Passwortstärke-Prüfer – kostenlos

Beispiel

Klicken Sie in das Feld „Passwort“ und geben Sie 9fK2!xQ ein. Es erscheint als Punkte; klicken Sie auf „Anzeigen“, um es zu lesen. Die Seite meldet Stärke „Gut“, Entropie „46 Bits“, „Schneller Hash (10 Mrd. Versuche/s)“ „2 Stunden“ und „Langsamer Hash, bcrypt-artig (10.000/s)“ „206 Jahre“. Weil das Passwort nur 7 Zeichen hat, sagt „Was zu verbessern ist“ „Kurz: 7 Zeichen. Die Länge zählt am meisten.“, und in der Liste „Passwortanforderungen“ sind „Mindestens 8 Zeichen“ und „Mindestens 12 Zeichen“ mit einem leeren Kreis markiert, während die anderen Zeilen bestanden sind. Klicken Sie auf „Starke Passphrase für mich erstellen“, um sechs Zufallswörter zu erhalten, etwa proud-gate-merry-wise-brave-fancy, bezeichnet als „Zufällige Passphrase, etwa 53 Bit“. Ersetzen Sie den Text nun durch Summer2024. Die Stärke fällt auf „Sehr schwach“, die Entropie auf „0 Bits“, beide Zeiten lauten „sofort“, und „Was zu verbessern ist“ sagt „Es steht auf Listen der häufigsten Passwörter.“ und „Enthält eine Jahreszahl (2024), die Angreifer zuerst probieren.“

