Passwortstärke-Rechner

VonOleh Soloninaktualisiert 25. September 2026

Ergebnis

Als Wort mit Zahl und Zeichen sind es rund 30,9 Bit statt 72,1 — unter einer Sekunde offline mit schnellem Hash.

Entropie

rund 30,9 Bit, als Wort mit Jahreszahl und Zeichen gerechnet — nach dem Zeichenraum wären es 72,1 Bit bei 11 Zeichen

Zeichenraum

94 mögliche Zeichen — Kleinbuchstaben, Großbuchstaben, Ziffern, Sonderzeichen

Mittlere Zeit bis zum Treffer

unter einer Sekunde im Mittel, offline mit schnellem Hash

Rechnung

11 Zeichen aus 94 möglichen ergeben 94^11 ≈ 5,1 · 10²¹ Kombinationen, also 72,1 Bit. Als Wort mit Zahl und Zeichen bleiben davon 30,9 Bit. Im Mittel reicht die Hälfte: 9,9 · 10⁸ Versuche ÷ 1,0 · 10¹⁰ je Sekunde = unter einer Sekunde.

Erkannte Schwächen

unter zwölf Zeichen; Muster aus Wort, Zahl und Sonderzeichen — das probieren Angreifer zuerst; enthält eine Jahreszahl

Empfehlung

Zu schwach. Länge hilft mehr als Sonderzeichen: fünf bis sechs zufällig gewählte Wörter aus einer Liste mit 7.776 Einträgen ergeben ein merkbares Passwort mit 64,6 bis 77,5 Bit.

Das Ergebnis ist ein Richtwert und ersetzt keine Beratung.

Wie viel Entropie ein Passwort hat — und wie lange ein Angriff dauert.

Die Stärke eines Passworts misst sich in Entropie: der Zahl der Bits, die ein Angreifer raten müsste. Sie ergibt sich aus der Länge mal dem Logarithmus des Zeichenraums — und wächst mit der Länge deutlich schneller als mit der Zeichenvielfalt.

Ein zusätzliches Zeichen bei 94 möglichen Zeichen bringt 6,6 Bit. Der Wechsel von Kleinbuchstaben auf gemischte Groß- und Kleinschreibung bringt dagegen nur ein Bit je Zeichen — Länge schlägt Komplexität, und zwar deutlich.

So benutzen Sie den Rechner

Tragen Sie das Passwort oder ein gleich gebautes Muster ein — gerechnet wird im Browser, nichts wird gesendet.
Wählen Sie den angenommenen Angriff: Wie schnell probiert wird, hängt daran, wie der Anbieter die Passwörter speichert.
Lesen Sie neben der Zeit auch die erkannten Schwächen — sie sagen mehr als die Zahl, weil sie nennen, woran das Passwort scheitert.

Was Länge wirklich bringt

Jedes zusätzliche Zeichen multipliziert die Zahl der Möglichkeiten mit dem Zeichenraum — vorausgesetzt, jedes Zeichen ist zufällig gewählt, wie in der dritten und vierten Zeile. Die letzte Zeile besteht dagegen aus Wörtern, und der Rechner zählt sie so, wie angegriffen wird: Wort für Wort. Nach Zeichen wären es 140,6 Bit; sind die vier Wörter zufällig aus einer Liste mit 7.776 Einträgen gezogen, hat die Folge 51,7 Bit, und ein schneller Offline-Angriff braucht im Mittel rund zwei Tage. Nicht zufällig gewählt, noch weniger.

Die zweite Zeile zeigt die Gegenrichtung. „Sommer2026!“ erfüllt jede Regel über Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen und hat nach dem Zeichenraum 72,1 Bit. Der Rechner setzt trotzdem 30,9 an, weil ein Angreifer nicht bei aaaaaaaaaaa anfängt, sondern bei Wörtern mit angehängter Jahreszahl: ein Wort aus einem Wörterbuch mit hunderttausend Einträgen in drei Schreibweisen, eine von zweihundert Jahreszahlen und ein Zeichen sind rund zwei Milliarden Versuche. Das ist eine Schätzung des Musters, keine exakte Messung.

Alle Zeilen stammen aus dem Rechner dieser Seite. Die zweite und die dritte Zeile sind gleich lang und schöpfen denselben Zeichenraum aus — der ganze Unterschied liegt darin, dass die eine ein Wort mit Jahreszahl ist und die andere zufällig. Wortfolgen zählt der Rechner Wort für Wort. Ein abgewandeltes Wort wie „Tr0ub4dor&3“ ist ebenfalls keine Zufallsfolge, das erkennt der Rechner aber nicht: Seine Zahl nach Zeichenraum ist dort nur eine Obergrenze.
Passwort	Zeichen	Bit	Offline, schneller Hash
hallo	5	23,5	unter einer Sekunde
Sommer2026!	11	30,9 statt 72,1	unter einer Sekunde
x7#Qm2vR!p9	11	72,1	8.022 Jahre
k7Qz!vR2mXp9Ld4T	16	104,9	5,9 · 10¹³ Jahre
Pferd-Anker-Wolke-Ofen	22	51,7 statt 140,6	2,1 Tage

Wie schnell probiert wird, entscheidet der Anbieter

Dieselbe Zeichenkette hält Jahrmilliarden oder ein Dreivierteljahr, je nachdem, wie der Dienst die Passwörter speichert. Ein absichtlich langsames Verfahren wie bcrypt oder Argon2 bremst jeden Versuch; ein schneller Hash wie SHA-256 lässt Milliarden Versuche je Sekunde zu.

