Wie stark muss ein Passwort sein? Ein Leitfaden zu kostenlosen Online-Tools

Entropie ist kein magischer Punktwert; sie ist der Logarithmus der Zahl möglicher Passwörter einer bestimmten Länge und eines bestimmten Zeichensatzes. Hat Ihr Alphabet N Symbole und Ihr Passwort die Länge L, gibt es N^L Möglichkeiten, und die Entropie beträgt L × log₂(N) Bits. Jedes zusätzliche Bit verdoppelt den erwarteten Aufwand der Angreiferin. Ein völlig zufälliges Passwort aus acht Zeichen der 95 druckbaren ASCII-Zeichen hat etwa 52,6 Bit Entropie. Das klingt hoch, bis Sie erfahren, dass eine einzelne moderne Grafikkarte zig Milliarden Hashes pro Sekunde prüfen kann.

Sicherheitsschulungen lobten früher Passwörter wie P@ssw0rd1, weil sie Groß- und Kleinbuchstaben, Ziffern und Symbole enthielten. Moderne regelbasierte Knacker modellieren genau diese Ersetzungen, bevor sie überhaupt zu roher Gewalt greifen. Hashcat und John the Ripper bringen „Leetspeak“-Regeln mit, die aus „password“ in Millisekunden „P@ssw0rd“, „Passw0rd!“ und Hunderte Geschwister machen. Einer kurzen, vorhersehbaren Basis ein Symbol hinzuzufügen ist Dekoration und keine Struktur. Es mag eine veraltete Richtlinie erfüllen, verändert aber den Angriffsweg nicht nennenswert.

Wird ein Dienst kompromittiert und seine Passwortdatenbank geleakt, arbeitet die Angreiferin offline. Sie kann Hardware mieten, tagelang raten und löst nie eine Kontosperre aus. Die Tabelle unten zeigt, wie lange eine einzelne Grafikkarte der Mittelklasse (grob 40 Milliarden SHA-256-Versuche pro Sekunde) bräuchte, um den Schlüsselraum zufälliger Passwörter auszuschöpfen. Echte Angriffe brechen früher ab, weil Nutzerinnen sich um gängige Muster scharen, doch die Tabelle zeigt die theoretische Obergrenze für vollständig zufällige Zugangsdaten.

Angreiferinnen „raten“ ein Passwort selten über ein Anmeldeformular. Sie laden eine gestohlene Datenbank herunter, bestimmen den Hash-Algorithmus und lassen ihn mit Hardwaretempo laufen. Der erste Durchgang nutzt zuvor geleakte Passwörter, dann Wörterbuchwörter mit Leet-Regeln, dann Masken für bekannte Muster und schließlich rohe Gewalt für die kürzesten Zugangsdaten. Ein einzelnes geleaktes Passwort von Seite A wird dann auf Seite B, Seite C und dem Bankpartner von Seite C probiert, weil Menschen Passwörter wiederverwenden. Eine Cloud-Grafikkarteninstanz kostet je nach Consumer-Karte oder Cluster 0,50–4,00 € pro Stunde, und der gesamte Ablauf ist automatisiert.

Das US-amerikanische National Institute of Standards and Technology hat die alte Regel „alle 90 Tage wechseln“ in SP 800-63B zurückgezogen. Es empfiehlt nun, dass Passwortrichtlinien eine Mindestlänge verlangen, lange Passphrasen erlauben und Passwörter ablehnen, die als kompromittiert bekannt sind. Komplexitätsregeln, die Groß-, Kleinbuchstaben, Ziffer und Symbol fordern, werden nicht mehr empfohlen, weil sie vorhersehbare Abwandlungen wie P@ssw0rd1 begünstigen und die Entropie nicht verbessern. Ein Wechsel ist nur nötig, wenn es Hinweise auf eine Kompromittierung gibt.

Ein Passwortgenerator, der vollständig in Ihrem Browser läuft, kann ausgezeichnete Zufälligkeit erzeugen und sieht Ihr Geheimnis nie. Das macht ihn nützlich für einmalige Konten, temporäre Schlüssel oder die Prüfung der Entropie eines Kandidaten. Er ist nicht der richtige Ort, um das Hauptpasswort Ihres Passwortmanagers, Ihren Kryptowährungs-Seed oder den Administratorschlüssel eines Geschäftssystems zu erzeugen oder zu speichern. Nutzen Sie dafür einen geprüften nativen Passwortmanager oder einen Offline-Ablauf. Ein seriöser Passwortmanager kostet je nach Funktionen und Familienplänen 20–60 € pro Jahr. Kostenlose Online-Tools sind Bequemlichkeiten, keine Tresore.

Nutzen Sie für Konten, die Ihnen wichtig sind, einen Passwortmanager, um ein eindeutiges Passwort aus mindestens 16 Zeichen des vollen druckbaren Satzes oder eine Passphrase aus mindestens fünf zufälligen Wörtern zu erzeugen und zu speichern. Aktivieren Sie Mehrfaktor-Authentifizierung, idealerweise mit einer Authenticator-App oder einem Hardwareschlüssel statt per SMS. Prüfen Sie über Have I Been Pwned, ob Ihre E-Mail in bekannten Lecks auftaucht, und ändern Sie jedes wiederverwendete oder kompromittierte Passwort. Behandeln Sie Passwortstärke als eine Schicht in einer größeren Risikoentscheidung und nicht als Garantie.