Passwort-Sicherheit (Bits)

TL;DR: Um die Passwort-Entropie zu berechnen, verwenden Sie die Formel E = L × log₂(R), wobei L die Passwortlänge und R die Größe des Symbolpools (Zeichensatz) ist. Das Ergebnis erhalten Sie in Bits – eine Zahl, die direkt angibt, wie viele Versuche ein Angreifer durchschnittlich benötigt, um das Passwort zu knacken.

Was ist der Passwort-Entropie-Rechner?

Der Passwort-Entropie-Rechner ist ein kostenloses Online-Tool, das die Stärke eines Passworts in einer einzigen, objektiven Zahl quantifiziert: Bits der Entropie. Anstatt sich auf vage Bezeichnungen wie „mittel" oder „gut" zu verlassen, wendet dieser Rechner die Informationstheorie an, um die Unvorhersehbarkeit Ihres Passworts zu messen. Die Grundidee ist einfach: Die Stärke eines Passworts hängt nicht nur von seiner Länge ab, sondern davon, wie viele mögliche Kombinationen ein Angreifer beim Raten überprüfen muss. Jedes zusätzliche Bit Entropie verdoppelt die Anzahl der möglichen Passwörter und macht Brute-Force-Angriffe exponentiell schwieriger.

Dieses Tool ist unverzichtbar für Cybersicherheitsexperten, Systemadministratoren, die Passwortrichtlinien festlegen, Entwickler, die Authentifizierungssysteme erstellen, und normale Benutzer, die sicherstellen möchten, dass ihre Passphrasen wirklich angriffssicher sind. Es ist besonders nützlich beim Erstellen von Master-Passwörtern für Passwortmanager, da ein einziges kompromittiertes Master-Passwort alle anderen Zugangsdaten offenlegt. Der Rechner nimmt das Rätselraten heraus und liefert eine mathematisch fundierte Sicherheitsschätzung, die auf zwei grundlegenden Eingaben basiert, die Sie kontrollieren: wie lang das Passwort ist und wie unterschiedlich die Zeichen sind.

Es ist wichtig zu verstehen, was dieser Rechner misst und was nicht. Er berechnet die Entropie unter der Annahme, dass jedes Zeichen zufällig aus dem angegebenen Symbolpool gewählt wird. Er berücksichtigt keine menschlichen Muster, Wörterbuchwörter oder wiederverwendete Passwörter – das sind separate Schwachstellen, die die reale Sicherheit drastisch reduzieren können. Das Tool ist ein Ausgangspunkt; es gibt die theoretische Maximalstärke eines zufällig generierten Passworts an, was die sicherste Basis ist, mit der man arbeiten kann.

So verwenden Sie den Rechner

Die Verwendung des Rechners ist ein unkomplizierter Prozess, der weniger als zehn Sekunden dauert. Befolgen Sie diese Schritte, um eine genaue Entropiemessung für Ihre Passwortkonfiguration zu erhalten.

1. Passwortlänge eingeben: Geben Sie im ersten Eingabefeld die Gesamtzahl der Zeichen Ihres Passworts ein. Wenn Ihr Passwort beispielsweise „Tr0ub4dour&" lautet, geben Sie 12 ein. Stellen Sie sicher, dass Sie jeden Buchstaben, jede Zahl und jedes Symbol genau zählen. Die Länge ist der wichtigste Faktor für die Entropie, daher ist Genauigkeit hier entscheidend.
2. Symbolpoolgröße auswählen: Geben Sie im zweiten Eingabefeld die Gesamtzahl der möglichen Zeichen an, die verwendet werden könnten. Dies wird durch die Zeichentypen bestimmt, die Sie zulassen. Ein üblicher Standardwert ist 62, was Großbuchstaben (26) + Kleinbuchstaben (26) + Ziffern (10) darstellt. Wenn Sie auch Sonderzeichen verwenden, erhöhen Sie diese Zahl: Das Hinzufügen von 33 gängigen Tastatursymbolen macht den Pool beispielsweise zu 95. Das Tool erwartet eine ganze Zahl, die die maximale Poolgröße darstellt, nicht die Anzahl der Zeichentypen.
3. Berechnen klicken: Drücken Sie die Berechnen-Schaltfläche. Das Tool verarbeitet sofort die Formel E = L × log₂(R) und zeigt das Ergebnis in Bits an. Es liefert auch eine geschätzte Stärkebezeichnung (wie „Schwach", „Mittel", „Stark" oder „Sehr stark") basierend auf dem berechneten Bitwert.
4. Ausgabe überprüfen: Der Ergebnisbildschirm zeigt zwei Schlüsselwerte: die Gesamtentropie in Bits und eine qualitative Bewertung. Beispielsweise würde eine Ausgabe von 71,7 Bits als „Stark" gekennzeichnet. Nutzen Sie diese Informationen, um zu entscheiden, ob Sie das Passwort verlängern, die Poolgröße erhöhen oder den Wert neu generieren sollten.

