Passwortstärke-Prüfer

Passwort

0 Zeichen

Passwort generieren

Länge: 16

GroßbuchstabenKleinbuchstabenZahlenSymbole

GeekFormat Passwortstärke-Prüfer bewertet Passwortsicherheit wissenschaftlich basierend auf Shannon Entropy. Geben Sie ein Passwort ein, um sofort 5-Sterne-Stärkebewertung, Entropiewert (bits) und geschätzte Knackzeit für drei Szenarien (normaler PC/Supercomputer/ratenbegrenzter Online-Angriff) anzuzeigen, 7 Sicherheitsindikatoren (Länge, Groß-/Kleinschreibung, Zahlen, Sonderzeichen, Wiederholungsmuster, aufeinanderfolgende Sequenzen, Abgleich mit häufiger schwacher Passwortdatenbank) punktuell zu prüfen und personalisierte Verbesserungsvorschläge zu erhalten. Integrierter kryptografisch sicherer Zufallspasswortgenerator (crypto.getRandomValues) unterstützt 8-64 Zeichen Länge und benutzerdefinierte Zeichensätze. Reine browserlokale Verarbeitung, Passwörter werden nicht an Server hochgeladen.

Über Passwortstärke und Sicherheit

Password Strength (Passwortstärke) ist ein Maß für die Fähigkeit eines Passworts, Brute-force Attack und Dictionary Attack zu widerstehen. Starke Passwörter sollten ausreichende Länge, einen ausreichend großen Zeichensatz (gemischte mehrere Zeichentypen), ausreichende Zufälligkeit (kein Muster, unvorhersehbar) haben und nicht in Listen durchgesickerter Passwörter stehen. Passwörter sind das grundlegendste und am weitesten verbreitete Mittel der digitalen Identitätsauthentifizierung; von E-Mail, Sozialkonten bis Online-Banking, Krypto-Wallets verlassen sich fast alle Online-Dienste auf Passwortschutz. Schwache Passwörter sind die Hauptursache für Datenlecks und Kontodiebstahl — Langzeitstatistiken des Verizon DBIR (Data Breach Investigations Report) zeigen, dass über 80% der Datenleckvorfälle mit schwachen Passwörtern oder Passwortlecks zusammenhängen.

Shannon Entropy ist ein wissenschaftlicher Messwert für die Passwortstärke, vorgeschlagen von Claude Shannon, dem Vater der Informationstheorie, im Jahr 1948. In der Kryptographie ist die Einheit der Entropie das Bit (bit), das den Logarithmus (zur Basis 2) der durchschnittlichen Anzahl von Versuchen darstellt, die zum Brute-forcen des Passworts erforderlich sind. Zum Beispiel bedeutet 40 bits Entropie, dass Angreifer durchschnittlich 2⁴⁰≈1 Billion Kombinationen versuchen müssen; 80 bits Entropie erfordert 2⁸⁰≈1 Billion Billion Versuche; 128 bits Entropie kann in absehbarer Zukunft nicht brute-forct werden. Beachten Sie, dass Shannon Entropy davon ausgeht, dass Passwortzeichen vollständig zufällig sind; wenn Passwörter Muster aufweisen (wie Wort+Zahlsuffix), ist die tatsächliche effektive Entropie niedriger als der theoretische Wert.

Brute-force Attack ist die direkteste Passwortangriffsmethode: Versuchen aller möglichen Zeichenkombinationen nacheinander, bis das richtige Passwort gefunden wird. Die Brute-force-Geschwindigkeit hängt von zwei Faktoren ab: Berechnungsfähigkeit (wie viele Versuche pro Sekunde) und Passwortentropie (wie viele Versuche bis zum Treffer). Mit der Verbesserung der GPU-Parallelberechnungsfähigkeit wächst die Brute-force-Geschwindigkeit extrem schnell — High-End-Grafikkarten der 2020er Jahre können zehn Milliarden von Passworthashes pro Sekunde versuchen. Wenn jedoch die Passwortentropie ausreichend hoch ist (wie über 100 bits), kann selbst bei Bündelung aller globalen Berechnungsressourcen die erschöpfende Suche nicht innerhalb des Alters des Universums abgeschlossen werden. Daher ist die effektivste Methode zur Abwehr von Brute-force-Angriffen die Verwendung langer Zufallspasswörter mit hoher Entropie.

Dictionary Attack ist eine effizientere Angriffsmethode als Brute-force: Angreifer versuchen nicht alle Kombinationen, sondern verwenden ein 'Wörterbuch' mit häufigen Passwörtern, durchgesickerten Passwörtern, Wortlisten und häufigen Musterkombinationen. Passwörter, die die meisten Benutzer wählen, sind nicht vollständig zufällig — Studien zeigen, dass über 50% der Benutzer Varianten der Top-1000-Häufigpasswörter verwenden. Dictionary Attack ist um Größenordnungen schneller als Brute-force, da es nur die wahrscheinlichsten Kandidaten versucht. Häufige Passwortdatenbanken (wie 14 Millionen Passwörter aus dem rockyou-Leck, die Pwned Passwords-Datenbank von Have I Been Pwned) erfassen Milliarden von Passwörtern, die im Internet durchgesickert sind; jedes Passwort, das in diesen Listen steht, sollte als unsicher betrachtet werden.

