Beliebte Tools

Design

Passwort-Test

Sehen Sie, wie lange Ihr Passwort zum Knacken bräuchte, Angriff für Angriff, welche Muster es verraten und ob es schon in einem Datenleck aufgetaucht ist. Dieser Passwort-Check sendet Ihr Passwort nie: Nur 5 Zeichen seines Hashs verlassen Ihr Gerät. So sehen Sie, wie sicher Ihr Passwort ist und wie stark es wirklich ist.

Musterschätzung: zxcvbn-ts, korrigiert · Angriffsgeschwindigkeiten: hashcat-Benchmarks · Leak-Daten: Have I Been Pwned · nichts wird gespeichert
In diesem Browser geprüft
Jeder Teil, den ein Angreifer erraten würde, erscheint hier:
  • Häufiges Passwort
  • Wort
  • Name
  • Jahr
  • Tastatur
  • Wiederholung
  • Zufällig

In Ihrem Browser getestet. Nur die ersten 5 der 40 Zeichen seines SHA-1-Hashs verlassen ihn, für die Leak-Prüfung.

Probieren

Wie schnell würde es fallen?

Geben Sie ein Passwort ein oder fügen Sie es ein: Das Urteil aktualisiert sich beim Tippen.

Bit, die ein Angreifer erraten muss
0128

Was geprüft wird

  • Muster, die Angreifer zuerst probieren: 49.233 häufige Passwörter, Wörter und Namen, Jahreszahlen, Tastaturfolgen, Wiederholungen und ähnlich aussehende Ersetzungen.
  • Datenlecks: rund 2,07 Milliarden geleakte Passwörter in Have I Been Pwned, per k-Anonymität.
  • Acht Angriffe, von einer Anmeldeseite, die nach 100 Versuchen sperrt, bis zu NTLM-Hashes auf 100 Grafikkarten.

Wie sicher ist mein Passwort? Wie stark ist mein Passwort?

So stark, wie die Zahl der Versuche, die ein Angreifer bis dahin braucht, und Angreifer probieren wahrscheinliche Passwörter zuerst: häufige Passwörter, Wörter und Namen, Jahreszahlen, Tastaturfolgen und vertauschte Buchstaben, lange vor zufälligen Zeichenfolgen. Der Test zählt diese Versuche.

Er zerlegt, was Sie eingeben, in die Stücke, die Angreifer probieren, etwa Summer + 2026 + !, bewertet jedes Stück nach der Zahl der Versuche und addiert den günstigsten Weg, das ganze Passwort aufzubauen. Die Engine ist zxcvbn-ts, der quelloffene Schätzer, auf den OWASP verweist, mit englischen Wortlisten und denen der Sprache der Seite, wo es welche gibt.

Wir haben die beiden Stellen korrigiert, an denen der Standard-Schätzer am starken Ende danebenliegt: Er bewertet ein wirklich zufälliges Passwort mit 12 Zeichen mit etwa 10¹² statt etwa 10²⁴ Versuchen und eine Passphrase aus sechs Wörtern milliardenfach zu hoch. Zufällige Abschnitte werden jetzt nach den verwendeten Zeichen bewertet und Passphrasen nach dem Schema, das sie erzeugt hat.

Großbuchstaben, Ziffern und Sonderzeichen werden angezeigt, aber eine fehlende Art zählt nie gegen Sie: Das NIST hat solche Regeln gestrichen, weil sie vorhersehbare Passwörter wie Password1! erzeugen (NIST SP 800-63B-4). Die ersten 64 Zeichen werden analysiert; alles Längere ist für Raten unerreichbar, sofern es keine bekannte Phrase ist, und der Leak-Check sieht trotzdem alles.

Summer2026!

  1. SummerWörterbuchwortEine Jahreszeit, wie üblich großgeschrieben: 50 Versuche
  2. 2026!ZufälligFünf Zeichen ohne gefundenes Muster: 100.000 Versuche
0128

