Passwort-Entropie erklärt: Was ein Passwort stark macht

Wenn eine Website Ihnen sagt, dass Ihr Passwort "schwach" oder "stark" ist, misst sie die Entropie — die mathematische Zufälligkeit Ihres Passworts. Das Verständnis von Entropie hilft Ihnen, Passwörter zu erstellen, die wirklich sicher sind und nicht nur schwer zu tippen.

Was ist Entropie?

Entropie, gemessen in Bits, quantifiziert, wie unvorhersehbar ein Passwort ist. Jedes Bit Entropie verdoppelt die Anzahl möglicher Passwörter, die ein Angreifer ausprobieren muss. Die Formel lautet:

Entropy = log₂(C^L)

Wobei:

• C = Größe des Zeichensatzes
• L = Länge des Passworts

Alternativ: Entropie = L × log₂(C)

Entropie nach Zeichensatz

Beispielberechnungen:

• password (8 Kleinbuchstaben): 8 × 4,70 = 37,6 Bits — in Sekunden knackbar
• P@ssw0rd (8 gemischt): 8 × 6,57 = 52,6 Bits — in Stunden knackbar
• correct-horse-battery-staple (28 Kleinbuchstaben + Symbole): weit höhere effektive Entropie aufgrund der Länge

Länge vs. Komplexität

Hier die kontraintuitive Wahrheit: Länge trägt mehr zur Entropie bei als Komplexität.

Ein 16-stelliges Kleinbuchstaben-Passwort ist stärker als ein 8-stelliges Passwort mit jedem Zeichentyp. Deshalb empfiehlt die moderne Sicherheitsrichtlinie (NIST SP 800-63B) lange Passphrasen statt kurzer komplexer Passwörter.

Das Problem mit "Komplexitätsregeln"

Traditionelle Passwortrichtlinien (muss Großbuchstaben, Kleinbuchstaben, Zahl, Symbol enthalten) sind kontraproduktiv:

1. Vorhersagbare Muster: Benutzer machen den ersten Buchstaben groß, fügen 1! am Ende hinzu → Password1!
2. Reduzierte Merkbarkeit: Komplexe Passwörter werden auf Zettel geschrieben
3. Falsche Sicherheit: Ein 8-stelliges "komplexes" Passwort hat weniger Entropie als ein 16-stelliges einfaches

Moderne Richtlinien von NIST:

• Minimum 8 Zeichen, empfohlen 15+
• Keine Zusammensetzungsregeln (Großbuchstaben, Symbole usw.)
• Prüfung gegen Datenbanken kompromittierter Passwörter
• Alle druckbaren Zeichen einschließlich Leerzeichen zulassen
• Keine erzwungene periodische Rotation

Passphrasen-Strategie

Passphrasen verwenden zufällige Wörter statt zufälliger Zeichen:

method: pick 4-6 random words from a dictionary
example: "timber quantum spoon velocity"
entropy: 4 words × ~12.9 bits/word (from 7,776-word list) ≈ 51.7 bits
better:  6 words ≈ 77.5 bits

Die Diceware-Methode verwendet eine Liste von 7.776 Wörtern (6^5, entsprechend fünf Würfelwürfen). Jedes Wort fügt 12,9 Bits Entropie hinzu.

Vorteile:

• Merkbar (Sie können sich die Wörter bildlich vorstellen)
• Lang (natürlich 20-35 Zeichen)
• Hohe Entropie mit genügend Wörtern
• Leicht zu tippen

Generieren Sie sichere zufällige Passwörter und Passphrasen mit unserem Passwort-Generator.

Reale Angriffsgeschwindigkeiten

Entropie ist nur relativ zur Angriffsgeschwindigkeit relevant:

Für Online-Konten mit Ratenbegrenzung und Sperrung sind 40+ Bits ausreichend. Für Offline-Angriffe (gestohlene Passwort-Hashes) sind 80+ Bits das Minimum. Deshalb existieren Passwort-Hashing-Algorithmen wie Argon2 und bcrypt — sie machen jeden Versuch kostspielig.

Passwort-Manager-Mathematik

Ein Passwort-Manager verändert die Gleichung grundlegend:

• Ein starkes Master-Passwort: 80+ Bits Entropie (6+ Wort-Passphrase)
• Jedes andere Passwort: Zufällig generiert, 128+ Bits, einzigartig pro Seite
• Keine Wiederverwendung: Ein Datenleck bei einer Seite betrifft keine anderen

Die Mathematik zugunsten von Passwort-Managern ist überwältigend. Ein einzelnes wiederverwendetes Passwort, egal wie stark, ist schwächer als einzigartige schwache Passwörter pro Seite, weil ein einziges Datenleck alle Konten kompromittiert.

Ihr Passwort bewerten

Bei der Bewertung der Passwortstärke berücksichtigen:

1. Ist es in einer Datenleck-Datenbank? — Auch "starke" Passwörter sind schwach, wenn sie geleakt wurden (prüfen auf haveibeenpwned.com)
2. Ist es zufällig? — Von Menschen gewählte Passwörter haben weit weniger Entropie als zufällige
3. Wie wird es gespeichert? — bcrypt mit Kostenfaktor 12 fügt ~22 Bits effektive Entropie hinzu im Vergleich zu reinem MD5

Für mehr über sichere Passwort-Generierung siehe unseren umfassenden Passwort-Generierungsleitfaden.

FAQ

Wie viele Bits Entropie brauche ich?

Für Online-Konten mit Ratenbegrenzung: mindestens 40-50 Bits. Für Passwörter, die verschlüsselte Daten schützen (Festplattenverschlüsselung, Passwort-Manager-Master-Passwort): 80+ Bits. Für kryptographische Schlüssel: 128+ Bits. Die richtige Antwort hängt davon ab, was Sie schützen und wer angreifen könnte.

Macht das Hinzufügen eines Symbols mein Passwort deutlich stärker?

Das Hinzufügen eines Symbols erhöht den Zeichenpool von 62 auf 95 und fügt etwa 0,6 Bits pro Zeichen hinzu. Für ein 8-stelliges Passwort sind das ungefähr 5 zusätzliche Bits — gleichwertig mit dem Hinzufügen eines weiteren Kleinbuchstabens. Länge ist fast immer eine bessere Investition als das Hinzufügen von Zeichentypen.

Verwandte Ressourcen

• Passwort-Generator — Kryptographisch sichere Passwörter generieren
• Starke Passwörter generieren — Umfassender Passwortsicherheits-Leitfaden
• Hash-Algorithmen im Vergleich — Wie Passwörter sicher gespeichert werden

---

🛠️ Jetzt ausprobieren: Password Generator — 100% kostenlos, alles wird in Ihrem Browser verarbeitet. Keine Daten hochgeladen.

---