Die Schätzung der Passwortknackzeit muss Angriffsszenarien berücksichtigen. Online-Angriffe (Versuche über Website-Anmeldeschnittstelle) sind normalerweise streng ratenbegrenzt — Server begrenzen die Versuchshäufigkeit, sperren Konten nach mehreren Fehlversuchen, erfordern CAPTCHA, daher am langsamsten (mehrere bis hundert Male pro Sekunde). Offline-Angriffe (lokales Knacken, nachdem Angreifer Passworthashdatenbank erhalten haben) sind extrem schnell — mit High-End-GPU-Clustern können hundert Milliarden Versuche pro Sekunde durchgeführt werden, mit Cloud-Computing oder Supercomputern können Billionen oder sogar Billiarden Versuche pro Sekunde erreicht werden. Darüber hinaus variieren die Knackgeschwindigkeiten verschiedener Hashalgorithmen stark: MD5 und NTHash sind sehr schnell, langsame Hashalgorithmen wie bcrypt/Argon2 sind speziell zur Widerstandsfähigkeit gegen Brute-force-Angriffe konzipiert und millionenfach langsamer.

NIST (National Institute of Standards and Technology) schlägt in den SP 800-63B-Richtlinien moderne Empfehlungen für Passwortrichtlinien vor: 1) Passwortlänge mindestens 8 Zeichen, Empfehlung zur Verwendung längerer Passwörter (Passphrase); 2) Unterstützung aller ASCII-Zeichen und Unicode-Zeichen (einschließlich Leerzeichen); 3) Kein obligatorischer regelmäßiger Passwortwechsel (nur wechseln bei Beweismaterial für Leck); 4) Keine obligatorischen spezifischen Zeichenkombinationsregeln (jedoch Empfehlung zur Verwendung mehrerer Typen); 5) Verbot der Verwendung bekannter durchgesickerter Passwörter; 6) Bereitstellung von Passwortstärke-Feedback. Der Kern dieser Empfehlungen ist: Die wahre Passwortstärke stammt aus Länge und Zufälligkeit, nicht aus komplexen Kompositionsregeln; Länge ist wichtiger als Komplexität.

Passphrase ist eine Passwortstrategie, die Sicherheit und Merkbarkeit ausbalanciert: Kombination von 4-6 zufällig ausgewählten Wörtern (wie correct horse battery staple), Erzielung hoher Entropie durch Wortanzahl statt Zeichenkomplexität. Eine Passphrase aus 5 zufälligen englischen Wörtern hat einen Entropiewert von etwa 65-70 bits (angenommen zufällige Auswahl aus 7776 häufigen Wörtern), entspricht 10-11 vollständig zufälligen ASCII-Zeichen, ist aber leichter zu merken. Beachten Sie jedoch: Wörter in einer Passphrase müssen zufällig ausgewählt werden; die Verwendung bedeutungsvoller Sätze oder häufiger Phrasen (wie iloveyou, tobeornottobe) verringert die Sicherheit erheblich.

Passwortsicherheits-Best Practices: Erstens verwenden Sie Passwortmanager (wie Bitwarden, KeePassXC, 1Password etc.), um eindeutige starke Zufallspasswörter (16+ Zeichen alle Zeichentypen) für jede Website zu generieren und zu speichern und Passwortwiederverwendung zu vermeiden; Zweitens aktivieren Sie nach Möglichkeit immer Zwei-Faktor-Authentifizierung (2FA/TOTP/Sicherheitsschlüssel), um Konten auch bei Passwortlecks zu schützen; Drittens prüfen Sie regelmäßig, ob E-Mails in Datenlecks aufgetaucht sind (über Dienste wie Have I Been Pwned); Viertens seien Sie vorsichtig bei Phishing-E-Mails und gefälschten Websites, dies ist die häufigste Methode zum Stehlen von Passwörtern; Fünftens verwenden Sie zusätzlichen starken Schutz für wichtige Konten (E-Mail, Online-Banking, Krypto-Wallets) und vermeiden die Anmeldung bei sensiblen Konten in öffentlichen WiFi; Sechstens ist Passwortsicherheit ein systemisches Engineering, starke Passwörter sind nur die erste Verteidigungslinie.

Anwendungsfälle

Prüfen Sie die Passwortstärke vor der Registrierung neuer Website-Konten, um Kontodiebstahl durch schwache Passwörter zu vermeiden
Bewerten Sie die Sicherheit neuer Passwörter bei regelmäßigen Passwortänderungen und bestätigen Sie, dass das neue Passwort stärker als das alte ist
Verwendung als Referenzprüfer für Passwortkomplexitätsanforderungen, wenn Unternehmens-IT-Abteilungen Team-Passwortrichtlinien erstellen
Referenzieren Sie Prüfstandards bei der Entwicklung von Frontend-Passwortstärke-Hinweisen für Benutzerregistrierung/Passwortänderungsfunktionen
Prüfen Sie bei Untersuchung von Kontosicherheitsvorfällen, ob vorhandene Passwörter häufige schwache Passwörter sind oder die Knackzeit zu kurz ist
Generieren Sie Passwörter entsprechender Stärke für Konten unterschiedlicher Sicherheitsstufen — sehr starke Passwörter für E-Mail/Online-Banking, mittlere für Foren
Erklären Sie Nicht-Technikern, warum 'lang aussehende' Passwörter (wie password123) tatsächlich unsicher sind, und zeigen Sie Risiken visuell mit Knackzeit auf
Zweitüberprüfung, ob Entropiewert und Stärkeniveau den Standards entsprechen, nachdem Passwortmanager Passwörter generiert haben
Beobachten Sie beim Erlernen von Passwortsicherheitswissen durch Anpassen von Zeichenkombinationen das Änderungsverhältnis zwischen Entropie und Knackzeit
Vergleichen Sie die Effekte verschiedener Passwortrichtlinien — Knackzeitunterschiede zwischen 8-stelligen reinen Zahlen vs. 8-stelligen gemischten Zeichen vs. 16-stelligen gemischten Zeichen
Zeigen Sie in Sicherheitsschulungsdemonstrationen die Anfälligkeit schwacher Passwörter, geben Sie häufige Passwörter ein, um das sofortige Knackrisiko zu demonstrieren
Bestätigen Sie bei der Einrichtung hochsicherer Szenarien wie WLAN-Passwörter, Datenbankpasswörter und Verschlüsselungsschlüssel, dass das Passwort das ★★★★-Niveau oder höher erreicht

