Passwort-Check

Was mit Ihrer Eingabe passiert

Sie bleibt in diesem Browser-Tab. Der Check ist ein Programm, das auf Ihrem Gerät läuft, deshalb enthält keine Anfrage an unsere oder fremde Server Ihr Passwort. Wir speichern es nicht, und das Feld wird geleert, wenn Sie die Seite verlassen.

Google Analytics und die Sitzungsaufzeichnung sind auf dieser Seite abgeschaltet. Sobald die erste Bewertung erscheint, hat der Check alles, was er braucht, und Sie können die Internetverbindung trennen und weitermachen. Um das selbst zu prüfen, öffnen Sie die Entwicklertools Ihres Browsers und beobachten beim Tippen den Tab „Netzwerk“. Eines können wir nicht beeinflussen: Installierte Browser-Erweiterungen können jedes Feld auf jeder Seite lesen.

So lesen Sie das Ergebnis

Die Bewertung stammt von zxcvbn, einem quelloffenen Schätzer für die Stärke von Passwörtern, der bei Dropbox entstanden ist und in einem Beitrag der Konferenz USENIX Security 2016 beschrieben wird. Statt Sonderzeichen zu zählen, sucht er nach dem, was Programme zum Knacken von Passwörtern zuerst probieren: häufige Passwörter, Namen, häufige englische Wörter, Datumsangaben, Wiederholungen, fortlaufende Zeichen, Tastaturmuster und durch Zeichen ersetzte Buchstaben. Dann schätzt er, wie viele Versuche nötig wären.

Die Zeiten zeigen, was diese Schätzung bei vier angenommenen Geschwindigkeiten bedeutet, von einem Online-Dienst, der Versuche begrenzt, bis zu einer gestohlenen Datenbank mit schnellem Hash. Das sind keine Vorhersagen. Der Check hat außerdem Grenzen:

• Er kennt vor allem Englisch. Seine Listen enthalten häufige Passwörter, Vor- und Nachnamen aus den USA und englische Wörter. Ein deutsches Wort kann deshalb besser abschneiden, als es verdient. Umlaute verfälschen das Ergebnis zusätzlich: „müller“ wirkt viel stärker als „muller“.
• Er weiß nicht, ob ein Passwort schon geleakt wurde. Ein geleaktes Passwort lässt sich ganz ohne Raten verwenden.
• Bei wirklich zufälligen Zeichenketten ist er vorsichtig. Pro nicht erkanntem Zeichen multipliziert er die Versuche mit 10, ein langes Zufallspasswort aus einem Passwort-Manager ist also stärker, als die Zeiten vermuten lassen.
• Je größer die Schätzung, desto ungenauer ist sie. Der Beitrag zu zxcvbn nennt hohe Genauigkeit nur bis etwa 100.000 Versuche, und das mit 1,5 MB Daten; die hier genutzte Version hat rund 400 KB. Nehmen Sie große Zahlen und die höchste Bewertung deshalb als grobe Werte.
• Er kennt Sie nicht. Was mit Ihrem Leben zu tun hat, etwa der Name eines Haustiers oder einer Straße, kann hier gut abschneiden und für Menschen, die Sie kennen, trotzdem leicht zu erraten sein.

Was ein Passwort stark macht

• Länge und Zeichenarten. Das BSI nennt zwei Wege: mindestens acht Zeichen mit vier Zeichenarten oder mindestens 25 Zeichen bei weniger Komplexität (an anderer Stelle: 20 bis 25). Grundsätzlich gilt: je länger, desto besser.
• Mehrere Zufallswörter. Als gut merkbare Variante nennt das BSI fünf bis sechs zufällige Wörter, getrennt durch Leerzeichen.
• Nichts Naheliegendes. Das BSI rät von Namen, Geburtsdaten, Tastaturmustern und einfachen Ziffern oder Sonderzeichen am Ende ab.
• Ein Passwort pro Zugang. Jedes Passwort sollte laut BSI immer nur für einen Zugang genutzt werden.
• Sonderzeichen allein reichen nicht. Dieser Check stuft P@ssw0rd1! als schwach ein, weil es einem häufigen Passwort sehr ähnelt.

Warum ein Passwort-Manager hilft

Niemand merkt sich für jedes Konto ein eigenes langes Passwort. Ein Passwort-Manager verwaltet sie, und Sie müssen sich laut BSI nur noch das Passwort für den Manager merken. Unser Ratgeber zu Passwort-Managern erklärt den Einstieg. Aktivieren Sie danach die Zwei-Faktor-Authentisierung, die laut BSI mehr Sicherheit bietet als Benutzername und Passwort allein.