Passwort-Stärke prüfen: Wie sicher?

Alles über Passwort-Sicherheit

Entropie erklärt

Die Entropie misst die Zufälligkeit eines Passworts in Bit:

• Formel: Entropie = log₂(Zeichenvorratⁿ) = n × log₂(Zeichenvorrat)
• Kleinbuchstaben: 26 Zeichen → 4,7 Bit/Zeichen
• + Großbuchstaben: 52 Zeichen → 5,7 Bit/Zeichen
• + Ziffern: 62 Zeichen → 5,95 Bit/Zeichen
• + Sonderzeichen: 95 Zeichen → 6,57 Bit/Zeichen

Bewertungsskala

• 80 Bit: Sehr stark – praktisch unknackbar

Brute-Force-Geschwindigkeiten (2026)

• Standard-PC: 1 Milliarde Versuche/Sekunde (md5)
• Gaming-GPU: 10 Milliarden Versuche/Sekunde
• GPU-Cluster (8x): 100 Milliarden Versuche/Sekunde
• Cloud-Angriff: 1 Billion Versuche/Sekunde (theoretisch)
• Gegen bcrypt: Nur 50.000–100.000 Versuche/Sekunde (bewusst langsam)

BSI-Empfehlungen (2026)

• Mindestlänge: 8 Zeichen (BSI) bzw. 12 Zeichen (NIST empfohlen)
• Komplexität: Mind. 3 von 4 Zeichentypen
• Kein Zwangswechsel: BSI empfiehlt keinen regelmäßigen Wechsel mehr
• Passwort-Manager: Empfohlen für alle Konten
• MFA: Zweiter Faktor zusätzlich zum Passwort

Häufigste Passwörter (Deutschland 2025)

• 1. 123456 (sofort knackbar)
• 2. passwort (sofort knackbar)
• 3. 123456789 (sofort knackbar)
• 4. hallo (sofort knackbar)
• 5. 12345 (sofort knackbar)

Tipps für sichere Passwörter

1. Passphrase: "Mein-Hund-frisst-gerne-3-Äpfel!" (sehr stark)
2. Passwort-Manager: KeePass, 1Password, Bitwarden
3. MFA: TOTP (z.B. Google Authenticator) als zweiten Faktor
4. Keine Wiederverwendung: Jeder Dienst ein eigenes Passwort
5. Kein Wörterbuch: Keine ganzen Wörter, keine Eigennamen

CERTISCAN Sicherheitskonzept

• Keine Passwort-Klartexte – bcrypt-Hashing
• Magic-Links als passwortlose Alternative im Kundenportal
• AES-256-Verschlüsselung für sensible Daten
• WORM-Audit-Trail (SHA-256 Hash-Chain)
• Hosting auf Hetzner (Deutschland, DSGVO)

Verwandte Themen

• Datenschutz Bußgeld-Rechner – DSGVO-Risiko
• Datenpanne Meldepflicht – 72-Stunden-Frist
• DSB-Pflicht-Prüfung