Anleitung

Geben Sie das zu prüfende Passwort in das Passworteingabefeld ein; klicken Sie auf das Augensymbol, um zur Überprüfung zwischen Klartext/Geheimtext-Anzeige zu wechseln
Das Tool analysiert das Passwort in Echtzeit und zeigt 5-Sterne-Stärkebewertung, Shannon-Entropie (bits) und Knackzeit für drei Szenarien an
Zeigen Sie die Zeichensatz-Prüftabelle an und bestätigen Sie, ob 7 Sicherheitsindikatoren (Länge, Groß-/Kleinschreibung, Zahlen, Sonderzeichen, keine Wiederholung, kein häufiges Passwort) bestanden sind
Optimieren Sie das Passwort basierend auf Hinweisen im Verbesserungsvorschlagsbereich — wie Länge erhöhen, fehlende Zeichentypen ergänzen, häufige Passwörter vermeiden
Wenn Sie ein starkes Passwort generieren müssen, legen Sie Länge (8-64 Zeichen) und Zeichentypoptionen fest und klicken Sie auf die Generieren-Schaltfläche, um ein kryptografisch sicheres Zufallspasswort zu erhalten

Funktionen

Shannon Entropy-Algorithmus: Berechnet den Shannon-Entropiewert (bits) basierend auf Passwort-Zeichensatzgröße und -länge und quantifiziert die Passwort-Zufallsstärke wissenschaftlich statt einfacher regelbasierter Bewertung
5-Sterne-Stärkebewertung: Fünf Stufen von ☆☆☆☆☆ (sehr schwach) bis ★★★★★ (sehr stark), umfassend bestimmt anhand von Entropiebereichen (<30/30-45/45-60/60-80/>80 bits) und Sicherheitsprüfergebnissen
Knackzeitschätzung für drei Szenarien: Schätzt die Brute-force Attack-Knackzeit für drei Szenarien: normaler PC (1 Milliarde Versuche/Sekunde), Supercomputer (1 Billiarde Versuche/Sekunde) und ratenbegrenzter Online-Angriff (100 Versuche/Sekunde), abdeckend Zeitbereiche von Millisekunden bis Billionen Jahren
7 Sicherheitsindikatoren punktuell geprüft: Erkennt automatisch, ob das Passwort ≥8 Zeichen Länge erfüllt, Großbuchstaben enthält, Kleinbuchstaben enthält, Zahlen enthält, Sonderzeichen enthält, keine aufeinanderfolgenden Wiederholungszeichen (wie aaa/111) hat, keine aufeinanderfolgenden Zahlenfolgen (wie 123/456) hat und nicht in der Liste häufiger schwacher Passwörter steht
Erkennung häufiger schwacher Passwortdatenbank: Eingebaute Liste häufiger schwacher Passwörter, die sofort rote Warnung anzeigt, wenn klassische schwache Passwörter wie 123456, password, qwerty eingegeben werden; diese Passwörter werden bei Rainbow Table-Angriffen sofort geknackt
Dynamische Verbesserungsvorschläge: Bietet personalisierte Verbesserungsvorschläge in Echtzeit basierend auf Prüfergebnissen — fordert zur Großbuchstabenergänzung bei Fehlen auf, schlägt Längenerhöhung bei zu kurzer Länge vor, fordert zur Änderung bei Übereinstimmung mit häufigen Passwörtern auf und leitet Benutzer präzise zur Passwortstärke-Verbesserung an
Integrierter sicherer Passwortgenerator: Generiert Passwörter mit browser crypto.getRandomValues() kryptografisch sicheren Zufallszahlen, einstellbare Länge von 8-64 Zeichen, mit wählbarer Einbeziehung von Großbuchstaben, Kleinbuchstaben, Zahlen und Sonderzeichen (!@#$%^&*-_+=?)
Passwort Anzeige/Verbergen-Umschalter: Ein-Klick-Umschaltung zwischen Klartext/Geheimtext-Anzeige zur einfachen Überprüfung der Eingabe, Vermeidung von Passwort-Einstellungsfehlern durch falsch gelesene Zeichen
Echtzeit-Zeichenzählung: Zeigt die aktuelle Passwortzeichenzahl in Echtzeit unter dem Eingabefeld an zur einfachen Beurteilung, ob die Länge den Anforderungen entspricht
Sofortanalyse ohne Verzögerung: Analysiert Passwörter sofort bei der Eingabe, kein Button-Klick erforderlich, sofortige Rückmeldung von Stärkeänderungen bei Änderungen
Ein-Klick-Kopie der Prüfergebnisse: Unterstützt Ein-Klick-Kopie des vollständigen Zusammenfassungstexts mit Stärkeniveau, Entropiewert und drei Knackzeiten zur einfachen Aufzeichnung oder Weitergabe
Internationalisierte Zahlenformatierung: Knackzeit-Zahlen werden automatisch entsprechend der Benutzerspracheinstellung lokalisiert formatiert (Tausendertrennzeichen etc.)
Löschfunktion: Ein-Klick-Löschen des Eingabefelds zur erneuten Prüfung, einfache Bedienung
Reine browserlokale Verarbeitung: Passwortanalyse und -generierung erfolgen in browser-JavaScript; eingegebene Passwörter werden niemals über das Netzwerk an Server gesendet, Passwortsicherheit ist gewährleistet

Häufig gestellte Fragen

Was ist das Prinzip der Passwortstärke-Prüfung? Wie wird die Shannon-Entropie berechnet?

