Passwort-Entropie: was ein Stärkeanzeiger nicht wissen kann

Entropie gehört dem Generator, nicht der Zeichenkette

Zu fragen, wie viel Entropie die Zeichenkette correct-horse-battery-staple hat, ist bereits falsch gestellt. Wurden vier Wörter mit Würfeln aus einer veröffentlichten 7 776-Wörter-Liste gezogen, lautet die Antwort 51,70 Bit. Hat jemand sie in einem berühmten Comic gelesen und abgetippt, liegt die Antwort nahe null, denn die allerersten Rateversuche eines Angreifers enthalten genau diesen Satz. Gleiche Zeichen, gleiche Länge, gleiche Klassen — völlig andere Sicherheit, denn Entropie misst, wie viele gleich wahrscheinliche Ergebnisse der Prozess hätte hervorbringen können, und die Zeichenkette verrät den Prozess nicht.

Deshalb spricht die ganze Disziplin von generierten Passwörtern. Ein Passwortmanager, der aus einer kryptografischen Zufallsquelle schöpft, kennt R und L und kann die Entropie exakt angeben. Ein Mensch an der Tastatur hat kein wohldefiniertes R, denn menschliche Entscheidungen sind nicht gleichverteilt: bestimmte Buchstaben, bestimmte Ersetzungen, bestimmte Jahreszahlen und bestimmte Tastaturmuster sind weit wahrscheinlicher als andere, und jedes ernsthafte Cracking-Werkzeug ist genau um diese Schieflage herum gebaut. Jede Zahl an einem menschlich gewählten Passwort ist eine Vermutung darüber, wie gut das Modell des Angreifers zu den Gewohnheiten dieses Menschen passt.

Die Formel und die Bedingung dazu

H = L x log2(R). Der Logarithmus wandelt eine Anzahl von Möglichkeiten in Bit um, und die Multiplikation mit der Länge funktioniert, weil jede unabhängige Ziehung ihre eigenen Bit beisteuert. log2(94) = 6,5546, jedes weitere zufällige druckbare ASCII-Zeichen bringt also 6,5546 Bit. log2(26) = 4,7004, ein Kleinbuchstabe bringt weniger. log2(7 776) = 12,9248, ein Diceware-Wort bringt also fast doppelt so viel wie ein zufälliges Zeichen — 7 776 ist 6^5, fünf Würfelwürfe, daher genau diese Listengröße.

Die Bedingung lautet gleichverteilte unabhängige Zufallsauswahl, und sie trägt die ganze Last. Brich sie, und die Formel gilt still nicht mehr, liefert aber weiterhin eine bequeme Zahl. Wähle ein Wort, das dir gefällt, statt zu würfeln: R ist nicht mehr 7 776. Schreibe den ersten Buchstaben groß, weil eine Richtlinie es fordert: Dieser Großbuchstabe bringt null Entropie, denn alle tun dasselbe. Häng ein Ausrufezeichen und eine Jahreszahl an: Diese Zeichen verlängern L auf dem Papier, während der Regelsatz des Angreifers sie gratis erzeugt. Die Formel weiß davon nichts. Ihr wurde nie gesagt, wie der Prozess aussah.

Es gibt eine dritte Größe, die sich mit diesen beiden verheddert, und sie lohnt eine Trennung. Die Shannon-Entropie einer Zeichenkette — das, was ein allgemeiner Entropierechner berechnet — misst die Symbolverteilung innerhalb genau dieser Zeichenkette. Für P@ssw0rd123! ergibt sie 3,4183 Bit pro Zeichen, weil manche Zeichen sich wiederholen. Diese Zahl ist für Kompression und zum Erkennen verschlüsselter Blöcke wirklich nützlich und sagt überhaupt nichts darüber, wie schwer das Passwort zu erraten ist. Drei verschiedene Fragen, drei verschiedene Zahlen — und sie zu verwechseln ist der Ursprung sehr vieler schlechter Ratschläge.

Was der Anzeiger tatsächlich misst

Der klassische Stärkeanzeiger zählt Zeichenklassen. Kleinbuchstabe da, Großbuchstabe da, Ziffer da, Sonderzeichen da: vier Haken, R = 94, mit der Länge multiplizieren, beruhigenden Balken zeichnen. Gib ihm P@ssw0rd123!, und er rechnet 12 x 6,5546 = 78,66 Bit und nennt das Passwort ausgezeichnet. Gib ihm die zwölf wirklich zufälligen Zeichen, die dein Passwortmanager gerade erzeugt hat, und er rechnet exakt dieselben 78,66 Bit. Der Anzeiger kann sie nicht unterscheiden, denn er hat nur je auf die vorkommenden Klassen geschaut.

So verhält sich ein Angreifer nie. Echtes Cracking schickt eine Wortliste durch eine Regeldatei: Regeln, die groß schreiben, die a durch @, o durch 0 und s durch $ ersetzen, die zwei- und vierstellige Jahreszahlen und ein abschließendes Ausrufezeichen anhängen, die umkehren, verdoppeln, kürzen. Jede Umformung in P@ssw0rd123! ist eine Standardregel. Nimm eine Wortliste mit zehn Millionen Einträgen und zehntausend Regeln: Der Kandidatenraum ist 10^11 — rund 36,5 Bit, in einer Sekunde bei hundert Milliarden Versuchen pro Sekunde erschöpft. Gegenüber den 78,66 Bit des Anzeigers ist das eine Überschätzung um 42,11 Bit, ein Faktor von 4,76 Billionen.

