Passwort-Entropie-Rechner

Geben Sie eine Passwortlänge ein und wählen Sie, welche Zeichenarten es nutzt, um die Entropie in Bit, eine Stärkebewertung, die Gesamtzahl möglicher Kombinationen und eine grobe Schätzung der Knackzeit zu sehen.

Entropie71,5 Bit

StärkebewertungStark

Mögliche Kombinationen10^22 combinations

Geschätzte Offline-Knackzeitcenturies

So funktioniert diese Berechnung

Die Entropie misst, wie unvorhersehbar ein zufällig erzeugtes Passwort ist. Sie wird als Bit = Länge × log2(Pool-Größe) berechnet, wobei die Pool-Größe die Anzahl unterschiedlicher Zeichen pro Position ist: 26 für Kleinbuchstaben, 26 für Großbuchstaben, 10 für Ziffern und 32 für gängige Sonderzeichen. Mehr gewählte Zeichenarten vergrößern den Pool, und jedes zusätzliche Zeichen im Pool fügt jeder Position ein wenig Entropie hinzu.

Jedes zusätzliche Zeichen an Länge multipliziert die Zahl möglicher Passwörter mit der Pool-Größe, daher wirkt die Länge überproportional: Vier Zeichen zu einem Passwort aus nur Kleinbuchstaben hinzuzufügen verdoppelt dessen Entropie ungefähr, während das Einschalten von Sonderzeichen insgesamt nur wenige Bit bringt. Deshalb lautet der Standardrat „Länge schlägt Komplexität“ — eine lange Passphrase aus gewöhnlichen Wörtern ist meist weit stärker als ein kurzes Zeichengewirr.

Die Knackzeit wird geschätzt, indem angenommen wird, dass ein Angreifer 10 Milliarden (1e10) Versuche pro Sekunde durchführen kann — eine typische Rate für Offline-Angriffe auf eine gestohlene, ungesalzene oder schwach gehashte Passwortdatei mit moderner GPU-Hardware. Online-Angriffe auf ein aktives Anmeldeformular sind wegen Ratenbegrenzung meist weit langsamer, sodass reale Knackzeiten beim Online-Raten oft viel länger sind als hier angezeigt.

Rechenbeispiel

Ein 12-stelliges Passwort mit Klein-, Großbuchstaben und Ziffern (Pool-Größe 62) hat eine Entropie von 12 × log2(62) ≈ 71,5 Bit, bewertet als „stark“, mit etwa 10^22 möglichen Kombinationen und einer geschätzten Offline-Knackzeit im Bereich von Jahrhunderten. Reduziert man es auf 8 Zeichen nur aus Kleinbuchstaben (Pool-Größe 26), fällt die Entropie auf rund 37,6 Bit — bestenfalls „vertretbar“ und bei der angenommenen Rate in Sekunden knackbar.

In dieser Berechnung verwendete Pool-Größen

Jede Zeichenkategorie fügt pro Zeichenposition eine feste Anzahl an Möglichkeiten hinzu. Dieser Rechner addiert sie zur gesamten Pool-Größe und wendet dann Bit = Länge × log2(Pool) an.

Zeichensatz	Pool-Größe	Beispiel
Kleinbuchstaben	26	a, b, c … z
Großbuchstaben	26	A, B, C … Z
Ziffern	10	0–9
Sonderzeichen	32	! @ # $ % ^ & * ( ) - _ = + usw.
Kleinbuchstaben + Ziffern	36	z. B. 'a1b2c3d4'
Kleinbuchstaben + Großbuchstaben + Ziffern	62	z. B. 'Kx9mQ2p7'
Alle vier Sätze	94	z. B. 'Kx9!mQ2#p7'

Stärkebewertungen erklärt

Sehr schwach (unter 28 Bit): fast sofort zu erraten, vergleichbar mit einer 4-stelligen PIN.
Schwach (28–35 Bit): binnen Minuten bis Stunden durch einen automatisierten Angriff zu brechen.
Vertretbar (36–59 Bit): ausreichend für geringwertige oder Wegwerf-Konten, nicht für Sensibles.
Stark (60–127 Bit): solider Schutz für die meisten persönlichen und finanziellen Konten gegen Offline-Knacken.
Sehr stark (128+ Bit): mit heutiger und naher künftiger Rechenleistung praktisch nicht zu brechen.

Warum Länge die Komplexität schlägt

Jedes zusätzliche Zeichen multipliziert die Gesamtzahl möglicher Passwörter mit der Größe des Zeichen-Pools, während das Aktivieren einer neuen Zeichenart nur den Pool für bereits vorhandene Zeichen erweitert. Von 8 auf 12 Zeichen bei einem Passwort aus nur Kleinbuchstaben (Pool 26) multipliziert den Schlüsselraum etwa mit 26⁴ — über 450.000-fach größer — während das Hinzufügen von Sonderzeichen zu einem bestehenden 8-stelligen Passwort ihn nur um etwa (58/26)⁸ ≈ 218-fach vergrößert. Deshalb bevorzugen Sicherheitsempfehlungen seit Mitte der 2010er (einschließlich NIST SP 800-63B) lange, einprägsame Passphrasen gegenüber kurzen, mit Sonderzeichen vollgestopften Passwörtern, die schwer zu tippen und leicht zu vergessen sind.