Dieses Tool quantifiziert die Passwortstärke basierend auf der von Claude Shannon vorgeschlagenen Informationsentropie-Theorie. Die Entropieberechnungsformel lautet: Entropie = Passwortlänge × log₂(Zeichenpoolgröße). Die Zeichenpoolgröße kumuliert sich basierend auf den im Passwort verwendeten Zeichenarten: 26 Kleinbuchstaben, 26 Großbuchstaben, 10 Zahlen, 33 Sonderzeichen (!@#$%^&*-_+=? etc.). Zum Beispiel hat ein 8-stelliges Passwort nur mit Kleinbuchstaben Zeichenpool=26, Entropie=8×log₂(26)≈37,6 bits; während ein 16-stelliges Passwort mit allen vier Zeichenarten Zeichenpool=95 hat, Entropie=16×log₂(95)≈105 bits. Höherer Entropiewert bedeutet mehr Kombinationen, die für Brute-force Attack versucht werden müssen, wodurch das Passwort sicherer wird.

Warum werden Passwörter wie 123456, password trotz ihrer Länge als sehr schwach eingestuft?

Weil die Passwortstärke nicht nur von der Länge abhängt, sondern stärker von Zufälligkeit und Unvorhersehbarkeit. Obwohl 123456 6 Zeichen hat, ist es eines der häufigsten Passwörter und existiert in jeder Rainbow Table und jedem Passwortwörterbuch; Hacker versuchen diese Hochfrequenz-Passwörter beim Knacken zuerst und können sie in der Praxis innerhalb von Sekunden erraten. Dieses Tool verfügt über eine eingebaute Datenbank häufiger schwacher Passwörter; wenn erkannt wird, dass ein Passwort in der häufigen Passwortliste steht, wird es unabhängig von der Länge direkt als sehr schwach (☆☆☆☆☆) eingestuft. Ähnliche schwache Passwörter umfassen: qwerty, abc123, admin, letmein, welcome, monkey, dragon etc.

Was ist der Unterschied zwischen den drei Szenarien in der Knackzeitschätzung?

Die drei Szenarien simulieren Knackgeschwindigkeiten mit unterschiedlichen Angriffsfähigkeiten: 1) Ratenbegrenzter Online-Angriff (100 Versuche/Sekunde): Simuliert Website-Anmeldeschnittstelle, wo Server normalerweise die Versuchshäufigkeit begrenzen (z.B. maximal mehrere Versuche pro Konto pro Sekunde, Sperrung nach 5 Fehlversuchen); dies ist das häufigste Fernangriffsszenario mit der langsamsten Geschwindigkeit; 2) Normaler PC-Offline-Angriff (1 Milliarde Versuche/Sekunde): Nachdem der Angreifer Passworthashwerte erhalten hat, führt er Brute-force Attack lokal mit Grafikkarten durch; moderne GPUs können Milliarden von Versuchen pro Sekunde durchführen; 3) Supercomputer/verteilter Angriff (1 Billiarde Versuche/Sekunde): Staatliche Angreifer oder große Botnets mit extrem starker Parallelberechnungsfähigkeit. Ihr Passwort muss auch im Supercomputer-Szenario ausreichend lange widerstehen, um als wirklich sicher zu gelten.

Wie viele Zeichen ergeben ein sicheres Passwort? Was ist die empfohlene Passwortrichtlinie?

Die Sicherheitsstufe variiert je nach Szenario: 1) Normale Foren/unwichtige Konten: ≥12 gemischte Zeichen, Entropie ≥60 bits (★★★☆☆), dauert Jahre auf Supercomputer; 2) E-Mail/Sozialkonten: ≥14 gemischte Zeichen, Entropie ≥80 bits (★★★★☆); 3) Online-Banking/Krypto-Wallets/Administratorkonten: ≥16 alle Zeichentypen, Entropie ≥100 bits (★★★★★), dauert Billionen Jahre oder länger auf Supercomputer. Allgemeine Empfehlungen: Verwenden Sie einen Passwortmanager, um zufällige Passwörter mit 16+ Zeichen einschließlich Groß+Klein+Zahlen+Sonderzeichen zu generieren, verwenden Sie eindeutige Passwörter für jede Website und aktivieren Sie Zwei-Faktor-Authentifizierung (2FA).

Warum wird es trotz Groß+Klein+Zahlen+Sonderzeichen immer noch als nicht stark genug angezeigt?

Es kann mehrere Gründe geben: 1) Unzureichende Länge — selbst mit allen vier Zeichenarten, bei nur 8 Zeichen beträgt der Entropiewert etwa 52 bits, was auch auf Supercomputern relativ schnell geknackt werden kann; 2) Wiederholungsmuster — wie AAAbbb123!!! mit aufeinanderfolgenden Wiederholungszeichen, das Tool erkennt dies und zieht Punkte ab; 3) Aufeinanderfolgende Zahlen — wie 123 in abc123! eine aufeinanderfolgende Sequenz ist; 4) Strukturmuster — wie Password1!, das vier Zeichentypen erfüllt, aber Password ein häufiges Wort mit großem Anfangsbuchstaben und Zahl/Symbol-Suffix ist, leicht von Dictionary Attack getroffen. Empfohlen wird eine Länge von mindestens 12 Zeichen und eine möglichst zufällige Zeichenanordnung.

Werden eingegebene Passwörter an Server hochgeladen? Ist es sicher?

