Passwort-Entropie-Rechner

TL;DR: Um die Passwort-Entropie zu berechnen, verwenden Sie die Formel E = L × log₂(R), wobei L die Passwortlänge und R die Größe des Zeichensatzes ist (z. B. 26 für Kleinbuchstaben, 52 für Groß- und Kleinbuchstaben, 94 für alle druckbaren ASCII-Zeichen). Das ergibt die Gesamtzahl der möglichen Kombinationen, ausgedrückt in Bits. Der Passwort-Entropie-Rechner wendet diese Formel automatisch an und zeigt auch die geschätzte Zeit zum Knacken des Passworts bei 10 Milliarden Versuchen pro Sekunde an.

Was ist der Passwort-Entropie-Rechner?

Der Passwort-Entropie-Rechner ist ein Sicherheitsanalysetool, das die Unvorhersehbarkeit eines Passworts oder einer Passphrase quantifiziert. Er nimmt zwei wichtige Eingaben von Ihnen entgegen – die Passwortlänge (die Anzahl der Zeichen) und die Größe des Zeichensatzes (die Anzahl der möglichen Zeichen, die Sie verwendet haben, z. B. Kleinbuchstaben, Ziffern oder Symbole) – und wandelt diese in eine einzelne Zahl um, die als „Entropie“ bezeichnet wird und in Bits gemessen wird. Diese Zahl ist die wichtigste Kennzahl zur Bewertung, wie widerstandsfähig Ihr Passwort gegen Brute-Force-Angriffe ist.

Dieser Rechner ist unerlässlich für Cybersicherheitsexperten, Systemadministratoren und normale Internetnutzer, die über den vagen Rat „verwenden Sie ein starkes Passwort“ hinausgehen möchten. Statt zu raten, erhalten Sie ein präzises, mathematisches Maß für die Stärke. Beispielsweise kann ein Passwort mit 30 Bits Entropie in Sekunden geknackt werden, während eines mit 80 Bits mit aktueller Hardware Jahrhunderte dauern würde. Das Tool ist ebenso nützlich für Entwickler, die Passwortrichtlinien festlegen müssen, wie für Einzelpersonen, die verschiedene Passwort-Generierungsstrategien vergleichen (z. B. zufällige Wörter vs. modifizierte Phrasen).

Die Berechnung folgt dem Standardmodell der Informationstheorie, das von Claude Shannon entwickelt wurde. Es ist der Industriestandard, der von Passwort-Managern wie 1Password und Bitwarden verwendet wird, um die Passwortstärke zu bewerten. Durch die Automatisierung dieser Formel nimmt der Rechner jede Rätselraterei aus dem Prozess und liefert jedes Mal ein eindeutiges, reproduzierbares Ergebnis.

So verwenden Sie den Rechner

Dieses Tool ist so konzipiert, dass es intuitiv ist, aber wenn Sie diese Schritte befolgen, stellen Sie sicher, dass Sie das genaueste Ergebnis erhalten. Der gesamte Vorgang dauert weniger als 10 Sekunden.

1. Geben Sie die Passwortlänge ein: Geben Sie im ersten Eingabefeld die Gesamtzahl der Zeichen in Ihrem Passwort ein. Zählen Sie jeden Buchstaben, jede Zahl, jedes Symbol und jedes Leerzeichen. Wenn Ihr Passwort beispielsweise Tr0ub4dor&99 ist, beträgt die Länge 12.
2. Wählen Sie die Größe des Zeichensatzes: Wählen Sie im zweiten Eingabefeld die Menge der möglichen Zeichen, die Sie verwendet haben. Die Optionen sind in der Regel:
   • Nur Kleinbuchstaben: Zeichensatzgröße = 26 (a-z)
   • Klein- und Großbuchstaben: Zeichensatzgröße = 52 (a-z, A-Z)
   • Klein- und Großbuchstaben + Zahlen: Zeichensatzgröße = 62 (plus 0-9)
   • Alle druckbaren ASCII-Zeichen (einschließlich Symbole): Zeichensatzgröße = 94 (plus !, @, #, $, %, usw.)
   Wenn Sie eine Mischung aus Zeichen verwenden, wählen Sie die größte Option, die zutrifft. Für ein wirklich zufälliges Passwort mit allen Tastaturzeichen wählen Sie 94.
3. Senden Sie die Werte: Klicken Sie auf die Schaltfläche „Berechnen“ oder „Berechnen“. Der Rechner verarbeitet Ihre Eingaben sofort.
4. Überprüfen Sie die Ausgaben: Das Tool zeigt zwei wichtige Ergebnisse an: die Entropie (in Bits) und die Geschätzte Zeit zum Knacken (unter der Annahme einer Standardangriffsrate von 10 Milliarden Versuchen pro Sekunde). Eine höhere Bitanzahl bedeutet immer eine bessere Sicherheit.

Wenn Sie sich beim Zeichensatz nicht sicher sind, wählen Sie lieber den kleinsten Satz, der auf Ihre tatsächlichen Zeichen zutrifft. Eine Überschätzung des Zeichensatzes erhöht Ihren Entropiewert künstlich.