Darauf hat niemand als Nutzer Einfluss, und man erfährt es meist erst nach einem Datenabfluss. Beeinflussbar ist die andere Seite der Rechnung: die Länge. Jedes weitere Zeichen verschiebt alle vier Zeilen um denselben Faktor nach oben.

Alle Zeilen stammen aus dem Rechner dieser Seite, gerechnet mit demselben Passwort. Zwischen der ersten und der letzten Zeile liegt der Faktor 10¹² — das Passwort ändert sich dabei nicht, nur die Annahme darüber, wie es beim Anbieter liegt.
Angenommener Angriff	Versuche je Sekunde	Zeit für „x7#Qm2vR!p9“
Online, mit Sperre	100	8,0 · 10¹¹ Jahre
Offline, langsamer Hash (bcrypt, Argon2)	10 000	8,0 · 10⁹ Jahre
Offline, schneller Hash (SHA-256)	10 Milliarden	8.022 Jahre
Angreifer mit großer Rechenleistung	100 Billionen	293 Tage

Warum Sommer2026! schwach ist

Rechnerisch hat es elf Zeichen aus einem Zeichenraum von 94, also gut 72 Bit — das klingt gut. Tatsächlich folgt es aber einem Muster, das jeder Angreifer zuerst probiert: ein Wort mit großem Anfangsbuchstaben, eine Jahreszahl, ein Ausrufezeichen.

Wörterbuchangriffe arbeiten genau mit solchen Regeln und probieren nicht alle Kombinationen, sondern die wahrscheinlichen zuerst. Die tatsächliche Stärke solcher Passwörter liegt deshalb weit unter dem rechnerischen Wert — der Rechner zählt dieses Muster darum eigens, als Wort, Jahreszahl und Zeichen, und kommt für Sommer2026! auf rund 31 Bit.

Was stattdessen funktioniert

Zufällig gewählte Wörter ergeben ein Passwort, das man sich merken kann: Bei einer Liste von 7.776 Wörtern bringt jedes Wort 12,9 Bit, fünf Wörter also 64,6 Bit und sechs 77,5 Bit — und zwar echte, weil zufällig gewählt. Das entspricht ungefähr zehn beziehungsweise zwölf zufälligen Zeichen aus 94: stärker als eine gleich starke Zeichenfolge ist die Wortfolge nicht, aber leichter zu behalten.

Entscheidend ist die Zufälligkeit: selbst ausgedachte Wortfolgen sind es nicht. Am zuverlässigsten arbeitet ein Passwortmanager, der lange Zufallspasswörter erzeugt und speichert, sodass sich nur noch eines gemerkt werden muss.

Quellen

Bundesamt für Sicherheit in der Informationstechnik

Stand der Werte: 2026. Die Ergebnisse sind Orientierungswerte und ersetzen keine fachliche Beratung.

Häufige Fragen

Wie lang sollte ein Passwort sein?

Das BSI nennt als Faustregel acht Zeichen, wenn alle vier Zeichenarten vorkommen, und zwanzig bis fünfundzwanzig, wenn es nur zwei sind. Dieser Rechner markiert alles unter zwölf Zeichen, weil acht Zeichen einem schnellen Offline-Angriff nur wenige Tage standhalten. Wichtiger als jede Zahl ist, dass es für jeden Dienst ein eigenes ist.

Muss ich Passwörter regelmäßig wechseln?

Nein, das gilt inzwischen als überholt — auch das BSI rät davon ab. Erzwungene Wechsel führen zu vorhersehbaren Mustern. Gewechselt wird, wenn es Hinweise auf einen Vorfall gibt.

Was bedeuten die Bit?

Sie sagen, wie oft sich die Zahl der Möglichkeiten verdoppelt. 30 Bit sind rund eine Milliarde Kombinationen, 40 Bit eine Billion, 80 Bit das Quadrat davon. Jedes zusätzliche Bit verdoppelt die Zeit zum Durchprobieren — deshalb ist der Sprung von 72 auf 105 Bit kein Drittel mehr, sondern das Zehnmilliardenfache.

Warum steht bei „Sommer2026!“ eine kleinere Zahl als der Zeichenraum hergibt?

Weil der Zeichenraum voraussetzt, dass jedes Zeichen zufällig gewählt wurde. Bei einem Wort mit angehängter Jahreszahl und einem Satzzeichen am Ende ist es das nicht: Angreifer probieren Wortlisten, Jahreszahlen und die üblichen Endzeichen zuerst durch. Der Rechner nimmt die kleinere der beiden Schätzungen, weil die den Angriff beschreibt.

Welchen Angriff soll ich annehmen?

Für ein Passwort, das nur bei einem Dienst liegt, den Sie für sorgfältig halten: den langsamen Hash. Für alles Wichtige die dritte Zeile — der schnelle Hash beschreibt, was nach einem Datenabfluss bei einem nachlässigen Anbieter passiert, und genau davor soll die Länge schützen.

Helfen Sonderzeichen?

Weniger als ihr Ruf. Ein Sonderzeichen vergrößert den Zeichenraum von 62 auf 94 — das sind 0,6 Bit je Stelle. Ein zusätzliches Zeichen bringt dagegen rund 6 Bit. Zwei Zeichen mehr schlagen jedes Satzzeichen, und sie lassen sich obendrein merken.

Nützliche Links

Entwicklung und Web Alle Rechner

Passwortstärke-Rechner

Ergebnis

Passt dazu

Hash berechnen: MD5, SHA-1, SHA-256

UUID erzeugen und prüfen

JWT-Decoder

Base64-Umwandler

Textgröße in Bytes

Unicode-Zeichenprüfer

Nützliche Links