Überhaupt nicht. Alle Passwortanalyseberechnungen dieses Tools werden lokal in Ihrem Browser-JavaScript abgeschlossen; nach der Passworteingabe werden Passwörter niemals über das Netzwerk an externe Server gesendet. Die Seite verwendet die browser-seitige crypto.getRandomValues() API zur Generierung von Zufallspasswörtern (dies ist die vom Browser bereitgestellte kryptografisch sichere Zufallszahlenschnittstelle), ohne auf Server angewiesen zu sein. Sie können dieses Tool offline mit voller Funktionalität verwenden. Nach dem Schließen oder Aktualisieren der Seite werden eingegebene Passwörter automatisch gelöscht und nicht dauerhaft im Browser gespeichert.

Warum zeigt das Prüfergebnis an, dass das Passwort nicht in der häufigen Passwortdatenbank ist, obwohl es zufällig aussieht? Wie wird das beurteilt?

Das Tool verfügt über einen eingebauten häufigen schwachen Passwortdatensatz (commonPasswords) mit Tausenden von Passwörtern mit der höchsten Häufigkeit bei historischen Datenlecks (wie Hochfrequenzpasswörter, die bei Lecks wie rockyou statistisch erfasst wurden). Wenn Ihr Passwort nicht in dieser Liste steht, bedeutet dies, dass es kein weit verbreitetes schwaches Passwort ist. Beachten Sie jedoch: Nicht in der häufigen Passwortdatenbank zu stehen bedeutet nicht absolute Sicherheit — wenn das Passwort persönliche Informationen (Namens-Pinyin, Geburtstag, Telefonnummer), Tastaturpfade (asdfgh) oder sinnvolle Wortkombinationen enthält, kann es dennoch durch gezielte Dictionary Attack geknackt werden. Die sichersten Passwörter sind vollständig zufällig generierte Zeichenfolgen.

Sind die vom Passwortgenerator verwendeten Zufallszahlen sicher?

Ja. Der Passwortgenerator verwendet die vom Browser bereitgestellte crypto.getRandomValues()-Schnittstelle. Dies ist ein Cryptographically Secure Pseudo-Random Number Generator (CSPRNG), der von der Web Cryptography API bereitgestellt wird, dessen Zufallszahlqualität weit höher als die von Math.random() ist. Die Zufallszahlenentropie von crypto.getRandomValues() stammt aus dem Entropiepool des Betriebssystems (physikalische Zufallsquellen wie Tastaturanschlagsintervalle, Mausbewegungen, Festplatten-IO-Zeit), ist unvorhersehbar und nicht reproduzierbar und eignet sich zur Generierung sicherheitsempfindlicher Daten wie Passwörter und Schlüssel. Generierte Passwortzeichen werden gleichmäßig zufällig aus dem von Ihnen gewählten Zeichensatz ausgewählt.

Warum können die Stärkebewertungen für dasselbe Passwort bei verschiedenen Tools unterschiedlich sein?

Verschiedene Passwortstärke-Prüfer verwenden unterschiedliche Algorithmen und Schwellenwerte, daher können die Bewertungsergebnisse variieren. Häufige Unterschiede umfassen: 1) Unterschiedliche Entropieberechnungsmethoden — einige Tools berechnen einfach nach Zeichenklassenanzahl, andere führen genauere Musteranalysen durch; 2) Unterschiedliche Größen häufiger Passwortdatenbanken — je vollständiger die Datenbank, desto mehr schwache Passwörter können erkannt werden; 3) Unterschiedliche Stärkeniveauschwellen — es gibt keinen einheitlichen Standard dafür, wie viele Bits als 'stark' gelten; 4) Ob Tastaturmuster (qwerty, qazwsx), Datumsformate, Wiederholungszeichen und andere Muster erkannt werden. Dieses Tool verwendet eine Kombination aus Shannon-Entropie + 7-Regel-Prüfung mit spezialisierter Erkennung häufiger schwacher Passwörter, und die Bewertungen orientieren sich an Branchenstandards (NIST, OWASP-Empfehlungen).

Welche Sonderzeichen sind enthalten? Warum werden nicht mehr Sonderzeichen unterstützt?

Der Sonderzeichensatz dieses Tools ist !@#$%^&*-_+=? (insgesamt 14), und der Passwortgenerator verwendet auch diesen Zeichensatz. Dies liegt daran, dass viele Websites Beschränkungen für in Passwörtern erlaubte Sonderzeichen haben — zum Beispiel haben einfache Anführungszeichen, doppelte Anführungszeichen, Backslashes, Leerzeichen, spitze Klammern etc. besondere Bedeutungen in SQL, HTML und Befehlszeilen, die Injektionsprobleme verursachen oder von Websites abgelehnt werden können. Die Auswahl der am häufigsten verwendeten und am weitesten akzeptierten Sonderzeichen stellt sicher, dass generierte Passwörter auf der überwiegenden Mehrzahl von Websites verwendbar sind. Wenn Sie bei manueller Passworteingabe andere Sonderzeichen (wie %, ~, |, {}[] etc.) verwenden, erkennt das Tool diese trotzdem als Sonderzeichen und zählt sie zum Zeichenpool.

Verbessert regelmäßiges Passwortwechseln die Sicherheit?

