Passwort Checker: Wie sicher ist dein Passwort?

Das hängt von Länge, Zufall und erkennbaren Mustern ab. Der Passwort Checker ordnet dein Passwort in fünf Stufen von „Sehr schwach“ bis „Sehr stark“ ein. Beispiel: passwort123 ist „Sehr schwach“ und bei einem gestohlenen Hash sofort geknackt, auch Sommer1987! bleibt trotz Sonderzeichen sehr schwach. Ein zufälliges Passwort wie kT9#mQ2$vL8!pX4z ist „Sehr stark“.

Die Prüfung läuft nur in deinem Browser: keine Anfrage an einen Server, keine Speicherung, nichts in der URL, kein Logging. Solange das Passwort verborgen ist, bleiben auch die erkannten Teile maskiert. Teste trotzdem lieber ein ähnliches Passwort als dein echtes.

Der Checker schätzt, wie viele Versuche ein Angreifer bräuchte, und teilt sie durch die Angriffsrate: 100 pro Stunde bei einem Online-Login mit Sperre, 10.000 pro Sekunde bei einem gestohlenen bcrypt-Hash und 10 Milliarden pro Sekunde bei einem schnellen Hash wie MD5. Ab 13,8 Milliarden Jahren zeigt er „länger als das Universum alt ist“. Das sind Schätzungen, keine Garantie.

Die Entropie in Bit gilt, wenn jedes Zeichen zufällig gewählt wäre. Die effektive Stärke zieht ab, was die erkannten Muster einem Angreifer ersparen. Der Abstand zwischen beiden Werten zeigt, was dich die Muster kosten.

Häufige Passwörter und Wörter, auch mit Großbuchstaben oder Ersetzungen wie 0 für o, wortähnliche Buchstabenfolgen, Tastaturmuster, Zeichenfolgen wie abc oder 1234, Wiederholungen, Jahreszahlen und Daten. Die eingebaute Wortliste ist klein und enthält vor allem englische und deutsche Einträge. Andere Wörter bewertet er nach ihrem Klang, die Schätzung fällt für sie optimistischer aus.

Der Checker rät zu mindestens 14 Zeichen oder einer Passphrase aus vier oder mehr zufälligen Wörtern. Die Passphrase Gartenzaun-Wolkenmeer-Teekanne-Bleistift ist „Sehr stark“, das kurze, komplexe Tr0ub4dor&3 nur „Mittel“. Für E-Mail, Passwort-Manager und Server-Zugänge sind 16 bis 20 Zeichen eine gute Wahl. Die Knackzeit-Tabelle oben zeigt, wie viel jede zusätzliche Stelle bringt.

Nein. Für einen Abgleich mit Datenlecks müsste das Passwort oder sein Hash übertragen werden, und genau das macht dieser Checker nicht. Er bewertet nur Stärke und Muster direkt in deinem Browser.

Folge den angezeigten Tipps, etwa mehr Länge und keine Wörter, Jahreszahlen oder Tastaturmuster. Liegt das Ergebnis unter „Sehr stark“, führt dich der Button „Starkes Passwort erzeugen“ zum Passwort-Generator, der ein neues Zufallspasswort erstellt.