Wie prüfe ich, ob mein Passwort wirklich stark ist?
Tippe ein Passwort ein und erhalte eine Bewertung von 0-4 (von "Sehr schwach" bis "Sehr stark") plus eine konkrete WARUM-Erklärung.
Anders als ein simpler Entropie-Messer erkennt zxcvbn (die Dropbox-Bibliothek) Muster: Wörterbuchwörter, Geburtsjahre, Tastatur-Walks (qwerty), Wiederholungen, Leetspeak (P@ssw0rd), Nachnamen.
Zeigt die Knackzeit in 4 Szenarien (online mit Rate-Limit, online ohne, offline gegen bcrypt, offline gegen MD5+GPU). Alles läuft lokal, das Passwort verlässt den Browser nie.
So nutzt du das Tool
- Tippe das Passwort ein, das Feld ist maskiert (Punkte). Klick auf das Augensymbol, um es einzublenden.
- Lies das Live-Ergebnis, der Farbbalken zeigt 0-4 (rot → grün).
- Schau dir den Abschnitt "Erkannte Muster" an, zxcvbn zeigt, WELCHER Teil ein Wörterbuchwort ist, WELCHER ein Geburtsjahr und WELCHER eine Tastatursequenz.
- Setz die "Vorschläge" der Bibliothek um: "Füge ein weiteres Wort hinzu", "Vermeide Jahreszahlen", "Mische Groß- und Kleinschreibung". Jeder Vorschlag hebt die Bewertung.
- Ziel: Score=4 ("Sehr stark") plus keine Warnungen. Offline-Knackzeit >100 Jahre = praktisch unknackbar.
Wann das hilfreich ist
Fünf typische Situationen, in denen eine Stärke-Bewertung dich vor einer Katastrophe bewahrt:
- Eigene Passwörter auditieren. Prüfe jedes Passwort aus deinem Manager und fang mit dem schwächsten an.
- Unternehmensrichtlinien. Teste Beispielpasswörter gegen deine Regeln; schau, ob "mindestens 8 Zeichen, Großbuchstabe, Ziffer" tatsächlich starke Passwörter liefert (meist nicht, zxcvbn zeigt dir, dass "Sommer2024!" trotz erfüllter Kriterien schwach ist).
- Schulung des Teams. Beweise, dass "ein Passwort, das ich mir spontan ausgedacht habe" rund 30 Bit Entropie hat.
- Onboarding neuer Mitarbeiter. Prüfe das vorgeschlagene temporäre Passwort, bevor du den Account anlegst.
- Passwörter für externe Festplatten, ZIP-Archive, PGP-Schlüssel. Jedes solche Passwort verdient einen gründlichen Test, weil es nie ein Einmal-Passwort ist.
Nach dem Finden eines schwachen Passworts: generiere ein starkes und prüfe, ob es noch nicht geleakt wurde.
Fragen und Antworten
Entropie aus `Länge × log2(Zeichenset)` setzt voraus, dass das Passwort ZUFÄLLIG ist. Die meisten menschlich gewählten Passwörter sind das NICHT, "Sommer2024!" wirkt wie 11 Zeichen = 67 Bit, ist aber in Wahrheit ein Wörterbuchwort + Jahreszahl + häufiges Suffix (~25 Bit, in Stunden geknackt). zxcvbn erkennt Muster und liefert eine realistische Schätzung. Es prüft gegen 30.000+ häufige Passwörter, Wörterbücher, Datumsangaben und Tastatur-Walks.