Was macht ein Passwort schwach?
Angreifer raten Passwörter nicht einzeln von Hand. Sie nutzen Listen mit Milliarden geleakter Passwörter und Regeln, die nachahmen, wie Menschen Passwörter bilden. Ein Passwort ist schwach, wenn es früh in diesem Prozess auftaucht, auch wenn es kompliziert aussieht. Die häufigsten Probleme:
- Es ist zu kurz. Jedes zusätzliche Zeichen vervielfacht den Aufwand. Unter 12 Zeichen ist für alles Wichtige riskant.
- Es ist ein Wort, Name oder Datum oder eine kleine Abwandlung davon, etwa
Sommer2024!oderMax1987. - Es folgt einem Muster: Tastaturreihen (
qwertz,1qay2wsx), Wiederholungen (aaaa) oder Folgen (abcd,4321). - Es wurde schon geleakt. Sobald ein Passwort in einem Leak auftaucht, landet es in jeder Knackliste, egal wie stark es aussah.
- Es wird mehrfach verwendet. Ein starkes Passwort auf vielen Websites ist nur so sicher wie die schwächste davon.
So machst du es stärker
- Mach es länger. Länge schlägt Komplexität. 16 zufällige Zeichen oder 5–6 zufällige Wörter sind außer Reichweite jedes realistischen Angriffs.
- Lass einen Computer wählen. Menschen sind vorhersehbar, ein Passwort-Generator nicht. Für Passwörter, die du dir merken musst, nimm eine Passphrase.
- Nutze überall ein anderes Passwort und speichere alle in einem Passwort-Manager.
- Aktiviere die Zwei-Faktor-Authentisierung, damit ein geleaktes Passwort allein nicht reicht.
Mehr Details?
Lies (auf Englisch), wie Passwörter geknackt werden, um zu sehen, was Angreifer zuerst probieren, oder Passwort oder Passphrase, um für jedes Konto die richtige Art zu wählen.
Weitere kostenlose Tools
Ist es sicher, mein Passwort hier einzugeben?
Ja. Die Prüfung läuft komplett in deinem Browser; dein Passwort wird nie an uns gesendet oder gespeichert. Die optionale Leak-Prüfung sendet nur die ersten 5 Zeichen eines SHA-1-Hashs, aus denen sich dein Passwort nicht zurückrechnen lässt. Am sichersten ist es trotzdem, ein ähnliches Passwort zu testen statt deines echten.
Wie wird die Stärke berechnet?
Wir nutzen zxcvbn, den Open-Source-Schätzer von Dropbox. Statt nur Zeichenarten zu zählen, sucht er nach den Mustern, die Angreifer zuerst probieren: häufige Passwörter, Wörter, Namen, Daten, Tastaturreihen wie qwertz, Wiederholungen und Folgen. Dann schätzt er, wie viele Versuche ein Angreifer bräuchte.
Was bedeuten die zwei Knackzeiten?
Die Online-Zeit geht von jemandem aus, der über die Login-Seite einer Website rät; meist ist das auf etwa 100 Versuche pro Stunde begrenzt. Die Offline-Zeit geht davon aus, dass die Website gehackt und ihre Passwort-Datenbank geleakt wurde, sodass Angreifer auf eigener Hardware 100 Milliarden Versuche pro Sekunde testen können. Dein Passwort sollte den Offline-Fall überstehen.
Wie funktioniert die Leak-Prüfung?
Sie nutzt den kostenlosen Dienst Pwned Passwords von Have I Been Pwned mit Hunderten Millionen Passwörtern aus echten Datenlecks. Dein Browser sendet die ersten 5 Zeichen des SHA-1-Hashs, bekommt alle geleakten Hashes zurück, die genauso anfangen, und vergleicht sie lokal. Der Dienst erfährt nie, welches Passwort du geprüft hast.
Mein Passwort ist „Stark“. Reicht das?
Für die meisten Konten ja, solange du es nirgendwo anders verwendest. Für E-Mail, Bank und Passwort-Manager solltest du „Sehr stark“ anpeilen: ein zufälliges Passwort mit 16 oder mehr Zeichen oder eine Passphrase aus 6 zufälligen Wörtern.
Warum schneidet P@ssw0rt! so schlecht ab?
Weil Angreifer den Trick kennen. Buchstaben durch ähnliche Zeichen ersetzen, ein Großbuchstabe am Anfang und eine Zahl oder ein „!“ am Ende: Das probieren Knackprogramme als Erstes. Echte Stärke kommt aus Länge und Zufall, und genau das liefert unser Passwort-Generator.