Wenn Sie sich bei Ihrem Symbolpool unsicher sind, verwenden Sie diese Referenzwerte: 10 für nur Ziffern, 26 für nur Kleinbuchstaben, 36 für Kleinbuchstaben + Ziffern, 52 für Groß- und Kleinschreibung und 95 für alle druckbaren ASCII-Zeichen. Für jeden benutzerdefinierten Satz zählen Sie einfach die eindeutigen Zeichen, die Sie zulassen.

Formel und Berechnungsmethode

Die mathematische Grundlage dieses Rechners stammt aus Claude Shannons Informationstheorie. Die Entropie eines Passworts ist definiert als der Logarithmus zur Basis 2 der Anzahl möglicher Kombinationen. Die Formel lautet:

E = L × log₂(R)

Dabei ist E die Entropie in Bits, L die Passwortlänge (Anzahl der Zeichen) und R die Größe des Symbolpools (die Anzahl der unterschiedlichen Zeichen, die verwendet werden können). Der Logarithmus zur Basis 2 wird verwendet, weil das Ergebnis in Bits ausgedrückt wird – einer Einheit, die eine binäre Entscheidung (ja/nein, 0/1) darstellt. Jedes Bit Entropie bedeutet, dass sich die Anzahl der Möglichkeiten verdoppelt.

Um dies intuitiv zu verstehen, stellen Sie sich einen Münzwurf vor. Ein einzelner Münzwurf hat 2 mögliche Ergebnisse, daher beträgt seine Entropie log₂(2) = 1 Bit. Zwei Münzwürfe haben 4 Ergebnisse, also beträgt ihre Entropie log₂(4) = 2 Bits. Dieselbe Logik gilt für Passwörter: Wenn Sie einen Pool von R Zeichen haben, fügt jede Zeichenposition log₂(R) Bits Unvorhersehbarkeit hinzu. Multiplizieren Sie das mit der Länge L, um die Gesamtentropie zu erhalten.

Lassen Sie uns ein konkretes Beispiel durchgehen. Angenommen, Sie haben ein Passwort mit 12 Zeichen und verwenden einen Symbolpool von 62 Zeichen (Großbuchstaben + Kleinbuchstaben + Ziffern). Hier ist die Schritt-für-Schritt-Berechnung:

1. Variablen identifizieren: L = 12, R = 62.
2. log₂(62) berechnen: Mit einem Taschenrechner oder einer Logarithmentabelle ergibt log₂(62) = 5,954 (ungefähr). Das bedeutet, jedes Zeichen im Passwort trägt ungefähr 5,954 Bits Entropie bei.
3. Mit der Länge multiplizieren: E = 12 × 5,954 = 71,448 Bits.
4. Ergebnis interpretieren: Ein Passwort mit 71,45 Bits Entropie bedeutet, dass ein Angreifer ungefähr 2^71,45 Versuche benötigen würde, um alle Möglichkeiten auszuschöpfen, und im Durchschnitt etwa die Hälfte davon – 2^70,45 Vermutungen –, um das richtige zu finden.

