendung

Probieren Sie verschiedene Varianten aus, um ein Gefühl für die Wirkung der Länge zu bekommen: Ein Zeichen mehr bringt oft mehr als ein zusätzliches Sonderzeichen. Eine praktikable Lösung sind zufällig erzeugte Passwörter aus einem Passwort-Manager mit mindestens 16 Zeichen oder Passphrasen aus mehreren zufällig gewählten Wörtern. Für Passphrasen gilt die Formel entsprechend, wenn Sie statt des Zeichenvorrats die Größe der Wortliste einsetzen und statt der Länge die Wortanzahl; bei vier Wörtern aus einer Liste mit 7.776 Einträgen ergeben sich rund 51,7 Bit.

Wichtig bleibt: Verwenden Sie jedes Passwort nur einmal und aktivieren Sie, wo möglich, die Zwei-Faktor-Authentifizierung.

Merken Sie sich außerdem, dass Passwörter nicht per E-Mail oder Messenger weitergegeben werden sollten. Zum sicheren Teilen nutzen Sie Funktionen Ihres Passwort-Managers. Erneuern Sie Passwörter, wenn ein Dienst ein Datenleck meldet, und prüfen Sie Ihre Adressen auf bekannte Lecks bei seriösen Diensten.

Je höher die Entropie, desto länger dauert ein Durchprobieren theoretisch; ob das praktisch relevant ist, hängt vom Angriffsweg ab. Online-Angriffe werden durch Sperren gebremst, Offline-Angriffe auf gestohlene Datenbanken nicht.