SchwachEtwa 10 Millionen Versuche: SchwachGeleakt45-mal in Leak-Daten: Geleakt

Die Muster entscheiden, nicht die Zeichenarten: 11 Zeichen aus vier Arten, in Sekunden erraten, sobald eine Hash-Liste geleakt ist.
Passwort-Test: ein Passwort, zerlegt in schwächende Muster, mit Knackzeiten für 8 Angriffe und einem Leak-CheckPasswort-Test: ein Passwort, zerlegt in schwächende Muster, mit Knackzeiten für 8 Angriffe und einem Leak-CheckDie BewertungSehr schwach bis Sehr stark, nach den Versuchen, die ein Angreifer braucht, oder Geleakt, wenn das Passwort in Leak-Daten steht.Wo es schwach istDas Passwort, zerlegt in die Muster, die Angreifer probieren, jeweils mit dem Grund, warum es leicht zu erraten ist.KnackzeitWie lange jeder von acht Angriffen dauern würde, auf einer Grafikkarte oder hundert.Leak-CheckOb Have I Been Pwned es gesehen hat, und die 5 Zeichen seines Hashs, die gesendet wurden.
Ein ausgedachtes Passwort im Test: die Bewertung, die Muster, die es verraten, die Zeit je Angriff und der Leak-Check. Wählen Sie eine Nummer, um zu sehen, was der jeweilige Teil zeigt.

Wie lange würde es dauern, mein Passwort zu knacken?

Das hängt vom Angriff ab: Dasselbe Passwort kann bei einer Anmeldeseite mit Versuchslimit jahrelang halten und in unter einer Sekunde fallen, sobald eine Website schlecht gespeicherte Passwort-Hashes leakt. Der Test nennt die Knackzeit für acht benannte Angriffe, auf einer Grafikkarte oder hundert.

Wie lange das Knacken eines Passworts dauert, ergibt sich aus den nötigen Versuchen geteilt durch die Geschwindigkeit des Angreifers. Online raten Angreifer über die Anmeldeseite: 100 Versuche pro Stunde, wo die Website wiederholte Fehlversuche sperrt (das NIST erlaubt höchstens 100 in Folge), 10 pro Sekunde, wo nicht. Offline, nach einem Datenbank-Leak, raten sie auf Grafikkarten gegen die gespeicherten Hashes, und die Geschwindigkeit hängt davon ab, wie die Website sie gespeichert hat.

Eine RTX 5090 probiert 340,1 Milliarden NTLM-Hashes pro Sekunde (Windows), 220,6 Milliarden MD5 und 70,2 Milliarden SHA-1, aber nur etwa 9.500 bcrypt-Hashes bei Cost 10 und 1,48 Millionen Linux sha512crypt (hashcat-Benchmarks). Argon2id mit 64 MiB Speicher läuft mit 1.699 pro Sekunde auf einer RTX 4090 (hashcat). Dieser Abstand ist der Grund, warum OWASP Websites bittet, Passwörter mit Argon2id oder bcrypt zu speichern.

Jede Zeit ist ein Durchschnitt: bei einem zufälligen Passwort die Hälfte aller Möglichkeiten. Ein Passwort-Test ist nur so ehrlich wie der Angriff, den er annimmt, deshalb nennt jede Zeile einen; echte Angreifer führen vor Brute Force auch Listen und Regeln aus, was die Musterschätzung abbildet. Phishing und Keylogger umgehen das Raten ganz.