Um dies ins Verhältnis zu setzen: Ein moderner GPU-basierter Brute-Force-Angriff kann etwa 10 Milliarden (10¹⁰) Passwörter pro Sekunde versuchen. Bei dieser Geschwindigkeit würde das Knacken eines 71-Bit-Passworts ungefähr 2^70 / 10¹⁰ Sekunden dauern, das sind etwa 37.000 Jahre. Dies zeigt, warum Entropie ein praktisches Sicherheitsmaß ist – sie übersetzt sich direkt in die Zeit und den Rechenaufwand, die erforderlich sind, um das Passwort zu brechen.

Praktische Beispiele

Um den Nutzen des Rechners zu veranschaulichen, finden Sie hier drei realistische Szenarien mit verschiedenen Eingaben und den entsprechenden Ausgaben. Die folgende Tabelle fasst die Berechnungen zusammen.

Szenario 1: Die 4-stellige PIN. Sie verwenden eine PIN wie „2591" für Ihren Telefon-Sperrbildschirm. Mit L=4 und R=10 beträgt die Entropie nur 13,29 Bits. Das bedeutet, es gibt genau 10.000 mögliche Kombinationen. Ein Angreifer kann mit einem automatisierten Tool in Sekunden alle ausprobieren. Deshalb sind 4-stellige PINs nur geeignet, um physischen Zugriff mit Sperrmechanismen zu begrenzen, nicht um Online-Konten zu schützen.

Szenario 2: Das 8-Zeichen-Passwort. Betrachten Sie ein typisches Unternehmenspasswort wie „Tr0ub4dour" (8 Zeichen, gemischte Groß-/Kleinschreibung und Ziffern). Die Formel ergibt E = 8 × log₂(62) = 47,63 Bits. Das ist zwar besser als eine PIN, aber ein engagierter Angreifer mit einer Passwort-Knackanlage (mit hashcat oder ähnlichem) kann 100 Milliarden Hashes pro Sekunde versuchen. Das bedeutet, 2^47,63 Möglichkeiten können in etwa 44 Sekunden ausgeschöpft werden. Deshalb gelten 8-Zeichen-Passwörter heute allgemein als unzureichend für den Schutz sensibler Daten.

Szenario 3: Die 12-Zeichen-Passphrase. Betrachten Sie nun ein Passwort wie „J8#kL2$mPq9!", das 12 Zeichen lang ist und alle 95 druckbaren ASCII-Zeichen verwendet. Die Entropie springt auf 78,83 Bits. Bei denselben 100 Milliarden Versuchen pro Sekunde würde ein Angreifer 10^12 Jahre benötigen, um den Raum auszuschöpfen. Dieses Niveau gilt als sehr stark und wird für Master-Passwörter und hochwertige Konten empfohlen. Die Erhöhung von 8 auf 12 Zeichen fügt über 31 Bits Entropie hinzu – eine exponentielle Verbesserung der Widerstandsfähigkeit.

Tipps für genaue Ergebnisse

Eine aussagekräftige Entropiemessung hängt davon ab, dass Sie den Rechner korrekt verwenden und seine Grenzen verstehen. Hier sind spezifische Tipps, um genaue Ergebnisse zu erzielen und häufige Fehler zu vermeiden.

