Passwort-Entropie-Rechner
Passwort-Entropie-Bits berechnen und Crack-Zeit schätzen
100 % kostenlos. Läuft vollständig in deinem Browser: deine Dateien und Daten verlassen dein Gerät nie, und es wird nichts auf einen Server hochgeladen.
Gib oben ein Passwort ein, um Entropie und Crack-Zeitschätzungen zu sehen.
Über dieses Tool
Passwort-Entropie ist eine Zahl in Bit dafür, wie viele Rateversuche ein Passwort brauchen könnte: Jedes zusätzliche Bit verdoppelt die Anzahl. Dieser Rechner ermittelt sie beim Tippen – Länge x log2 des Zeichenvorrats – und zeigt den erkannten Vorrat (Kleinbuchstaben, Großbuchstaben, Ziffern, Sonderzeichen, erweiterte Zeichen), die Stärkestufe und wie lange ein Brute-Force-Angriff bei vier Geschwindigkeiten dauern würde, vom alten PC bis zum staatlichen Angreifer. Außerdem listet er auf, was den Wert erhöhen würde. Das Passwort verlässt deinen Browser nie.
Sichere ein Konto richtig ab
- 1Ein Passwort generierenLang und zufällig schlägt clever.Öffnen
- 2Die Stärke prüfenSieh, wie lange es zum Knacken brauchen würde.Öffnen
- 3Die Entropie messenDie Mathematik dahinter, wie leicht es wirklich zu erraten ist.Du bist hier
So verwendest du dieses Tool
- Passwort eintippen oder einfügenMit dem Augen-Symbol blendest du es ein, um Tippfehler zu prüfen. Nichts wird gesendet, du kannst aber auch ein Passwort mit demselben Muster wie dein echtes testen.
- Entropie und Stärkestufe ablesenUnter 28 Bit ist Sehr schwach, unter 36 Schwach, unter 60 Mittel, unter 128 Stark und ab 128 Sehr stark.
- Zeichenvorräte und Knackzeiten prüfenSieh, welche Vorräte in den Wert einfließen, dann die durchschnittliche Zeit, alle Kombinationen durchzuprobieren – bei 1 Tausend, 1 Million, 1 Milliarde und 100 Milliarden Versuchen pro Sekunde.
- Den Vorschlägen folgenDie Liste unter den Ergebnissen sagt, was fehlt – eine Zeichenart oder mehr Länge. Mehr Länge hilft fast immer am meisten.
So wird Passwort-Entropie berechnet
Entropie = Länge x log2(Vorratsgröße). Der Vorrat ist die Summe aller Zeichenarten, die das Passwort nutzt: 26 Kleinbuchstaben, 26 Großbuchstaben, 10 Ziffern, 32 Sonderzeichen und 128 für jedes Zeichen außerhalb von einfachem ASCII. Ein Passwort aus 12 Zeichen mit allen vier Tastaturarten hat einen Vorrat von 94, also 12 x 6,55 = etwa 79 Bit.
Die Formel setzt voraus, dass jedes Zeichen zufällig gewählt wurde. Echte Passwörter aus einem Wort, einer Jahreszahl und einem Sonderzeichen haben viel weniger Entropie, als die Zahl zeigt, weil Angreifer genau diese Muster zuerst probieren. Nutze den Wert, um Zufallspasswörter zu vergleichen, und erzeuge sie mit einem Generator.
Warum es nutzen
- Zeigt die tatsächlichen Eingaben der Formel – Länge, Vorratsgröße und einzigartige Zeichen – statt nur eines farbigen Balkens.
- Knackzeiten bei vier Angriffsgeschwindigkeiten – so siehst du, warum dasselbe Passwort online sicher ist, gegen einen geleakten schnellen Hash aber nicht.
- Aktualisiert bei jedem Tastendruck, so siehst du, was ein Zeichen mehr bewirkt.
- Läuft nur in deinem Browser; das Passwort wird nie hochgeladen oder gespeichert.
Häufige Anwendungen
- Prüfen, wie lang ein zufällig erzeugtes Passwort für eine bestimmte Stärke sein muss.
- Kolleginnen oder Schülern zeigen, warum Länge mehr bringt als Buchstaben gegen Sonderzeichen zu tauschen.
- Eine Passphrase mit einem kurzen komplexen Passwort vergleichen.
- Die Mindestlänge einer Passwortrichtlinie auf Plausibilität prüfen.
Tipps für bessere Ergebnisse
- Peile mindestens 60 Bit für Online-Konten an und 80 oder mehr für das Master-Passwort deines Passwortmanagers – und sorg dafür, dass das Passwort zufällig ist.
- Ein zusätzliches Zufallszeichen aus der ganzen Tastatur bringt etwa 6,5 Bit; ein Sonderzeichen statt eines Buchstabens bringt in der Praxis fast nichts.
- Nutze für jede Seite ein anderes Passwort und lass einen Passwortmanager sie dir merken.
- Lies die Knackzeiten als Vergleich zwischen Passwörtern, nicht als Versprechen.
Fehler, die du vermeiden solltest
- Einem hohen Wert für ein selbst ausgedachtes Passwort vertrauen. Das Beispiel Sunshine88! erreicht hier etwa 72 Bit, ist aber ein Wörterbuchwort plus Ziffern und Sonderzeichen – ein Muster, das Knackprogramme zuerst probieren.
- Am Ende ein Sonderzeichen anhängen, um eine Regel zu erfüllen, statt das Passwort zu verlängern.
- Ein starkes Passwort auf mehreren Seiten wiederverwenden – ein Leak legt alle offen.
- Auf Zwei-Faktor-Authentifizierung verzichten, weil der Wert hoch aussieht.
Häufig gestellte Fragen
Für ein Zufallspasswort sind 60 Bit oder mehr ein vernünftiges Ziel für Online-Konten und 80 oder mehr für alles, was andere Passwörter schützt, etwa einen Passwortmanager. Dieser Rechner bezeichnet 60 bis 127 Bit als Stark und ab 128 als Sehr stark.
Die Zahl der möglichen Kombinationen (Vorratsgröße hoch Länge) wird durch die doppelte Ratgeschwindigkeit geteilt, weil ein Angreifer das Passwort im Schnitt nach der Hälfte findet. Angezeigt wird sie für 1 Tausend, 1 Million, 1 Milliarde und 100 Milliarden Versuche pro Sekunde.
Nur, wenn es zufällig ist. „passwordpasswordpassword“ punktet bei der Länge, ein Angreifer würde es aber fast sofort erraten. Die Formel misst den möglichen Suchraum, nicht, wie vorhersehbar deine Wahl war.
Weil die Formel keine Muster erkennt. Sunshine88! nutzt alle vier Zeichenarten der Tastatur, bekommt also einen Vorrat von 94 und etwa 72 Bit – dabei ist ein Wort mit zwei Ziffern und einem Ausrufezeichen eine der ersten Formen, die ein Knackprogramm ausprobiert.
Mach es länger. Bei einem Vorrat von 94 bringt jedes zusätzliche Zufallszeichen etwa 6,5 Bit. Sonderzeichen in einem Passwort aus 12 Buchstaben und Ziffern bringen etwa 7 Bit – ungefähr so viel wie ein Zeichen mehr, und ein längeres Passwort ist meist leichter zu tippen.
Sie hängen davon ab, wie das Passwort gespeichert ist. Eine Seite mit einem langsamen Hash wie bcrypt erlaubt Angreifern nur Tausende Versuche pro Sekunde, ein geleakter schneller Hash dagegen Milliarden – dasselbe Passwort kann also im einen Fall Jahrhunderte halten und im anderen Stunden.