Welche Einstellungen zu verwenden sind, und die Grenzen

• Verstehen Sie die Bewertung als Schätzung. „Sehr schwach“, „Schwach“, „Gut“ und „Stark“ ergeben sich aus einer Entropieschätzung und der Zahl der erfüllten Anforderungen. Unter 28 Bits kann die Bewertung nicht über „Sehr schwach“ steigen, unter 40 nicht über „Schwach“ und unter 60 nicht über „Gut“. Ein Treffer in der integrierten Liste gebräuchlicher Passwörter erzwingt „Sehr schwach“, und ein Passwort, das auf einem gebräuchlichen Wort oder Namen aufbaut, wird bei „Schwach“ gehalten. Der gelbe Hinweis „Nur heuristisch.“ warnt, dass die Bewertung auf Struktur und kurzen integrierten Listen beruht; ein schwaches Passwort, das auf keiner der Listen steht, kann also trotzdem gut abschneiden.
• Vergleichen Sie die beiden Knackzeiten. Beide Werte teilen die Zahl der Versuche durch eine Versuchsrate. „Schneller Hash (10 Mrd. Versuche/s)“ geht von 10 Milliarden Versuchen pro Sekunde aus, wie bei einem schnell berechneten Hash. „Langsamer Hash, bcrypt-artig (10.000/s)“ geht von 10.000 pro Sekunde aus. Der Hinweis unter den Karten sagt, dass die Schätzungen einen Angreifer annehmen, der das gehashte Passwort gestohlen hat und offline rät, und dass Websites mit Begrenzung der Anmeldeversuche viel schwerer anzugreifen sind. Zeiten lauten unter einer Sekunde „sofort“, dann Sekunden bis Jahre, dann zum Beispiel 12 Tsd. Jahre, „Millionen von Jahren“ und, jenseits einer Milliarde Jahre, „praktisch nicht knackbar“.
• Nutzen Sie die optionale Datenleck-Prüfung. Klicken Sie auf „Mit bekannten Datenlecks abgleichen“, um das Passwort in den Daten von Have I Been Pwned nachzuschlagen. Der Browser erzeugt einen SHA-1-Hash des Passworts, sendet nur dessen ersten 5 Zeichen an api.pwnedpasswords.com und vergleicht den Rest auf Ihrem Gerät, das Passwort selbst wird also nie gesendet. Die Antwort lautet „In 12,345 bekannten Datenlecks gefunden“ mit dem Rat, es nicht zu verwenden, oder „In keinem bekannten Datenleck gefunden.“ Haken Sie „Automatisch prüfen, nachdem ich aufgehört habe zu tippen“ an, damit die Prüfung 0,9 Sekunden nach einer Pause läuft, ab 4 Zeichen; die Auswahl wird in diesem Browser gespeichert. Das Bearbeiten des Passworts löscht das alte Ergebnis.
• Nutzen Sie die Passphrase-Schaltfläche, wenn die Bewertung nicht „Stark“ ist. „Starke Passphrase für mich erstellen“ erscheint unter „Was zu verbessern ist“, solange etwas eingegeben ist und die Bewertung „Sehr schwach“, „Schwach“ oder „Gut“ lautet. Es verbindet sechs Wörter mit Bindestrichen, ausgewählt mit dem sicheren Zufallsgenerator des Browsers aus einer Liste von etwa 490 kurzen englischen Wörtern, und bezeichnet es als „Zufällige Passphrase, etwa 53 Bit“. „Kopieren“ kopiert sie, und „Hier testen“ setzt sie ins Feld und zeigt sie an. Die Prüfung bewertet sie dann als gewöhnliche Zeichen, daher liegt ihr Entropiewert weit über 53 Bits. Vertrauen Sie der Angabe von 53 Bit, die nur die zufällige Wortauswahl zählt.
• Wissen Sie, was die Anforderungsliste prüft. Die Liste zeigt „Mindestens 8 Zeichen“, „Mindestens 12 Zeichen“, Klein- und Großbuchstaben (oder „Enthält Buchstaben (jedes Alphabet)“ für Schriften ohne Groß- und Kleinschreibung wie Arabisch, Hebräisch oder Chinesisch), „Enthält Ziffern“, „Enthält Sonderzeichen“, „Kein gebräuchliches Passwort“, „Keine Zeichenwiederholungen (3× oder mehr)“ und „Keine häufigen Muster (123, abc, qwerty, Jahre)“. Die Prüfung auf gebräuchliche Passwörter ignoriert Groß- und Kleinschreibung, Akzente, Ziffern und Symbole an beiden Enden sowie Ersetzungen wie @ für a und 0 für o, sodass P@ssw0rd!! erkannt wird. „Was zu verbessern ist“ zeigt höchstens zwei Befunde.
• Prüfen Sie mit „Anzeigen“, was Sie getippt haben. Das Feld verbirgt das Passwort als Punkte und schaltet Rechtschreibprüfung und automatische Großschreibung aus. Klicken Sie auf „Anzeigen“, um es zu lesen, und auf „Ausblenden“, um es wieder zu verdecken. Das Passwort existiert nur in der geöffneten Seite; das Einzige, was im Browser gespeichert wird, ist die Einstellung für die automatische Datenleck-Prüfung. Passwörter in anderen Alphabeten werden nach Schrift bewertet: Kyrillische, griechische, arabische, hebräische, armenische, georgische, indische, Thai-, japanische Kana-, koreanische und chinesische Zeichen fügen jeweils einen Pool möglicher Zeichen hinzu und werden nicht als Symbole behandelt.

Häufige Probleme und wie man sie behebt

Es heißt: „Datenleck-Prüfung fehlgeschlagen — überprüfen Sie Ihre Verbindung und versuchen Sie es erneut.“

Die Datenleck-Abfrage ist der einzige Teil der Seite, der das Netzwerk nutzt. Sie fragt bei api.pwnedpasswords.com die Liste der Hash-Endungen ab, die Ihr Präfix aus 5 Zeichen teilen, und diese Meldung erscheint, wenn die Anfrage fehlschlägt oder der Dienst mit einem Fehler antwortet. Prüfen Sie, ob Sie online sind und nichts diese Adresse blockiert, und klicken Sie dann erneut auf „Mit bekannten Datenlecks abgleichen“. Die Stärkebewertung nutzt das Netzwerk nicht und funktioniert daher weiter.