Online, Versuche begrenztOnline, ohne LimitGeleakt, Argon2id*Geleakt, bcryptGeleakt, Linux sha512cryptGeleakt, SHA-1Geleakt, MD5Geleakt, NTLM
6-stellige PIN105,7208 Tage14 Stunden5 Minuten52 Sekundenweniger als eine Sekundeweniger als eine Sekundeweniger als eine Sekundeweniger als eine Sekunde
Summer2026!, allein nach seinen Mustern107,011 Jahre12 Tage2 Stunden17 Minuten7 Sekundenweniger als eine Sekundeweniger als eine Sekundeweniger als eine Sekunde
8 zufällige Zeichen1015,12 Mrd. Jahre4 Mio. Jahre26.183 Jahre4670 Jahre30 Jahre6 Stunden2 Stunden1 Stunde
4 zufällige Wörter1015,32 Mrd. Jahre6 Mio. Jahre34.096 Jahre6082 Jahre39 Jahre7 Stunden2 Stunden1 Stunde
12 zufällige Zeichen1023,210¹⁷ Jahre10¹⁴ Jahre10¹² Jahre554 Mrd. Jahre4 Mrd. Jahre75.172 Jahre23.921 Jahre15.516 Jahre
6 zufällige Wörter1023,010¹⁷ Jahre10¹⁴ Jahre10¹² Jahre368 Mrd. Jahre2 Mrd. Jahre49.896 Jahre15.878 Jahre10.299 Jahre
16 zufällige Zeichen1031,210²⁵ Jahre10²² Jahre10²⁰ Jahre10¹⁹ Jahre10¹⁷ Jahre10¹² Jahre10¹² Jahre10¹² Jahre
Jedes Passwort in Leak-Daten109,32361 Jahre7 Jahre14 Tage3 Tage23 Minutenweniger als eine Sekundeweniger als eine Sekundeweniger als eine Sekunde
Online, Versuche begrenztOnline, ohne LimitGeleakt, Argon2id*Geleakt, bcryptGeleakt, Linux sha512cryptGeleakt, SHA-1Geleakt, MD5Geleakt, NTLM
6-stellige PIN105,7208 Tage14 Stunden3 Sekundenweniger als eine Sekundeweniger als eine Sekundeweniger als eine Sekundeweniger als eine Sekundeweniger als eine Sekunde
Summer2026!, allein nach seinen Mustern107,011 Jahre12 Tage59 Sekunden10 Sekundenweniger als eine Sekundeweniger als eine Sekundeweniger als eine Sekundeweniger als eine Sekunde
8 zufällige Zeichen1015,12 Mrd. Jahre4 Mio. Jahre262 Jahre47 Jahre110 Tage3 Minuten1 Minute41 Sekunden
4 zufällige Wörter1015,32 Mrd. Jahre6 Mio. Jahre341 Jahre61 Jahre143 Tage4 Minuten1 Minute54 Sekunden
12 zufällige Zeichen1023,210¹⁷ Jahre10¹⁴ Jahre31 Mrd. Jahre6 Mrd. Jahre36 Mio. Jahre752 Jahre239 Jahre155 Jahre
6 zufällige Wörter1023,010¹⁷ Jahre10¹⁴ Jahre21 Mrd. Jahre4 Mrd. Jahre24 Mio. Jahre499 Jahre159 Jahre103 Jahre
16 zufällige Zeichen1031,210²⁵ Jahre10²² Jahre10¹⁸ Jahre10¹⁷ Jahre10¹⁵ Jahre69 Mrd. Jahre22 Mrd. Jahre14 Mrd. Jahre
Jedes Passwort in Leak-Daten109,32361 Jahre7 Jahre3 Stunden36 Minuten14 Sekundenweniger als eine Sekundeweniger als eine Sekundeweniger als eine Sekunde
Durchschnittszeiten. Geschwindigkeiten: hashcat-Benchmarks auf einer RTX 5090; Argon2id auf einer RTX 4090. Echte Angriffe probieren Listen und Regeln vor Brute Force. * Argon2id: auf einer RTX 4090 gemessen (noch kein RTX-5090-Benchmark veröffentlicht).

Ist mein Passwort sicher? Was jede Bewertung bedeutet

Ihr Passwort ist gegen Raten sicher, wenn es mit Sehr stark bewertet wird, oder mit Stark bei einer Website, die Passwörter mit einem langsamen Hash speichert, und noch nie in einem Datenleck aufgetaucht ist. Geleakt überstimmt alles andere.

Jede Bewertung ist ein Bereich von Versuchen, festgelegt danach, wie lange echte Angriffe brauchen, ihn abzudecken. Sehr stark braucht 10²¹ Versuche oder mehr: Keine einzelne Grafikkarte findet es binnen eines Jahrhunderts, selbst gegen NTLM nicht.

Versuche, die ein Angreifer braucht
Geleakt
  1. 6-stellige PIN
  2. Summer2026!
  3. 8 zufällige Zeichen
  4. 4 zufällige Wörter
  5. 6 zufällige Wörter
  6. 12 zufällige Zeichen
  7. 16 zufällige Zeichen
Sehr schwachSchwachMittelStarkSehr stark
  1. Mit Sperre
  2. Ohne Sperre
  3. Argon2id
  4. bcrypt
  5. sha512crypt
  6. SHA-1
  7. MD5
  8. NTLM