Gemäß den neuesten NIST (National Institute of Standards and Technology) SP 800-63B-Richtlinien hat der obligatorische regelmäßige Passwortwechsel (z.B. alle 90 Tage) begrenzte Sicherheitsvorteile und kann stattdessen dazu führen, dass Benutzer schwache Passwörter wählen oder geringfügige Änderungen auf Basis alter Passwörter vornehmen (wie password1→password2). Bessere Strategien sind: 1) Verwenden Sie ausreichend starke lange Zufallspasswörter (16+ Zeichen); 2) Verwenden Sie eindeutige Passwörter für jedes Konto (verwaltet durch Passwortmanager); 3) Aktivieren Sie Zwei-Faktor-Authentifizierung (2FA); 4) Ändern Sie relevante Passwörter sofort, wenn Sie von Datenlecks erfahren; 5) Ändern Sie Passwörter sofort bei Erkennung anomaler Anmeldungen. Dieses Tool kann Ihnen helfen zu beurteilen, ob die vorhandene Passwortstärke aktualisiert werden muss.

Müssen von Passwortmanagern generierte Passwörter mit diesem Tool geprüft werden?

Im Allgemeinen nicht erforderlich; von gängigen Passwortmanagern (1Password, Bitwarden, KeePass, LastPass etc.) generierte Passwörter verwenden standardmäßig kryptografisch sichere Zufallszahlen und volle Zeichensätze, sind typischerweise 12-20+ Zeichen lang und haben eine Stärke von im Allgemeinen ★★★★ oder höher. Wenn Sie jedoch die Generierungsregeln des Passwortmanagers anpassen (wie Ausschluss von Sonderzeichen, Verkürzung der Länge), können Sie mit diesem Tool überprüfen, ob Entropie und Knackzeit Ihren Sicherheitsanforderungen entsprechen. Darüber hinaus ist eine Zweitüberprüfung eine gute Gewohnheit, wenn Sie nicht sicher sind, ob die Zufallszahlenimplementierung des Passwortmanagers zuverlässig ist.

Warum verringern aufeinanderfolgende Zahlen oder aufeinanderfolgende Wiederholungszeichen die Passwortsicherheit?

Weil Brute-force-Tools und Dictionary Attack nicht nur häufige Passwörter versuchen, sondern auch Kandidatenpasswörter für häufige Muster generieren. Aufeinanderfolgende Zahlen (123, 456, 789, 012) und aufeinanderfolgende Wiederholungszeichen (aaa, 111, !!!) sind sehr hochfrequente Muster, die in einer großen Anzahl von Passwörtern vorkommen. Die Regel-Engines von Passwortknack-Tools generieren speziell solche Varianten (wie das Hinzufügen von 123, !!!, Jahreszahlen wie 2024 nach Wörtern); Passwörter, die diese Muster enthalten, reduzieren effektiv die effektive Entropie — Angreifer müssen nicht alle Kombinationen brute-forcen, sondern nur häufige Muster versuchen, um zu treffen.

Sind chinesische Passwörter oder Vollbreitzeichen-Passwörter sicher?

Die meisten Websites und Systeme unterstützen keine chinesischen oder Vollbreitzeichen als Passwörter, da die Codierungsbehandlung leicht Kompatibilitätsprobleme verursacht. Dieses Tool zählt alle nicht-alphanumerischen Zeichen als Sonderzeichen, aber in der Praxis können bei Verwendung chinesischer Passwörter Probleme wie Anmeldefehler oder plattformübergreifende Zeichenfehler auftreten. Es wird empfohlen, Passwörter aus ASCII-Zeichensätzen (englische Groß-/Kleinschreibung, Zahlen, Halbbreitzeichen) zu verwenden; dies ist die kompatibelste Lösung. Wenn das System Unicode-Passwörter unterstützt (wie einige Linux-Systeme), haben Unicode-Passwörter größere Zeichenpools, erfordern jedoch die Sicherstellung, dass alle Terminals korrekt eingeben können.

Was ist ein Rainbow Table-Angriff? Was ist der Unterschied zu Brute-force?

Brute-force Attack versucht alle möglichen Zeichenkombinationen nacheinander; während der Rainbow Table-Angriff vorab berechnete Vergleichstabellen (Rainbow Tables) häufiger Passwörter und ihrer Hashwerte erstellt und bei dem Angriff direkt die Tabelle nachschlägt statt jedes Mal zu berechnen, was extrem schnell ist. Wenn Benutzer häufige Passwörter verwenden, können Angreifer selbst bei starken Hashalgorithmen (wie SHA-256) ursprüngliche Passwörter innerhalb von Sekunden durch Rainbow Tables nachschlagen. Methoden zur Verhinderung von Rainbow Table-Angriffen umfassen: 1) Verwendung ausreichend zufälliger langer Passwörter (außerhalb des Rainbow Table-Abdeckungsbereichs); 2) Systeme verwenden Salted Hashes (wie bcrypt, scrypt, Argon2), um vorab berechnete Rainbow Tables ungültig zu machen. Die Erkennung häufiger Passwortdatenbank dieses Tools hilft Benutzern, die Auswahl von Passwörtern zu vermeiden, die bereits von Rainbow Tables abgedeckt sind.

Fehlerbehebung

Warum werden nach Passworteingabe keine Analyseergebnisse angezeigt?

Analyseergebnisse werden nach Passworteingabe in Echtzeit angezeigt. Wenn Sie nach Passworteingabe keinen Ergebnisbereich sehen, bestätigen Sie bitte: 1) Sie haben ein Passwort eingegeben (leeres Eingabefeld zeigt keine Ergebnisse an); 2) Seite ist vollständig geladen (JavaScript aktiviert und keine Fehler). Wenn es immer noch nicht reagiert, versuchen Sie die Seite zu aktualisieren. Die Passwortanalyse wird vollständig im lokalen Browser ausgeführt und hängt nicht von Netzwerkanfragen ab; Aktualisierung verliert keine Eingabe, löscht jedoch Inhalt.

Passwortgenerierungs-Button reagiert nicht nach Klick?