• Tatsächliche Länge zählen: Nicht ungefähr schätzen. Wenn Ihr Passwort 14 Zeichen hat, einschließlich Leerzeichen (falls erlaubt), geben Sie 14 ein. Leerzeichen sind Zeichen, wenn Ihr Pool sie enthält; wenn Sie Leerzeichen ausschließen, sind sie nicht Teil des Pools. Das Längenfeld muss eine genaue ganze Zahl sein.
• Pool an Ihre Generierungsmethode anpassen: Wenn Sie einen Passwortgenerator verwenden, der aus einem festen Satz von 70 Zeichen auswählt, beträgt Ihr Pool 70, nicht 95. Der Rechner berücksichtigt nur die Größe des Satzes, aus dem Sie tatsächlich stichprobenartig auswählen, nicht den gesamten Tastaturbereich. Wenn Sie den Pool zu großzügig angeben, überschätzen Sie Ihre Sicherheit.
• Muster nicht in die Poolberechnung einbeziehen: Wenn Ihr Passwort „password", „1234" oder andere vorhersehbare Sequenzen enthält, ist die effektive Entropie weitaus geringer als die Formel vermuten lässt. Der Rechner geht von einer gleichmäßigen Zufallsauswahl aus. Wenn Sie sich für ein einprägsames Wort entscheiden, auch ein langes, ist seine Entropie deutlich geringer, weil ein Angreifer Wörterbuchangriffe verwenden wird, die häufige Phrasen abdecken.
• Verstehen, dass Länge vor Poolgröße kommt: Das Hinzufügen eines zusätzlichen Zeichens zu einem 12-Zeichen-Passwort mit einem Pool von 62 fügt 5,95 Bits Entropie hinzu. Das Hinzufügen von 33 Sonderzeichen zum Pool (von 62 auf 95) fügt nur etwa 0,62 Bits pro Zeichen hinzu. Bei einem 12-Zeichen-Passwort ist das eine Gesamterhöhung von 7,4 Bits, während das Hinzufügen von zwei Zeichen 11,9 Bits ergibt. Priorisieren Sie die Länge gegenüber exotischen Symbolen.
• Nicht annehmen, dass länger immer ausreicht: Ein 20-Zeichen-Passwort mit einem Pool von 26 Kleinbuchstaben hat E = 20 × 4,70 = 94 Bits – sehr stark. Wenn es jedoch aus echten Wörtern wie „correcthorsebatterystaple" besteht, kann ein Angreifer mit einem Wörterbuchangriff und gängigen Wortlisten es in Sekunden knacken, weil die Entropie tatsächlich auf der Anzahl der Wörter basiert, nicht der Buchstaben. Der Rechner liefert nur für zufällige Zeichenfolgen genaue Ergebnisse.
• Den Bitwert verwenden, nicht das Etikett: Die Stärkebezeichnungen sind heuristische Schwellenwerte. Für kritische Konten (E-Mail, Bank, Passwortmanager) sollten Sie mindestens 60 Bits anstreben. Für sensible Daten zielen Sie auf 70+ Bits. Die rohe Bit-Zahl ist die objektive Kennzahl, auf die Sie sich verlassen sollten.

Häufiger Fehler, den Sie vermeiden sollten: Viele Benutzer nehmen an, dass das Verlängern eines Passworts durch das Hinzufügen vorhersehbarer Zeichen (wie „abc123") sinnvolle Sicherheit bietet. Das ist falsch. Die Entropieformel funktioniert nur, wenn jedes Zeichen unabhängig und gleichmäßig zufällig gewählt wird. Wenn Ihr Passwort Ihr Geburtsdatum, Ihren Namen oder eine häufige Tastatursequenz wie „qwerty" enthält, wird der effektive Pool auf einen winzigen Teil dessen reduziert, was Sie denken. Um diesen Rechner genau zu verwenden, generieren Sie Ihr Passwort mit einem kryptographisch sicheren Zufallszahlengenerator, nicht durch Modifikation eines vertrauten Wortes.