Formel und Berechnungsmethode

Im Kern verwendet der Passwort-Entropie-Rechner eine einfache logarithmische Formel. Er berücksichtigt keine Wörterbuchwörter oder häufigen Muster; er geht davon aus, dass das Passwort gleichmäßig zufällig aus dem angegebenen Zeichensatz erzeugt wird. Dies ist die Standardannahme für die Bewertung der kryptografischen Stärke.

Die Formel lautet:

E = L × log₂(R)

Wobei:

• E = Entropie in Bits (das Ergebnis).
• L = Länge des Passworts (Anzahl der Zeichen).
• R = Größe des Zeichensatzes (z. B. 26, 52, 62 oder 94).
• log₂ = Der Logarithmus zur Basis 2. Er gibt an, wie viele „Ja/Nein“-Fragen erforderlich sind, um das Passwort zu erraten.

Schritt-für-Schritt-Beispiel:

Berechnen wir die Entropie für das Passwort K9!xZ mit einer Länge von 5 Zeichen, wobei wir annehmen, dass es alle druckbaren ASCII-Zeichen verwendet (Satz = 94).

1. Eingaben identifizieren: Länge (L) = 5, Zeichensatz (R) = 94.
2. Formel anwenden: E = 5 × log₂(94).
3. log₂(94) berechnen: Zuerst den natürlichen Logarithmus (ln) von 94 finden, der ungefähr 4,543 beträgt. Dann ln(2) finden, der ungefähr 0,693 beträgt. Dividieren: 4,543 / 0,693 = 6,55 Bits pro Zeichen.
4. Multiplikation abschließen: E = 5 × 6,55 = 32,75 Bits.

Der Rechner führt diese Berechnung sofort durch. Außerdem schätzt er die Zeit zum Knacken, indem er die Gesamtzahl der möglichen Kombinationen (2^E) durch die Versuche pro Sekunde dividiert. In diesem Fall beträgt 2^32,75 etwa 7,3 Milliarden. Bei 10 Milliarden Versuchen pro Sekunde wäre dieses Passwort in weniger als 1 Sekunde geknackt.

Dies zeigt eine entscheidende Erkenntnis: Die Länge ist normalerweise wichtiger als die Komplexität des Zeichensatzes. Das Hinzufügen eines Zeichens zu einem Passwort erhöht die Entropie linear, während das Hinzufügen eines neuen Zeichentyps (wie Symbole) den Faktor log₂(R) nur geringfügig erhöht.

Praktische Beispiele

Hier sind drei realistische Szenarien, die zeigen, wie unterschiedliche Eingaben die Ausgabe drastisch verändern. Diese Beispiele verwenden die Rechnerlogik, um häufige Anwendungsfälle zu veranschaulichen.

Analyse: Die 6-stellige PIN ist trivial zu knacken, da der Satz winzig und die Länge kurz ist. Die Kleinbuchstaben-Phrase ist viel besser wegen ihrer Länge, obwohl sie einen kleinen Satz verwendet. Die zufällige Zeichenfolge mit Symbolen ist am stärksten, da sie eine beträchtliche Länge mit dem maximalen Zeichensatz kombiniert und die Gesamtzahl der Kombinationen auf astronomische Werte treibt.

Beachten Sie, dass das 10-stellige zufällige Passwort (65,7 Bits) deutlich stärker ist als die 13-stellige Kleinbuchstaben-Phrase (61,1 Bits), obwohl es kürzer ist. Dies zeigt, dass eine Mischung aus Komplexität und Länge optimale Sicherheit ergibt.

Tipps für genaue Ergebnisse

Um sicherzustellen, dass der Rechner Ihnen eine echte Darstellung der Sicherheit Ihres Passworts liefert, beachten Sie die folgenden Fallstricke bei den Eingabefeldern. Wenn Sie diese falsch machen, führt das zu übermütigen oder irreführenden Ergebnissen.