Annahmen hinter der Knackzeit-Schätzung

Die geschätzte Knackzeit setzt einen Angreifer voraus, der den Passwort-Hash bereits besitzt (etwa aus einer gestohlenen Datenbank) und 10 Milliarden Versuche pro Sekunde durchführen kann — eine realistische Rate für das Knacken eines schnellen, ungesalzenen Hashs mit modernen GPUs. Reale Knackzeiten schwanken enorm, abhängig vom Hash-Algorithmus zur Speicherung des Passworts (bcrypt und Argon2 sind absichtlich langsam und können die Rateraten auf wenige Tausend pro Sekunde senken), davon, ob das Passwort in Listen geleakter Passwörter auftaucht, und davon, ob der Angriff offline oder ratenbegrenzt online erfolgt. Nutzen Sie den Wert, um Passwortwahlen relativ zu vergleichen, nicht als wörtliche Garantie.

Häufig gestellte Fragen

Wie viele Bit Entropie braucht ein starkes Passwort?

Sicherheitsempfehlungen behandeln 60+ Bit im Allgemeinen als ausreichend stark für ein wichtiges Konto und 80–128 Bit als auf absehbare Zeit robust gegen Offline-Angriffe. Unter 28 Bit lässt sich ein Passwort fast sofort erraten; unter 36 Bit fällt es einem entschlossenen Angreifer binnen Stunden oder Tagen zum Opfer.

Hilft das Hinzufügen von Sonderzeichen mehr als mehr Länge?

Nein. Ein zusätzliches Zeichen an Länge multipliziert Ihren Schlüsselraum stets mit der vollen Pool-Größe, während das Einschalten von Sonderzeichen nur den Pool für bereits vorhandene Zeichen vergrößert. Ein 16-stelliges Passwort aus Kleinbuchstaben schlägt in der Regel ein 10-stelliges Passwort voller Sonderzeichen.

Speichert oder prüft dieser Rechner mein echtes Passwort?

Nein. Dieses Werkzeug sieht Ihr tatsächliches Passwort nie — es nimmt nur eine Länge und die Zeichenkategorien, die Sie verwenden wollen, und die Entropie-Berechnung läuft lokal in Ihrem Browser. Nichts wird übertragen, protokolliert oder gespeichert. Nutzen Sie für Ihre echten Konten einen Passwort-Manager, um eindeutige Passwörter zu erzeugen und zu speichern.

Warum wirkt die geschätzte Knackzeit zu schnell oder zu langsam?

Die Schätzung nimmt 10 Milliarden Versuche pro Sekunde an — ein Richtwert für das Offline-Knacken einer gestohlenen, schwach gehashten Passwortdatei mit moderner Hardware. Ein gut gesalzener, langsamer Hash (wie bcrypt oder Argon2) kann reale Angreiferraten auf wenige Tausend Versuche pro Sekunde drücken und die tatsächliche Knackzeit weit länger machen als hier gezeigt. Betrachten Sie den Wert als relativen Stärkevergleich, nicht als wörtlichen Countdown.

Was ist der Unterschied zwischen Entropie und den Passwort-Stärkeanzeigen auf Websites?

Dieser Rechner misst die theoretische Entropie unter der Annahme eines vollständig zufälligen, gleichverteilt aus Ihrem Zeichen-Pool gezogenen Passworts. Viele Stärkeanzeigen auf Websites bestrafen zusätzlich vorhersehbare Muster, Wörterbuchwörter und wiederverwendete Passwörter, sodass ein Passwort hier eine hohe Entropie erreichen und anderswo dennoch als schwach markiert werden kann, wenn es nicht wirklich zufällig ist.

Sollte ich eine zufällige Zeichenkette oder eine Passphrase verwenden?

Beide können hohe Entropie erreichen, wenn sie lang genug sind. Ein wirklich zufälliges Passwort aus 12+ gemischten Zeichen und eine Passphrase aus 5–6 zufälligen, nicht zusammenhängenden Wörtern (mit einer Diceware-Wortliste) können in ähnlichen Entropiebereichen landen, und Passphrasen sind meist leichter zu tippen und zu merken. Meiden Sie Zitate, Songtexte oder vorhersehbare Phrasen — diese werden mit Wörterbüchern erraten, nicht durch Brute Force.

Berücksichtigt dies gängige Passwortmuster wie '123' oder 'password1'?

Nein. Die Entropieformel setzt gleichmäßige Zufälligkeit über den gewählten Zeichen-Pool voraus. Echte Angreifer nutzen zuerst Wörterbücher und musterbewusste Knack-Werkzeuge, daher werden vorhersehbare Ersetzungen (wie 'P@ssw0rd') weit schneller geknackt, als die reine Entropie vermuten lässt. Verwenden Sie den Zufallsgenerator eines Passwort-Managers, statt Muster von Hand zu bauen.

Dieses Tool dient nur zur allgemeinen Information. Prüfen Sie wichtige Werte eigenständig. · Zuletzt geprüft: 25. August 2026