So nutzt du: Passwort-Sicherheitscheck
- Gib ein Passwort ein oder füge es ein. Es wird sofort in deinem Browser analysiert und niemals an unseren Server gesendet.
- Lies dir die Stärke, die Anzahl der möglichen Kombinationen und die geschätzte Zeit bis zum Knacken in vier Angriffsszenarien durch.
- Schau dir die Liste der Schwachstellen an – gängige Wörter, Zahlenfolgen wie „1234“ oder „qwerty“, Jahreszahlen und vorhersehbare Muster.
- Klicke optional auf „Datenlecks prüfen“, um zu sehen, ob das Passwort in der Datenbank von „Have I Been Pwned“ mit durchgesickerten Passwörtern vorkommt.
Wie die Passwortsicherheit gemessen wird
Die Stärke hängt davon ab, wie viele Versuche ein Angreifer benötigt. Bei einem wirklich zufälligen Passwort entspricht dies der Größe des Zeichenvorrats hoch der Länge: 8 zufällige Kleinbuchstaben ergeben 26⁸ ≈ 209 Milliarden Möglichkeiten, während 16 Zeichen aus allen 95 druckbaren Zeichen etwa 4,4 × 10³¹ ergeben. Ausgedrückt in Entropie-Bits verdoppelt jedes zusätzliche Bit den Aufwand.
Echte Passwörter sind jedoch nicht zufällig. Cracking-Tools probieren zuerst durchgesickerte Passwörter, Wörter aus dem Wörterbuch, Namen, Tastaturmuster und Muster wie „Wort + Jahr + !“ aus. Deshalb senkt der Checker die Bewertung für gebräuchliche Wörter, Ersetzungen wie p@ssw0rd, Wiederholungen und Sequenzen – ein langes Passwort, das nach einem vorhersehbaren Muster aufgebaut ist, kann schwächer sein als ein kürzeres, zufälliges.
Angriffsszenarien
| Szenario | Versuche pro Sekunde | Wann es gilt |
|---|---|---|
| Online, gedrosselt | ~100 pro Stunde | Anmeldung auf einer Website mit Ratenbeschränkungen oder Sperren |
| Online, ohne Drosselung | ~10 | Schlecht geschützte Anmeldeformulare oder APIs |
| Offline, langsamer Hash | ~10.000 | Eine gestohlene Datenbank, die mit bcrypt, scrypt oder Argon2 gehasht wurde |
| Offline, schneller Hash | ~100 Milliarden | Eine gestohlene Datenbank mit MD5-/SHA-1-Hashes, die auf GPUs geknackt wurden |
Ist die Sicherheitsüberprüfung sicher?
Ja. Er nutzt die k-Anonymity-API von „Have I Been Pwned“: Dein Browser hasht das Passwort mit SHA-1 und sendet nur die ersten fünf Zeichen des Hashs. Der Dienst gibt alle durchgesickerten Hashes zurück, die mit diesen Zeichen beginnen, und dein Browser vergleicht sie lokal. Weder wir noch „Have I Been Pwned“ können das Passwort oder den vollständigen Hash sehen.
Was macht Passwörter eigentlich sicher?
- Länge ist wichtiger als Komplexität. Strebe mindestens 16 zufällige Zeichen oder eine Passphrase aus 5–6 zufälligen Wörtern an.
- Verwende Passwörter niemals mehrfach. Offengelegte Passwörter werden auf anderen Seiten ausprobiert (Credential Stuffing) – die Wiederverwendung ist das größte Risiko in der Praxis.
- Nutze einen Passwort-Manager und aktiviere die Zwei-Faktor-Authentifizierung für wichtige Konten.
Erstelle sichere Passwörter und Passphrasen mit dem „Advanced Password Generator“ und berechne die Möglichkeiten für Codes und PINs mit dem „Possibility & Combination Calculator“.
Auch gesucht als: wie sicher ist mein passwort?, passwort-prüfprogramm, zeit, das passwort zu knacken, passwort-entropie, wurde mein passwort geknackt?, mögliche passwörter, passwortstärke testen.
Passende Tools zu: Passwort-Sicherheitscheck
- Hash Generator — Compute MD5 and SHA hashes of any text or file instantly, create HMAC signatures, and paste an expected checksum to verify a download.
- Zufallszahlengenerator — Zufallszahlen generieren (mit oder ohne Duplikate), Gewinner aus einer Liste auswählen, Namen mischen, Gruppen in Teams aufteilen, Münzen werfen und würfeln – und das alles mithilfe der kryptografisch gesicherten Zufallsfunktion deines Browsers.
- UUID Generator — Create cryptographically random UUIDs (v4) or sortable, timestamp-based UUIDs (v7) in bulk, then copy or download them.
- Markdown Table Generator — Build a table in a spreadsheet-like editor — or paste cells from Excel, Google Sheets or CSV — set column alignment and get a neatly aligned Markdown table (GitHub-flavored) or clean HTML.