Der Passwortgenerierungs-Button erfordert die Auswahl mindestens eines Zeichentyps (mindestens einer von Groß/Klein/Zahlen/Symbolen). Wenn alle Optionen deaktiviert sind, kann kein Passwort generiert werden; standardmäßig werden Kleinbuchstaben+Zahlen als Fallback verwendet. Es wird empfohlen, alle vier Optionen (Groß, Klein, Zahlen, Symbole) aktiviert zu lassen, um stärkste Passwörter zu generieren. Der Längenschiebereglerbereich beträgt 8-64 Zeichen. Generierte Passwörter werden automatisch in das Eingabefeld eingefügt und sofort analysiert.

Passwort Anzeige/Verbergen-Button funktioniert nicht?

Das Augensymbol-Button schaltet das type-Attribut des Passworteingabefelds zwischen password und text um. Wenn nach Klick keine Umschaltung erfolgt, könnte es eine Browser-JavaScript-Ausnahme sein; versuchen Sie die Seite zu aktualisieren. Hinweis: Im password-Modus eingegebene Zeichen werden als Punkte (•••) angezeigt, im text-Modus wird Klartext angezeigt. In öffentlichen Räumen oder bei Bildschirmaufzeichnung wird die Verwendung des password-Modus empfohlen.

Mein Passwort ist eindeutig komplex, aber die Bewertung ist nicht hoch?

Überprüfen Sie diese häufigen Probleme: 1) Ist die Länge unzureichend? Unter 12 Zeichen kann selbst bei voller Zeichenmischung auf Supercomputern relativ schnell geknackt werden, empfehle mindestens 14 Zeichen; 2) Enthält es Wiederholungssequenzen? Wie AAA111!!! mit aufeinanderfolgenden Wiederholungszeichen; 3) Ist es nur ein häufiges Wort mit Suffix? Wie Password123! oder Qwerty@2024, die vier Zeichen erfüllen, aber Kern ist häufiges Wort + gemustertes Suffix; 4) Ist es ein Tastaturpfad? Wie Qazwsx123! ist ein Z-förmiger Pfad auf der Tastatur, solche Muster werden von Knacktools vorrangig versucht. Empfohlen wird die Verwendung des Passwortgenerators zur Generierung vollständig zufälliger Passwörter.

Glossar

Shannon Entropy: Informationstheoretisches Konzept vorgeschlagen von Claude Shannon, zur Messung der Passwort-Zufallsstärke verwendet, Einheit ist Bit (bit). Entropie = Passwortlänge × log₂(Zeichenpoolgröße). Höherer Entropiewert bedeutet mehr für Brute-force-Angriffe erforderliche Kombinationen.
Character Pool (Zeichenpool): Satzgröße aller im Passwort verwendeten möglichen Zeichen. 26 Kleinbuchstaben, 26 Großbuchstaben, 10 Zahlen, etwa 33 Sonderzeichen. Mehr verwendete Zeichentypen bedeuten größeren Zeichenpool, mehr Entropiegewinn pro zusätzlichem Zeichen.
Brute-force Attack: Angriffsmethode zum Erraten von Passwörtern durch systematisches Versuchen aller möglichen Zeichenkombinationen. Die Knackzeit hängt von Passwortentropie und Angreifer-Berechnungsfähigkeit ab; hoch-entropische Passwörter können Brute-force rechnerisch unmöglich machen.
Dictionary Attack: Angriffsmethode zum Passwortraten unter Verwendung vorkompilierter Listen mit häufigen Passwörtern, durchgesickerten Passwörtern, Wörtern und häufigen Mustern, weit effizienter als reines Brute-force, das häufigste Passwortangriffsmittel in der Praxis.
Rainbow Table: Vorab berechnete Passworthash-Vergleichstabelle zur schnellen Rückwärtssuche ursprünglicher Passwörter nach Erhalt von Hashwerten. Die Verwendung von Salted Hashes und langsamen Hashalgorithmen (bcrypt/Argon2) kann Rainbow Table-Angriffe wirksam abwehren.
CSPRNG: Cryptographically Secure Pseudo-Random Number Generator, ein Zufallszahlengenerator, der unvorhersehbare und nicht reproduzierbare Zufallszahlen ausgibt. Dieses Tool verwendet die browser crypto.getRandomValues() CSPRNG-Schnittstelle zur Passwortgenerierung.
Common Password (Häufiges schwaches Passwort): Passwörter, die bei mehreren Datenleckvorfällen mit hoher Häufigkeit auftauchen (wie 123456, password, qwerty, admin etc.). Diese Passwörter existieren in jedem Knackwörterbuch und sollten vollständig vermieden werden.
2FA/MFA: Two-Factor/Multi-Factor Authentication, erfordert neben Passwort einen zweiten Verifizierungsfaktor (wie Handy-Bestätigungscode, TOTP, Hardware-Sicherheitsschlüssel), schützt Kontosicherheit auch bei Passwortlecks.
Passphrase: Langes Passwort aus mehreren zufälligen Wörtern, das hohe Entropie durch Wortanzahl erzielt und gleichzeitig leichter zu merken ist als zufällige Zeichenfolgen. Zum Beispiel eine 4-Wort-Zufallskombination im Stil von 'correct horse battery staple'.
Password Hash: Verwendung einer Einweg-Hashfunktion zur Umwandlung von Passwörtern in irreversible Zeichenfolgen fester Länge zur Speicherung. Bei der Verifizierung werden Hashwerte statt Klartext verglichen, sodass Passwörter auch bei Datenbanklecks nicht direkt offengelegt werden. Langsame Hashalgorithmen wie bcrypt/Argon2 sollten verwendet werden.
Salt: Zufällige Zeichenfolge, die vor der Hashberechnung an Passwörter angefügt wird, bewirkt, dass gleiche Passwörter unterschiedliche Hashwerte erzeugen, verhindert Rainbow Table-Angriffe und Massenknacken. Jedes Passwort sollte einen eindeutigen Salt-Wert haben.
crypto.getRandomValues(): Von der Web Cryptography API bereitgestellte kryptografisch sichere Zufallszahlengenerierungsschnittstelle, vom Browser implementiert, Zufallsquelle stammt aus Betriebssystem-Entropiepool, weit überlegen gegenüber Math.random(), geeignet zur Generierung von Passwörtern und Schlüsseln.