▲: ein Jahr auf einer Grafikkarte

Geleakt steht außerhalb der Skala: Ein geleaktes Passwort steht auf den Listen der Angreifer, egal wie lang es ist.
BewertungNötige VersucheWas es übersteht
GeleaktIn Leak-DatenNichts: Angreifer probieren geleakte Passwörter zuerst. Ändern Sie es überall, wo Sie es verwenden.
Sehr schwachUnter 10⁴Online-Raten findet es binnen 17 Minuten, selbst bei 10 Versuchen pro Sekunde.
Schwach10⁴ bis 10⁸Eine Website, die nach 100 Fehlversuchen sperrt, aber keine ohne Limit; nach einem Leak höchstens 16 Stunden.
Mittel10⁸ bis 10¹⁴Online-Raten: Monate bis Jahrtausende; nach einem Leak Stunden bis 333 Jahre gegen bcrypt, aber unter 10 Minuten gegen MD5 oder NTLM.
Stark10¹⁴ bis 10²¹Nach einem Leak: 333 bis 3 Milliarden Jahre gegen bcrypt, aber 5 Minuten bis 93 Jahre gegen NTLM, auf einer Grafikkarte.
Sehr stark10²¹ oder mehrKeine einzelne Grafikkarte findet es binnen eines Jahrhunderts, selbst gegen NTLM, den am schnellsten zu knackenden Hash, nicht.

Was macht ein starkes Passwort aus?

Länge und Zufälligkeit: mindestens 15 Zeichen, wenn das Passwort das Konto allein schützt, erzeugt von einem Generator oder aus zufälligen Wörtern, nur für ein Konto verwendet und nie in einem Leak gefunden. Sonderzeichen, Großbuchstaben und regelmäßige Wechsel sind nicht mehr nötig.

Das ist das Regelwerk der NIST SP 800-63B-4, des im Juli 2025 überarbeiteten US-Standards: 15 Zeichen mit einem Faktor und 8 mit zweitem Faktor, mindestens 64 akzeptiert, beliebige Zeichen einschließlich Leerzeichen und Emoji, keine Kompositionsregeln, keine erzwungenen Wechsel, und jedes neue Passwort wird gegen geleakte und häufige geprüft.

Die CISA, die US-Behörde für Cybersicherheit, verlangt mindestens 16 Zeichen oder eine Passphrase aus vier bis sieben unzusammenhängenden Wörtern, und das britische NCSC empfiehlt drei zufällige Wörter. Alle drei stellen die Länge an die erste Stelle.

Buchstaben durch ähnlich aussehende Ziffern zu ersetzen hilft nicht: Angreifer kennen o → 0 und a → @ und probieren sie früh (NCSC). Der Passwort-Generator erzeugt Passwörter, die jede Regel erfüllen.

NIST SP 800-63B-4was der Standard sagt · was der Test tut
  • Mindestens 15 Zeichen, oder 8 mit zweitem FaktorLänge gegen 15 geprüft
  • Mindestens 64 Zeichen akzeptierenBis zu 256 akzeptiert, die ersten 64 analysiert
  • Beliebige Zeichen, auch Leerzeichen und EmojiIn Zeichen gezählt: Ein Emoji ist eins
  • Keine Regeln wie „muss ein Sonderzeichen enthalten“Eine fehlende Art wird nie als Problem markiert
  • Keine erzwungenen Wechsel; Wechsel nach einer KompromittierungGeleakt sagt, wann es Zeit ist
  • Häufige und geleakte Passwörter sperrenGegen Have I Been Pwned geprüft
  • Einfügen und Passwortmanager erlaubenEinfügen funktioniert und löst den Leak-Check aus
NIST SP 800-63B-4, Abschnitt 3.1.1.2, der US-Standard für Passwörter seit Juli 2025.

Passwort-Entropie: Warum P@ssw0rd und Tr0ub4dor&3 durchfallen

Entropie zählt die möglichen Passwörter, die ein Angreifer durchprobieren müsste, und ist nur für ein zufällig gezogenes Passwort aussagekräftig. Nach Zeichenarten gezählt erreicht P@ssw0rd etwa 52 Bit und Tr0ub4dor&3 etwa 72; beide stehen in Leak-Daten, tausend- bis millionenfach.

Ein Entropie-Rechner multipliziert die Länge mit den Bit jeder vorhandenen Zeichenart, als wäre jedes Zeichen zufällig gewählt. Ein Mensch tut das nie: P@ssw0rd ist das Wort „password“ mit zwei bekannten Ersetzungen, und Have I Been Pwned hat es 6.421.042-mal gesehen. Deshalb gründet das NIST seine Regeln auf die Länge: Die Entropie lässt sich für Passwörter, die Menschen wählen, nicht berechnen (NIST SP 800-63B-4, Anhang A).