Stärke zeigt „Sehr schwach“ und Entropie „0 Bits“ bei einem Passwort, das kompliziert aussieht.

Das Passwort stimmte mit der Liste gebräuchlicher Passwörter überein, was die Entropie auf 0, beide Knackzeiten auf „sofort“ und die Bewertung auf „Sehr schwach“ setzt. Der Abgleich ignoriert Groß- und Kleinschreibung, Akzente, Ziffern und Symbole an beiden Enden, ähnlich aussehende Ersetzungen wie 4 für a, 3 für e und 0 für o sowie ein vorangestelltes „my“ oder „the“. Password123!, P@ssw0rd!! und mypassword zählen daher alle als dasselbe berühmte Passwort. Wählen Sie etwas, das nichts mit einem Wort zu tun hat.

Es heißt: „Basiert auf dem gebräuchlichen Wort „istanbul“.“ (mit Ihrem eigenen Wort).

Nachdem die Ziffern und Symbole an beiden Enden entfernt und ähnlich aussehende Ersetzungen rückgängig gemacht wurden, ist das Passwort ein Name, Monat, eine Stadt oder ein Alltagswort aus der integrierten Liste. Die Bewertung wird dann höchstens bei „Schwach“ gehalten, und die Entropie ist auf die eigenen Kosten des Worts plus einige Bits für Verzierungen begrenzt: 3,4 Bits pro Ziffer, 5 pro Symbol, 1 für einen Großbuchstaben. Eine Jahreszahl am Ende zählt insgesamt etwa 7 Bits. Fügen Sie nicht zusammenhängende Wörter hinzu oder nutzen Sie die Passphrase-Schaltfläche.

Es heißt: „Tastatur- oder Alphabetfolge „qwerty123“.“ (mit Ihrer eigenen Folge).

Drei oder mehr benachbarte Zeichen aus einer Tastaturreihe, einer Diagonale wie qazwsx, der Zahlenreihe, dem Alphabet oder den Ziffern 0 bis 9, vorwärts oder rückwärts, zählen als Folge. Dieselben Reihen auf AZERTY- und russischen Tastaturen zählen ebenfalls. Zeichen innerhalb einer Folge zählen nur mit einem Viertel ihrer normalen Stärke, und die Zeile „Keine häufigen Muster (123, abc, qwerty, Jahre)“ fällt durch. Unterbrechen Sie die Folge mit nicht zusammenhängenden Zeichen.

Die Schaltfläche „Starke Passphrase für mich erstellen“ fehlt.

Sie befindet sich im Bereich „Was zu verbessern ist“, der nur angezeigt wird, solange das Feld nicht leer ist und die Stärke „Sehr schwach“, „Schwach“ oder „Gut“ lautet. Bei „Stark“ ist der Bereich ausgeblendet, und bei leerem Feld ist nur die Eingabe zu sehen. Um aus einem leeren Feld eine Passphrase zu erhalten, geben Sie zuerst einen beliebigen kurzen Text ein und klicken dann auf die Schaltfläche.

Wie es im Vergleich abschneidet

Diese Seite liefert eine Schätzung, kein Urteil. Sie verwendet kurze integrierte Listen gebräuchlicher Passwörter, Namen und Wörter, einen Test auf Tastaturmuster und ein Entropiemodell mit Zeichenpool, und sie weiß nichts über Ihren Namen, Ihren Geburtstag oder die Website, für die Sie ein Passwort wählen. Die optionale Datenleck-Prüfung nutzt den öffentlichen Bereichsdienst von Have I Been Pwned und sagt Ihnen nur, ob genau dieses Passwort in geleakten Daten auftaucht, nicht, ob ein ähnliches darin vorkommt. Für zufällige Zeichen-Passwörter verlinkt die Seite auf den Passwort-Generator („Starkes Passwort generieren“), und Passphrasen erzeugt sie selbst. Sie speichert keine Passwörter und prüft nicht, wie eine Website sie hasht; die beiden Knackzeiten sind daher Annahmen über die Geschwindigkeit eines Angreifers.