Passwortentropie & Knackzeit-Referenz

Referenz für die Knackschwierigkeit von Passwörtern mit unterschiedlichen Entropiewerten im Supercomputer-Angriffsszenario (1 Billiarde Versuche/Sekunde):

Entropie (bits)	Typische Kombination	PC-Knackzeit	Supercomputer-Zeit	Stärkebewertung
`< 30`	6-stellige reine Zahlen, häufige Wörter	< 1 Sekunde	Sofort	☆☆☆☆☆ sehr schwach
`30-45`	8 reine Kleinbuchstaben	Sekunden - Stunden	< 1 Sekunde	★☆☆☆☆ schwach
`45-60`	8 Groß+Klein+Zahlen	Tage - Jahre	Sekunden - Minuten	★★☆☆☆ mäßig
`60-80`	10 alle Zeichen gemischt	Jahrzehnte - Jahrtausende	Stunden - Tage	★★★☆☆ gut
`80-100`	14 alle Zeichen gemischt	Jahrhunderte+	Jahre - Jahrhunderte	★★★★☆ stark
`> 100`	16 alle Zeichen zufällig	Unmöglich	Billionen Jahre+	★★★★★ sehr stark

Entropievergleich für verschiedene Zeichentypkombinationen

Theoretische Entropie und Sicherheitsunterschiede für 12-stellige Passwörter mit unterschiedlichen Zeichenkombinationen:

Zeichenkombination	Pool	12-Zeichen-Entropie	Kombinationen Größenordnung	Sicherheitsbewertung
Reine Zahlen (0-9)	`10`	`~40 bits`	`10¹²`	Sehr schwach, in Sekunden geknackt
Reine Kleinbuchstaben	`26`	`~56 bits`	`10¹⁷`	Schwach, in Minuten geknackt
Groß+Kleinbuchstaben	`52`	`~68 bits`	`10²⁰`	Mäßig, in Stunden geknackt
Groß+Klein+Zahlen	`62`	`~71 bits`	`10²¹`	Gut, in Tagen geknackt
Groß+Klein+Zahlen+Symbole	`95`	`~79 bits`	`10²³`	Stark, in Jahren geknackt
Alle Zeichen 16 zufällig	`95`	`~105 bits`	`10³¹`	Sehr stark, nicht brute-forcebar

Beschreibung der 7 Sicherheits-Prüfindikatoren

7 Passwortsicherheitsindikatoren, die das Tool punktuell prüft:

Prüfpunkt	Bestehenskriterium	Nichtbestehensrisiko
Länge ≥8 Zeichen	Passwort mindestens 8 Zeichen	Zu kurzes Passwort hat kleinen Brute-force-Raum
Enthält Großbuchstaben	Enthält mindestens ein A-Z	Zeichenpool um 26 reduziert, Entropie verringert
Enthält Kleinbuchstaben	Enthält mindestens ein a-z	Zeichenpool um 26 reduziert, Entropie verringert
Enthält Zahlen	Enthält mindestens ein 0-9	Zeichenpool um 10 reduziert, Entropie verringert
Enthält Sonderzeichen	Enthält nicht-alphanumerische Symbole	Zeichenpool um ~33 reduziert, Entropie verringert
Keine Wiederholungs-/aufeinanderfolgende Muster	Keine 3+ identischen Zeichen oder aufeinanderfolgende Zahlen	Gemusterte Passwörter leicht durch Regelangriffe getroffen
Nicht in häufiger Passwort-DB	Nicht in bekannter schwacher Passwortliste	Häufige Passwörter im Wörterbuch in Sekunden geknackt

Privacy & Security

Alle Vorgänge dieses Passwortstärke-Prüfers werden vollständig lokal in Ihrem Browser abgeschlossen: Die von Ihnen eingegebenen Passwörter werden nur zur Entropieberechnung und Sicherheitsanalyse in Browser-JavaScript verwendet und niemals über das Netzwerk an externe Server gesendet. Der Passwortgenerator verwendet die im Browser integrierte crypto.getRandomValues()-Schnittstelle zur lokalen Generierung von Zufallspasswörtern, ohne auf Server angewiesen zu sein. Die Seite verwendet kein Cookie-Tracking und sammelt keine von Benutzern eingegebenen Passwörter oder Nutzungsdaten. Nach dem Schließen oder Aktualisieren der Seite werden eingegebene Passwörter und Analyseergebnisse automatisch gelöscht und nicht dauerhaft im Browser gespeichert. Sie können dieses Tool im Offline-Zustand mit allen vollständig verfügbaren Funktionen verwenden.

Authoritative References

NISTNIST SP 800-63B Digitale Identitätsrichtlinien
haveibeenpwned.comHave I Been Pwned - Passwortleck-Prüfung
MDNWeb Cryptography API - MDN-Dokumentation

Passwortstärke-Prüfer

Ähnliche Tools

Passwort-Generator

PBKDF2-Schlüsselableitung

SHA-256-Hash

SHA512-Hash

AES verschlüsseln und entschlüsseln