Tr0ub4dor&3, xkcds Beispiel für ein schwer zu merkendes Passwort, ist ein Wörterbuchwort mit vertauschten Buchstaben, einem Sonderzeichen und einer Ziffer: etwa eine Million Versuche, sobald die Ersetzungen rückgängig gemacht sind, allein Schwach und tatsächlich Geleakt, bei 3.196 Treffern.

Bei einem zufälligen Passwort stimmen beide Zählungen überein, und der Passwort-Generator zeigt seine exakten Bit. Der Test gibt stattdessen Versuche an: 10ˣ Versuche sind 3,32 × x Bit.

  • Nach Zeichenarten
  • Nach Mustern
  • In Leak-Daten
  1. P@ssw0rd52,6 Bit5,0 Bit6.421.042-mal
  2. Tr0ub4dor&372,3 Bit62,2 Bit3.196-mal
  3. 12 zufällige Zeichen78,8 Bit78,8 BitNicht gefunden
Zeichenarten gehen davon aus, dass jedes Zeichen zufällig war. Nur beim zufälligen Passwort stimmen beide Zählungen überein.

Wurde mein Passwort geleakt? Ein privater Check mit Have I Been Pwned

Der Test prüft das exakte Passwort gegen Pwned Passwords von Have I Been Pwned, rund 2,07 Milliarden Passwörter aus Datenlecks, ohne es zu senden: Nur die ersten 5 der 40 Zeichen seines SHA-1-Hashs verlassen Ihren Browser, und sie gehen an unseren Server, nicht an Have I Been Pwned.

Ihr Browser hasht das Passwort mit SHA-1 und sendet die ersten 5 Zeichen, etwa 21BD1. Etwa 2.000 Hashes in der Datenbank beginnen mit diesen 5; die Antwort listet alle mit ihren Zählern auf, und Ihr Browser sucht die anderen 35 Zeichen in dieser Liste. Das ist k-Anonymität, das eigene Design von Have I Been Pwned (HIBP): Wer die 5 Zeichen sieht, kann nicht erkennen, welches der 2.000 Sie haben.

Unser Server fragt Have I Been Pwned in Ihrem Auftrag, sieht also nie Ihre IP-Adresse, füllt jede Antwort mit 100 bis 300 Füllzeilen auf, damit die Größe nichts verrät, und protokolliert das Präfix nicht. Der Check läuft, wenn Sie das Feld verlassen, die Eingabetaste drücken oder einfügen, nie bei jedem Tastendruck: Ein Präfix pro getipptem Buchstaben könnte das Passwort verraten, weshalb Have I Been Pwned davon abrät (HIBP).

Der Zähler gibt Fundstellen an, nicht Datenlecks: Tr0ub4dor&3 wurde 3.196-mal gesehen. Die 2,07 Milliarden sind unsere eigene Messung, da Have I Been Pwned keine aktuelle Gesamtzahl veröffentlicht: 256 zufällige Präfixe enthielten im Schnitt je 1.971 Hashes (23. Oktober 2026).

Ihr Browser

••••••••

SHA-1 des Passworts

21BD12DC183F740EE76F27B78EB39C8AD972A757

Gesendet: die ersten 5 Zeichen · Behalten: die anderen 35

In Ihrem Browser verglichen

…2DC183F74…:6.421.042

6.421.042-mal gesehen

dnsrobot.net

21BD1

+ 100 bis 300 Füllzeilen

Nicht protokolliert

Etwa 2.000 Hashes, die mit 21BD1 beginnen

Have I Been Pwned

/range/21BD1

Sieht unseren Server, nie Sie

k-Anonymität: Wer die 5 Zeichen sieht, kann nicht erkennen, welches von etwa 2.000 Passwörtern Sie haben.

Was tun, wenn Ihr Passwort in einem Datenleck war?

Verwenden Sie es nicht mehr: Ändern Sie es zuerst bei Ihrem E-Mail-Konto, dann auf jeder Website, auf der Sie dasselbe oder ein ähnliches Passwort benutzt haben, jedes Mal auf ein neues zufälliges, und schalten Sie überall, wo es angeboten wird, die Zwei-Schritt-Anmeldung ein.