Häufig gestellte Fragen

1. Wie viele Bits Entropie sollte mein Passwort haben, um als sicher zu gelten?

Für die meisten Online-Konten wird ein Minimum von 60 Bits als Basis empfohlen, aber das hängt vom Bedrohungsmodell ab. Für ein Passwort, das ein persönliches E-Mail-Konto mit begrenzter Angriffsmotivation schützt, könnten 50–60 Bits akzeptabel sein, obwohl es mit einem engagierten Angreifer unter Verwendung von Cloud-GPU-Clustern in unter einem Jahr geknackt werden könnte. Für ein Master-Passwort eines Passwortmanagers oder ein Bankkonto streben Sie 70–80 Bits oder höher an. Die Sicherheitsgemeinschaft nennt oft 70 Bits als Schwelle für „moderaten" Schutz und 80 Bits für „starken" Schutz gegen Offline-Brute-Force-Angriffe. Um 70 Bits mit einem Standard-95-Zeichen-Pool zu erreichen, benötigen Sie eine Länge von mindestens 11 Zeichen (11 × log₂(95) = 11 × 6,57 = 72,3 Bits). Mit einem 62-Zeichen-Pool benötigen Sie 12 Zeichen (12 × 5,95 = 71,4 Bits). Diese Längen sollten als absolute Untergrenze für jede wichtige Anmeldedaten angesehen werden.

2. Was ist der Unterschied zwischen Passwort-Entropie und Passwort-Stärke-Messern?

Passwort-Entropie ist ein präzises mathematisches Maß, das ausschließlich auf Länge und Poolgröße basiert und gleichmäßige Zufallsauswahl annimmt. Ein Stärke-Messer (wie auf vielen Websites) ist ein heuristischer Algorithmus, der oft andere Faktoren einbezieht, wie das Vorhandensein von Großbuchstaben, Ziffern, Symbolen und die Prüfung auf häufige Wörter. Diese Messer können irreführend sein: Sie könnten „Password1!" als „stark" bezeichnen, weil es Groß-, Kleinbuchstaben, Ziffern und Symbole enthält, aber seine tatsächliche Entropie ist niedrig, weil es ein Wörterbuchwort mit einem vorhersehbaren Suffix ist. Im Gegensatz dazu liefert dieser Rechner einen reinen Entropiewert für zufällige Passwörter. Die wichtigste Erkenntnis ist, dass Entropie das ideale Maß für zufällig generierte Passwörter ist, während Stärke-Messer besser geeignet sind, vorhersehbare menschlich erstellte Passwörter zu erkennen. Für maximale Sicherheit generieren Sie Passwörter zufällig und verwenden Sie den Entropie-Rechner, um ihre theoretische Stärke zu überprüfen.

3. Ist ein längeres Passwort mit einem kleineren Zeichensatz stärker als ein kürzeres mit einem größeren Satz?

Im Allgemeinen ja, aber es ist kein einfacher Kompromiss. Betrachten Sie zwei Optionen: Ein 15-Zeichen-Passwort mit nur Kleinbuchstaben (Pool = 26) hat E = 15 × log₂(26) = 15 × 4,70 = 70,5 Bits. Ein 11-Zeichen-Passwort mit dem vollständigen 95-Zeichen-ASCII-Satz hat E = 11 × 6,57 = 72,3 Bits. Hier ist das kürzere, aber vielfältigere Passwort etwas stärker. Dieser Vorteil schrumpft jedoch mit zunehmender Länge. Ein 16-Zeichen-Kleinbuchstaben-Passwort hat E = 75,2 Bits, was das 11-Zeichen-Komplexe schlägt. Die Formel zeigt, dass jedes zusätzliche Zeichen eine feste Anzahl von Bits (log₂(R)) hinzufügt, während die Erweiterung des Pools nur eine logarithmische Menge hinzufügt. Beispielsweise multipliziert die Erweiterung von einem 26-Buchstaben-Pool auf einen 95-Zeichen-Pool die Poolgröße mit 3,65, was log₂(3,65) = 1,87 Bits pro Zeichen hinzufügt. Die Multiplikation Ihrer Länge mit 3,65 (z. B. von 10 auf 36 Zeichen) fügt über 30 Bits hinzu. In der Praxis haben Passphrasen aus 4–6 zufälligen Wörtern (Länge 20–30 Zeichen) mit einem kleinen Pool von ~7.000 Wörtern eine hohe Entropie und sind leichter zu merken als eine 12-Zeichen-Gemischtzeichenfolge. Verwenden Sie den Rechner, um Ihre spezifischen Optionen zu vergleichen, bevor Sie sich entscheiden.