Die Stärke eines Passworts misst sich in Entropie: der Zahl der Bits, die ein Angreifer raten müsste. Sie ergibt sich aus der Länge mal dem Logarithmus des Zeichenraums — und wächst mit der Länge deutlich schneller als mit der Zeichenvielfalt.
Ein zusätzliches Zeichen bei 94 möglichen Zeichen bringt 6,6 Bit. Der Wechsel von Kleinbuchstaben auf gemischte Groß- und Kleinschreibung bringt dagegen nur ein Bit je Zeichen — Länge schlägt Komplexität, und zwar deutlich.
Warum Sommer2026! schwach ist
Rechnerisch hat es elf Zeichen aus einem Zeichenraum von 94, also gut 72 Bit — das klingt gut. Tatsächlich folgt es aber einem Muster, das jeder Angreifer zuerst probiert: ein Wort mit großem Anfangsbuchstaben, eine Jahreszahl, ein Ausrufezeichen.
Wörterbuchangriffe arbeiten genau mit solchen Regeln und probieren nicht alle Kombinationen, sondern die wahrscheinlichen zuerst. Die tatsächliche Stärke solcher Passwörter liegt deshalb weit unter dem rechnerischen Wert.
Was stattdessen funktioniert
Vier bis fünf zufällig gewählte Wörter ergeben ein Passwort, das man sich merken kann und das rechnerisch stärker ist als jede Buchstabenwüste: Bei einer Liste von 7 776 Wörtern bringt jedes Wort 12,9 Bit, fünf Wörter also 64 Bit — und zwar echte, weil zufällig gewählt.
Entscheidend ist die Zufälligkeit: selbst ausgedachte Wortfolgen sind es nicht. Am zuverlässigsten arbeitet ein Passwortmanager, der lange Zufallspasswörter erzeugt und speichert, sodass sich nur noch eines gemerkt werden muss.