• Überprüfen Sie den Zeichensatz, raten Sie nicht: Der häufigste Fehler ist die Auswahl von „Alle ASCII (94)“, wenn Ihr Passwort nur Kleinbuchstaben verwendet. Wenn Ihr Passwort summer2024 ist, müssen Sie die Satzgröße für Kleinbuchstaben + Zahlen (62) verwenden, nicht 94. Die Verwendung eines größeren Satzes als tatsächlich vorhanden erhöht die Entropiezahl und lässt Sie glauben, Ihr Passwort sei stärker, als es ist.
• Zählen Sie jedes Zeichen genau: Leerzeichen zählen. Wenn Ihre Passphrase „vier Wörter lang“ mit Leerzeichen ist, sind die Leerzeichen Teil der Zeichenfolge und erhöhen die Länge. Zählen Sie sie manuell. Ein typischer Fehler ist das Vergessen von nachgestellten oder führenden Leerzeichen, was Ihre Entropie stillschweigend verringert.
• Fügen Sie keinen „Sicherheitszuschlag“ zur Eingabe hinzu: Der Rechner berechnet deterministische Mathematik. Fügen Sie dem Längenfeld nicht manuell zusätzliche Zeichen „nur für den Fall“ hinzu. Berechnen Sie stattdessen die echte Länge. Wenn Sie einen Sicherheitszuschlag wünschen, verwenden Sie in der Realität ein längeres Passwort, nicht eine verfälschte Zahl im Rechner. Das Ergebnis, das Sie erhalten, ist das Ergebnis, das Sie haben.
• Erkennen Sie die Grenze der Zufälligkeit: Dieser Rechner geht davon aus, dass Ihr Passwort zufällig generiert ist. Wenn Sie ein vorhersehbares Muster verwenden (z. B. „abcdefg“ oder „P@ssw0rd“), wird der Angreifer nicht alle Kombinationen per Brute-Force durchgehen, sondern einen Wörterbuchangriff verwenden. In diesem Fall ist die vom Rechner angezeigte Entropie bedeutungslos und viel zu optimistisch. Betrachten Sie das Ergebnis nur als theoretisches Maximum für zufällige Zeichenfolgen.
• Verwenden Sie die Standard-Knackrate: Die „10 Milliarden Versuche pro Sekunde“ ist ein Standard-Basiswert für eine moderne GPU-Rig. Wenn Sie jedoch Daten gegen einen Angreifer auf Staatsebene mit benutzerdefinierter Hardware schützen, könnte die tatsächliche Zeit 1.000-mal schneller sein. Der Bitwert ist konstant; nur die Zeitschätzung skaliert.

Häufig gestellte Fragen

Was ist eine „gute“ oder „sichere“ Passwort-Entropiezahl?

Branchenstandards legen nahe, dass Sie für persönliche Konten mindestens 60 Bits Entropie anstreben sollten. Für Unternehmens- oder Hochsicherheitsumgebungen (wie Banking oder Serveradministration) sollten Sie 80 Bits oder mehr anstreben. Hier ist eine praktische Aufschlüsselung: 0–30 Bits ist trivial zu knacken, 30–50 Bits ist in Tagen knackbar, 50–70 Bits ist für den persönlichen Gebrauch für einige Jahre sicher, und 70+ Bits gilt allgemein als robust gegen Offline-Angriffe über Jahrzehnte. Um mit einem 94-Zeichen-Satz 60 Bits zu erreichen, benötigen Sie ein Passwort mit mindestens 10 Zeichen. Mit nur Kleinbuchstaben benötigen Sie 13 Zeichen. Der Rechner hilft Ihnen, genau zu sehen, wo Ihr Passwort auf diesem Spektrum liegt.

Warum zeigt der Rechner eine lange Passphrase als schwächer an als eine kurze zufällige Zeichenfolge?

Dies passiert, wenn die Passphrase nur Kleinbuchstaben verwendet (Satz = 26) und die kurze Zeichenfolge alle Symbole und Zahlen verwendet (Satz = 94). Die Entropieformel E = L × log₂(R) zeigt, dass der Multiplikator (log₂(R)) für den Kleinbuchstaben-Satz nur 4,7 Bits pro Zeichen beträgt, während er für den vollen ASCII-Satz 6,55 Bits pro Zeichen beträgt. Dies zeigt jedoch, warum die Länge der dominante Faktor ist. Eine 20-Zeichen-Kleinbuchstaben-Passphrase (20 × 4,7 = 94 Bits) ist deutlich stärker als eine 10-Zeichen-Zufallszeichenfolge (10 × 6,55 = 65,5 Bits). Der Rechner spiegelt die Mathematik korrekt wider. Die scheinbare „Schwäche“ einer Passphrase tritt nur auf, wenn sie sehr kurz ist. Unser Beispiel in der Tabelle zeigte eine 13-Zeichen-Kleinbuchstaben-Phrase, die schwächer war als ein 10-Zeichen-Passwort mit vielen Symbolen. Wenn Sie die Passphrase auf 15 Zeichen erhöhen, gewinnt sie.

Berücksichtigt der Rechner häufige Passwortmuster wie „qwerty“ oder Tastaturpfade?

Nein, tut er nicht. Dies ist der wichtigste Vorbehalt. Die Entropieformel (E = L × log₂(R)) geht davon aus, dass jedes Zeichen gleich wahrscheinlich und vollständig unabhängig von den anderen ist. Wenn Ihr Passwort „qwerty123“ ist (9 Zeichen, Satz 62), würde der Rechner ungefähr 54 Bits Entropie ausgeben, was auf mittlere Stärke hindeutet. In der Realität ist es eines der ersten Passwörter, die Angreifer bei einem Wörterbuchangriff testen, und es wäre sofort kompromittiert. Der Rechner gibt die theoretische maximale Entropie für eine zufällig generierte Zeichenfolge dieser Länge und dieses Satzes an. Wenn Sie Muster, Namen, Daten oder Tastaturpfade verwenden, ist die tatsächliche Entropie dramatisch niedriger, oft nahe Null. Betrachten Sie das Rechnerergebnis als ungültig für jedes Passwort, das einem menschlich vorhersehbaren Muster folgt.