Passwortstärke prüfen
Ein Passwortstärke-Prüfer, angetrieben von Dropbox' zxcvbn-Engine — derselbe Algorithmus, den große Seiten wie Stripe, GitLab und 1Password einsetzen. Er schätzt, wie viele Versuche ein Angreifer brauchen würde, indem er gängige Wörterbücher, Listen geleakter Passwörter, Tastatursequenzen, Daten und Wiederholungen erkennt — nicht einfach nur Zeichenklassen zählt.
Anleitung
Die Punktzahl aktualisiert sich mit jedem Tastendruck. Auf das Augen-Symbol klicken, um die Sichtbarkeit umzuschalten.
Ziel: eine Punktzahl von 3 oder 4. Wenn Warnungen erscheinen, beheben Sie sie — ein „1!" hinzufügen hilft selten.
Web-Service-Login? Online gedrosselt. Datenbank-Leak? Offline schneller Hash — und das ist die Zeile, die am meisten zählt.
Länge und Unvorhersehbarkeit erhöhen, bis die Punktzahl in allen Zeilen 4 erreicht.
Testen Sie, wie erratbar Ihr Passwort wirklich ist — basierend auf echten Wörterbüchern, Mustern und Leak-Daten
Knack-Zeit
Funktionen
Häufige Fragen
Wo findet die Passwort-Bewertung statt?
Der zxcvbn-Schätzer läuft in Ihrem Browser via JavaScript bei jedem Tastendruck — dieselbe clientseitige Bibliothek, die Stripe-Anmeldung, GitLab-Kontoerstellung, 1Password und Dropbox nutzen. Es existiert kein /run-Endpoint für dieses Tool; die Scoring-Logik wird in den Seiten-Assets ausgeliefert und lokal in Ihrem Tab berechnet.
Was ist zxcvbn?
Ein Passwortstärke-Schätzer, geschaffen vom Dropbox-Engineer Daniel Lowe Wheeler. Statt Zeichenklassen zu zählen, schätzt er die Anzahl der nötigen Versuche mithilfe von Wörterbüchern, gängigen Mustern und l33t-Substitutions-Erkennung. Produktiv im Einsatz bei Stripe, GitLab, 1Password und vielen anderen.
Warum bekommt „Password123!" eine niedrige Punktzahl?
Weil es in den Top 1000 jeder geleakten Passwort-Liste vorkommt und das „123!"-Suffix die häufigste Modifikation ist. Ein Angreifer probiert diese als Erstes.
Welche Punktzahl ist „sicher"?
Punktzahl 4 (10⁹+ Versuche) ist sicher gegen Offline-Angriffe. Punktzahl 3 ist sicher gegen Online-Angriffe. Punktzahl 2 und darunter ist in keinem Szenario sicher.
Soll ich den Zeit-Schätzungen vertrauen?
Es sind konservative Schätzungen gegen gut ausgestattete Angreifer. Reale Gegner variieren, aber wenn ein Passwort unter „offline schneller Hash, < 1 Stunde" fällt, ist es für jede Datenbank, die leaken könnte, unsicher.
Warum ist Länge wichtiger als Symbole?
Weil das Hinzufügen eines Längen-Zeichens den Suchraum mit der Alphabet-Größe multipliziert; ein Symbol hinzuzufügen tauscht nur ein Zeichen aus. Ein 16-Zeichen-Passwort nur in Kleinbuchstaben hält mehr Versuchen stand als ein 10-Zeichen-„komplexes".
