Passwort-Stärke-Test
Finden Sie heraus, wie lange ein Angreifer für Ihr Passwort bräuchte – und was Sie sofort verbessern können.
KurzantwortGeben Sie Ihr Passwort ein – die Auswertung läuft ausschließlich lokal in Ihrem Browser, nichts wird übertragen oder gespeichert. Das Tool berechnet Entropie und Zeichenvorrat, schätzt die Knackdauer bei zehn Milliarden Versuchen pro Sekunde und warnt vor häufigen Passwörtern, Tastaturläufen und Mustern. Anschließend erhalten Sie konkrete Tipps, wie Sie das Passwort sofort deutlich stärker machen.
🔒 Datenschutz-Zusage: Ihr Passwort verlässt niemals Ihren Browser – es wird nichts übertragen oder gespeichert. Die gesamte Auswertung läuft lokal auf Ihrem Gerät.
Geben Sie ein Passwort ein – die Auswertung erfolgt sofort und lokal.
Etwas stimmt nicht? Fehler melden
So funktioniert’s
Die Stärke eines Passworts misst man in Entropie (in Bit): Entropie = Länge × log₂(Zeichenvorrat). Der Zeichenvorrat wächst mit jeder verwendeten Zeichenklasse – Kleinbuchstaben (26), Großbuchstaben (26), Ziffern (10) und Sonderzeichen (32). Ein 8-stelliges Passwort nur aus Kleinbuchstaben hat also 8 × log₂(26) ≈ 38 Bit Entropie – das sind 2³⁸ ≈ 275 Milliarden Möglichkeiten.
Die geschätzte Knackdauer teilt diese Möglichkeiten durch eine angenommene Rate von 10 Milliarden Versuchen pro Sekunde – realistisch für einen Angreifer mit moderner Grafikhardware, der einen gestohlenen Passwort-Hash offline durchprobiert. Online-Angriffe sind durch Sperren und Verzögerungen meist deutlich langsamer.
Wichtig: Reine Mathematik schützt nicht vor Wörterbuch-Angriffen. „Sommer2024!“ hat zwar rechnerisch über 60 Bit Entropie, steht aber in jeder Angreifer-Wörterliste. Deshalb prüft dieses Tool zusätzlich gegen eine Liste der häufigsten Passwörter sowie typische Muster (Tastaturläufe, Wiederholungen, Zahlenfolgen) – und warnt, bevor die Mathematik Sie in falscher Sicherheit wiegt.
Beispiel
hallo123 (8 Zeichen, Kleinbuchstaben + Ziffern): Das Tool schlägt sofort Alarm – „hallo123“ steht auf der Liste der häufigsten Passwörter. Knackdauer in der Praxis: Sekundenbruchteile, weil Angreifer es gar nicht erst „berechnen“, sondern einfach ausprobieren.
K4ffee!M0rgen#Tasse7 (20 Zeichen, alle vier Klassen): Zeichenvorrat 94, also 20 × log₂(94) ≈ 131 Bit Entropie. Selbst mit 10 Milliarden Versuchen pro Sekunde bräuchte ein Angreifer ein Vielfaches des Weltalters – stark. Merksatz dahinter: vier zufällige Wörter mit Zahlen und Zeichen dazwischen.
Quellen: NIST SP 800-63B (Richtlinien für digitale Identitäten); Entropie-Berechnung nach Claude Shannon. Stand: Oktober 2026. Alle Angaben ohne Gewähr.
Häufige Fragen
Wie lang sollte ein Passwort mindestens sein?
Mindestens 14 Zeichen für wichtige Konten (E-Mail, Banking, Passwort-Manager) – besser 16 bis 20. Die Länge schlägt fast immer die Komplexität: Ein langer, merkbarer Satz mit ein paar Zahlen und Zeichen („4-Regentropfen-tanzen!leise“) ist stärker als ein kurzes, kryptisches „Tr4!9x“ und lässt sich obendrein merken.
Reicht es, Buchstaben durch Zahlen zu ersetzen (z. B. P@ssw0rt)?
Nein. Solche Ersetzungen („Leetspeak“) kennen Angreifer seit Jahrzehnten – jede Wörterliste probiert automatisch dutzende Varianten von „passwort“ durch. Zählen Sie solche Tricks nicht als zusätzliche Sicherheit, sondern nehmen Sie lieber ein paar Zeichen mehr.
Sollte ich meine Passwörter regelmäßig ändern?
Nein – das empfiehlt heute niemand mehr, auch das BSI und das NIST nicht. Erzwungene Wechsel führen zu schwächeren Passwörtern („Sommer2024!“, „Herbst2024!“ …). Ändern Sie ein Passwort nur, wenn es tatsächlich kompromittiert wurde – etwa nach einer bekannten Datenpanne des Anbieters.
Was ist ein Passwort-Manager – und brauche ich einen?
Ein Passwort-Manager erzeugt und speichert für jedes Konto ein eigenes, langes Zufallspasswort; Sie müssen sich nur noch ein einziges starkes Master-Passwort merken. Das löst das größte reale Problem: Passwort-Wiederverwendung über viele Dienste. Ja, für alle mit mehr als einer Handvoll Online-Konten lohnt sich das.
Wird mein eingegebenes Passwort gespeichert oder übertragen?
Nein. Die komplette Auswertung läuft per JavaScript lokal in Ihrem Browser – es findet keine einzige Netzwerkanfrage statt, und nichts wird in Cookies, Local Storage oder sonstwo abgelegt. Sie können das in den Entwicklertools Ihres Browsers (Netzwerk-Tab) selbst nachprüfen.