Passwort-Entropie bewerten
Messen Sie die Entropie in Bit Ihres Passworts (seinen mathematischen Widerstand gegen Zufall) und schätzen Sie die benötigte Zeit, um es per Brute-Force zu knacken, je nach unterschiedlicher Rechenleistung. Nichts wird irgendwohin gesendet: Die Berechnung erfolgt vollständig in Ihrem Browser.
So funktioniert es
Die Entropie misst in Bit die durchschnittliche Anzahl der Versuche, die nötig sind, um ein Passwort durch reine Brute-Force zu erraten: Sie wird aus der Länge des Passworts und der Größe des verwendeten Zeichensatzes (Klein-, Großbuchstaben, Ziffern, Symbole) berechnet. Je höher die Entropie, desto exponentieller steigt die Anzahl der möglichen Kombinationen, und desto länger wird die geschätzte Knackzeit. Die obige Tabelle wendet diese Entropie auf mehrere realistische Rechengeschwindigkeiten an, von einem begrenzten Online-Angriff bis zu einem dedizierten GPU-Cluster für das Knacken von Hashes.
Garantiert die Entropieschätzung, dass ein Passwort sicher ist?
Nein. Diese Berechnung geht von einem reinen Brute-Force-Angriff aus, der alle möglichen Kombinationen zufällig testet. In der Praxis verwenden Angreifer Wörterbücher geleakter Passwörter und gängige Transformationsregeln (Großbuchstabe am Anfang, Ziffer am Ende, Substitutionen „a" → „@"), die ein auf einem Wörterbuchwort basierendes Passwort viel schneller knacken, selbst wenn es lang ist. Ein von einem Passwort-Manager erzeugtes zufälliges Passwort bleibt immer einem einprägsamen Satz vorzuziehen, selbst wenn die theoretische Entropie ähnlich ist.
Warum variiert die Knackzeit so stark je nach Szenario?
Die Rechengeschwindigkeit hängt stark vom Kontext ab: Ein Online-Dienst, der die Anzahl der Versuche begrenzt (oft wenige Versuche pro Sekunde), bietet einen ganz anderen Schutz als ein gestohlener Hash, der offline auf dedizierter Hardware geknackt wird, die in der Lage ist, Dutzende von Milliarden Kombinationen pro Sekunde zu testen. Deshalb ist die sichere Speicherung von Passwörtern (mit langsamen Hash-Funktionen wie bcrypt oder argon2) genauso wichtig wie die Wahl des Passworts selbst.
Datenschutz: Das eingegebene Passwort wird niemals über das Netzwerk gesendet — die Berechnung der Entropie und die Schätzung der Knackzeit erfolgen vollständig lokal in Ihrem Browser und werden weder gespeichert noch übertragen.