Ein geleaktes Passwort steht auf den Listen, die Angreifer zuerst probieren, seine Stärke zählt also nicht mehr: Die ganze Liste mit 2,07 Milliarden durchzugehen dauert für eine Grafikkarte unter einer Sekunde gegen NTLM- oder MD5-Hashes und etwa 2,5 Tage gegen bcrypt. Deshalb verlangt das NIST von Websites, geleakte Passwörter abzulehnen und einen Wechsel zu verlangen, wenn eines kompromittiert wurde (NIST SP 800-63B-4).

E-Mail kommt zuerst, weil sich darüber jedes andere Konto zurücksetzen lässt. Der Passwort-Generator gibt jedem Konto sein eigenes Passwort, und ein Passwortmanager merkt sie sich. Ein Treffer heißt nicht, dass in Ihr Konto eingebrochen wurde: Die Liste enthält das Passwort selbst, von wem auch immer es benutzt wurde.

Auch ein starkes, einmaliges Passwort stoppt weder Phishing noch einen Keylogger, die es beim Tippen abgreifen (NIST SP 800-63B-4). Prüfen Sie, wohin ein Link wirklich führt, bevor Sie sich anmelden, und den wahren Absender einer verdächtigen E-Mail mit dem E-Mail-Header-Analysator.

  1. 1Ändern Sie es zuerst bei Ihrer E-MailÜber E-Mail lässt sich jedes andere Konto zurücksetzen.
  2. 2Dann überall, wo Sie es wiederverwendet habenJedes Konto bekommt sein eigenes erzeugtes Passwort.
  3. 3Schalten Sie die Zwei-Schritt-Anmeldung einEin gestohlenes Passwort allein genügt dann nicht mehr.
  4. 4Bewahren Sie sie in einem Passwortmanager aufEr merkt sich jedes und trägt es ein.

Passwortstärke: Fragen und Antworten

Ist es sicher, mein echtes Passwort hier einzugeben?

Das Passwort bleibt in Ihrem Browser. Die Schätzung läuft auf Ihrem Gerät, und der Leak-Check sendet nur die ersten 5 der 40 Zeichen seines SHA-1-Hashs, sobald Sie das Feld verlassen, die Eingabetaste drücken oder einfügen. Nichts wird gespeichert oder protokolliert, und die Rechtschreibprüfung ist für das Feld aus. Wenn Sie trotzdem lieber nicht möchten, testen Sie ein Passwort, das auf dieselbe Weise aufgebaut ist.

Ist das dasselbe wie der Passwort-Check von Have I Been Pwned?

Er nutzt dieselben Daten, Pwned Passwords von Have I Been Pwned, und dieselbe k-Anonymitäts-Bereichssuche. Drei Dinge sind anders: Die Anfrage läuft über unseren Server, sodass Have I Been Pwned nie Ihre IP-Adresse sieht; er läuft, wenn Sie fertig getippt haben, nie pro Tastendruck; und ein Treffer ändert die Bewertung auf Geleakt, statt neben einem Stärke-Score zu stehen.

Was bedeutet „3.196-mal gesehen“?

Es gibt an, wie oft genau dieses Passwort in den Leak-Daten von Have I Been Pwned vorkommt: 3.196 Fundstellen für Tr0ub4dor&3. Es ist nicht die Zahl der Datenlecks oder der Konten, und es heißt nicht, dass Ihr Konto gehackt wurde: Die Liste enthält das Passwort, nicht wer es benutzt hat. Jeder Wert über null setzt ein Passwort auf die Listen, die Angreifer zuerst probieren.

Wie berechnet der Passwort-Checker die Knackzeit?

Er teilt die Versuche, die ein Angreifer im Schnitt bräuchte, durch die Geschwindigkeit jedes Angriffs. Die Versuche stammen aus der Musterschätzung; die Geschwindigkeiten sind veröffentlichte hashcat-Benchmarks für eine RTX 5090 (eine RTX 4090 für Argon2id), und 100 Grafikkarten teilen die Zeit durch 100. Echte Angreifer probieren vor Brute Force Listen und Regeln, was die Musterschätzung abbildet.

Warum gibt ein anderer Passwort-Checker eine andere Antwort?

Die meisten zählen Zeichenarten und sagen nicht, welchen Angriff sie annehmen. Als wir am 23. Oktober 2026 neun beliebte Checker ausprobierten, stellten sechs Tr0ub4dor&3 als sicher dar, mit Knackzeiten von 4 Monaten bis 2.000 Jahren, obwohl es 3.196-mal in Leak-Daten steht. Dieser Test nennt jeden Angriff, bewertet die Muster, die Angreifer zuerst probieren, und lässt einen Leak die Bewertung überstimmen.

