Wie sicher ist mein Passwort wirklich?

Der wichtigste Faktor für ein starkes Passwort ist seine Länge. Bei einem Brute-Force-Angriff probiert ein Programm automatisiert sehr viele Zeichenkombinationen durch, bis es die richtige findet. Jede zusätzliche Stelle vergrößert die Zahl der möglichen Kombinationen um ein Vielfaches, sodass der Aufwand für ein längeres Passwort sehr schnell ins Astronomische wächst. Deshalb ist ein langes, zufälliges Passwort einem kurzen weit überlegen, selbst wenn das kurze viele Sonderzeichen enthält. Als grobe Orientierung gelten zwölf Zeichen heute als Untergrenze, sechzehn oder mehr sind deutlich besser. Wichtig ist, dass die Länge aus echtem Zufall stammt und nicht durch das Anhängen vorhersehbarer Zusätze wie einer Jahreszahl oder eines einzelnen Ausrufezeichens erkauft wird.

Um die Stärke eines Passworts messbar zu machen, verwenden Fachleute den Begriff Entropie. Vereinfacht beschreibt Entropie, wie viel echte Unvorhersehbarkeit in einem Passwort steckt, gemessen in Bit. Jedes Bit verdoppelt die Zahl der möglichen Kombinationen. Ein Passwort mit vierzig Bit Entropie hat also nur einen Bruchteil der Sicherheit eines Passworts mit achtzig Bit. Entscheidend ist dabei nicht allein die Länge, sondern die Kombination aus Länge und der Größe des verwendeten Zeichenvorrats. Ein zufälliges Passwort aus einem großen Zeichensatz erreicht pro Stelle mehr Entropie als eine reine Ziffernfolge. Wichtig zu verstehen ist, dass Entropie nur bei echtem Zufall gilt. Ein selbst ausgedachtes Passwort hat meist weit weniger Entropie, als seine Länge vermuten lässt.

Zwei Dinge schwächen Passwörter besonders stark: erkennbare Muster und Mehrfachnutzung. Angreifer starten selten mit reinem Durchprobieren aller Zeichen. Sie testen zuerst gängige Wörter, Namen, Geburtsdaten, Tastaturfolgen wie qwertz und bekannte Ersetzungen, etwa eine Null statt eines O. Ein Passwort, das auf einem Wörterbuchwort beruht, fällt solchen Angriffen viel schneller zum Opfer, als seine Länge nahelegt. Ebenso gefährlich ist es, dasselbe Passwort für mehrere Konten zu verwenden. Wird ein Dienst gehackt, probieren Angreifer die erbeuteten Zugangsdaten automatisiert bei anderen Diensten aus. Ein einziges Leck kann so eine ganze Kette von Konten öffnen. Deshalb braucht jedes Konto ein eigenes, einmaliges Passwort ohne erkennbaren Bezug zu Ihrer Person.

Diese Seite bietet, wo vorhanden, eine Stärkeanzeige, die Ihnen eine grobe Einschätzung Ihres Passworts gibt. Wichtig ist dabei: Die Bewertung geschieht vollständig lokal in Ihrem Browser. Ihr Passwort wird beim Tippen nicht an einen Server gesendet, nicht gespeichert und nicht protokolliert. Sie können die Anzeige also gefahrlos nutzen, um ein Gefühl dafür zu bekommen, welche Länge und welcher Zeichenmix eine spürbar bessere Bewertung ergeben. Auch der eingebaute Passwort-Generator arbeitet nach demselben Prinzip und zieht jedes Zeichen aus dem sicheren Zufallsgenerator Ihres Geräts. Nichts verlässt Ihren Computer. Betrachten Sie die Anzeige aber als Orientierung, nicht als Garantie, denn kein einfacher Balken kann jede mögliche Angriffsform vollständig abbilden.

Aus all dem ergibt sich ein einfacher, praktischer Umgang mit Passwörtern. Erzeugen Sie für jedes Konto ein langes, zufälliges Passwort oder eine Passphrase und verwenden Sie keines davon ein zweites Mal. Da sich niemand Dutzende starker Passwörter merken kann, gehört die Aufbewahrung in einen Passwort-Manager, der alle Einträge verschlüsselt hinter einem einzigen Hauptpasswort schützt. Unser Werkzeug erzeugt Passwörter, speichert sie aber bewusst nicht, weshalb ein Manager die ideale Ergänzung ist. Aktivieren Sie zusätzlich überall dort die Zwei-Faktor-Authentifizierung, wo sie angeboten wird, denn selbst ein starkes Passwort profitiert von einer zweiten Sicherheitsebene. So bleiben Ihre Konten auch dann geschützt, wenn ein einzelner Dienst einmal von einem Datenleck betroffen sein sollte.