Ist das ein Passwort-Entropie-Rechner?

Im Grunde ja: Er schätzt, wie viele Versuche ein Passwort braucht, und 10ˣ Versuche sind etwa 3,32 × x Bit. Anders als ein Entropie-Rechner, der Zeichenarten zählt, sucht er zuerst nach Mustern: Nach Zeichenarten erreicht P@ssw0rd etwa 52 Bit, steht aber 6,4 Millionen Mal in Leak-Daten. Bei einem zufälligen Passwort stimmen beide überein, und der Generator zeigt seine exakten Bit.

Warum wird mein langes Passwort als schwach bewertet?

Länge hilft nur, wenn die Zeichen unvorhersehbar sind. Wiederholte Buchstaben, Tastaturfolgen wie qwertyuiop, eine berühmte Phrase oder eine Songzeile gehören zu den ersten Dingen, die Angreifer probieren: aaaaaaaaaaaaaaaa hat 16 Zeichen und wird mit Sehr schwach bewertet. Ein langes Passwort kann auch in Leak-Daten stehen, was es als Geleakt bewertet: correcthorsebatterystaple kommt 4.173-mal vor.

Brauche ich Sonderzeichen, Zahlen und Großbuchstaben?

Nicht für die Stärke. Die aktuellen Regeln des NIST weisen Websites an, sie nicht mehr zu verlangen, weil sie zu vorhersehbaren Wahlen wie Password1! führen, und der Test markiert eine fehlende Art nie als Problem. Länge und Zufälligkeit zählen weit mehr: 20 zufällige Kleinbuchstaben (94 Bit) schlagen 12 zufällige Zeichen jeder Art (78 Bit). Manche Websites bestehen noch darauf, deshalb kann der Generator sie hinzufügen.

Wie lange dauert es, ein Passwort mit 8 Zeichen zu knacken?

Ein zufälliges, aus allen 94 Tastaturzeichen: etwa 2 Stunden auf einer RTX 5090, wenn die Website es als NTLM-Hash gespeichert hat, 4 Stunden als MD5 und rund 10.000 Jahre mit bcrypt bei Cost 10. Ein 8-stelliges Passwort, das ein Mensch gewählt hat, etwa ein Wort und eine Jahreszahl, fällt gegen diese schnellen Hashes in unter einer Sekunde und gegen bcrypt binnen Stunden.

Kann ein starkes Passwort trotzdem gehackt werden?

Ja, denn Stärke misst nur das Raten. Phishing-Seiten, Keylogger und Schadsoftware greifen ein Passwort beim Tippen ab, egal wie lang es ist, und ein Passwort, das auf einer gehackten Website wiederverwendet wurde, wird bei Ihren anderen Konten probiert. Verwenden Sie für jede Website ein anderes Passwort, schalten Sie die Zwei-Schritt-Anmeldung ein und prüfen Sie, wohin ein Link wirklich führt, bevor Sie sich anmelden.

Warum steht bei einem Passwort, das stark aussieht, Geleakt?

Weil es in Leak-Daten steht und Angreifer diese Passwörter vor allem anderen probieren. Die ganze Liste mit etwa 2,07 Milliarden durchzugehen dauert für eine Grafikkarte unter einer Sekunde gegen MD5- oder NTLM-Hashes und einige Tage gegen bcrypt, Komplexität schützt es also nicht mehr. Aus demselben Grund verlangt das NIST von Websites, geleakte Passwörter abzulehnen. Geleakt überstimmt jede andere Bewertung.

Warum läuft der Leak-Check nicht schon beim Tippen?

Weil eine Prüfung bei jedem Tastendruck für jeden Buchstaben ein neues Präfix senden würde, und diese Folge von Präfixen könnte das Passwort jedem verraten, der den Datenverkehr beobachtet. Have I Been Pwned rät, zu warten, bis das ganze Passwort eingegeben ist, deshalb prüft der Test, wenn Sie das Feld verlassen, die Eingabetaste drücken oder einfügen. Die Stärkebewertung aktualisiert sich weiterhin beim Tippen.

Fehlt Ihnen etwas?Funktion oder neues Tool vorschlagen

Verwandte Tools