Es gibt bessere Anzeiger, und sie arbeiten nach einem anderen Prinzip. Statt Klassen zu zählen, versuchen sie zu rekonstruieren, wie das Passwort wahrscheinlich gebaut wurde — Abgleich mit Wörterbüchern, häufigen Namen, Daten, Tastaturwegen und Wiederholungen — und schätzen dann, wie viele Versuche die billigste solche Rekonstruktion kostet. Das ist eine weit ehrlichere Zahl, und sie sieht dennoch nur die Muster, die man ihr beigebracht hat. Der sichere Schluss: Ein Anzeiger ist ein Filter gegen das offensichtlich Katastrophale, keine Messung. Willst du eine verlässliche Zahl, erzeuge das Passwort und zähle die Bits, die der Generator tatsächlich aufgewendet hat.

Länger ist nicht dasselbe wie stärker

Zwei berechnete Beispiele machen es scharf. Sechzehn zufällige Kleinbuchstaben ergeben 16 x 4,7004 = 75,21 Bit. Zwölf zufällige druckbare ASCII-Zeichen ergeben 12 x 6,5546 = 78,66. Die Sechzehnzeichen-Kette ist ein Drittel länger und 3,45 Bit schwächer — etwa elfmal leichter zu erraten. Länge und Alphabet handeln gegeneinander, und nur ihr Produkt zählt.

Bei Passphrasen wird die Lücke größer. Eine Diceware-Passphrase aus vier Wörtern kommt leicht über zwanzig Zeichen und trägt dennoch nur 51,70 Bit, gegenüber 78,66 beim zwölfstelligen Zufallspasswort. Das sind 26,96 Bit weniger, ein Faktor von 130 Millionen. Passphrasen sind nicht schwach — sie sind wunderbar merkbar, und eine mit sechs Wörtern erreicht 77,55 Bit und zieht damit faktisch mit den zwölf Zufallszeichen gleich. Aber die Stärke kommt aus der Zahl der gezogenen Wörter, nicht aus der Zahl der getippten Buchstaben, und vier Wörter reichen für nichts, woran dir liegt.

Die Knackzeit ist die Zahl des Verteidigers, nicht deine

Entropie in eine Dauer umzurechnen braucht eine weitere Eingabe: die Rate, mit der der Angreifer Kandidaten testen kann. Im Mittel findet er das Passwort nach der Hälfte des Schlüsselraums, die erwartete Zeit ist also 2^(H-1) geteilt durch die Rateraten. Alles hängt an dieser Rate, und du als Nutzer kontrollierst sie nicht. Der Dienst, der dein Passwort speichert, tut es.

Nimm die Diceware-Passphrase aus vier Wörtern, 51,70 Bit, und variiere allein die Speicherentscheidung des Verteidigers. Gegen einen schnellen ungesalzenen Hash, bei dem ein GPU-Rack 10^11 Versuche pro Sekunde schafft, beträgt die erwartete Zeit 5,1 Stunden. Gegen bcrypt mit Kosten 12, wo dasselbe Rack vielleicht 10^4 pro Sekunde schafft, sind es 5 790 Jahre. Gegen Argon2id mit 64 MiB Speicher, wo der Speicherbedarf massive Parallelität blockiert und die Rate auf rund 10^3 fällt, sind es 57 900 Jahre. Identisches Passwort. Identische Entropie. Sieben Größenordnungen Unterschied, vollständig von jemand anderem entschieden.

Das ist die Verbindung zwischen diesem Artikel und jeder Diskussion über Hashfunktionen. MD5 und SHA-256 sind auf Durchsatz gebaut und liefern ihn — über ein Gigabyte pro Sekunde auf einem Kern — und sind damit genau falsch für Passwortspeicherung. Argon2id, bcrypt und scrypt verbrauchen absichtlich echte Zeit und echten Speicher pro Rateversuch. Wenn du eine Schlagzeile liest, ein Passwort sei in so und so vielen Stunden geknackt, lautet die erste Frage, welchen Hash die Behauptung annahm — denn diese eine Annahme verschiebt die Antwort um den Faktor zehn Millionen.

Wiederverwendung schlägt Entropie jedes Mal

Diese ganze Arithmetik zählt nicht, wenn das Passwort bereits veröffentlicht ist. Credential Stuffing rät gar nicht: Es nimmt Benutzer-Passwort-Paare aus einem Leck und spielt sie gegen jeden anderen Dienst durch, und es funktioniert, weil Wiederverwendung verbreitet ist. Ein 78,66-Bit-Passwort, auf zwei Seiten wiederverwendet, hat 78,66 Bit bei der Seite, die es sauber speichert, und null bei der, die es im Klartext verloren hat — und danach überall null. Die Entropie war nie die Schwachstelle.

Deshalb lauten die heutigen NIST-Empfehlungen, wie sie lauten. SP 800-63B hat die alten Zusammensetzungsregeln fallen gelassen — Pflichtgroßbuchstabe, Pflichtsonderzeichen, erzwungener Wechsel alle neunzig Tage — weil sie Menschen zu vorhersagbaren Mustern drängen, ohne echte Entropie zu kaufen. Empfohlen werden stattdessen eine großzügige Mindestlänge, kein willkürliches Maximum, kein Abschneiden und ein Abgleich der Kandidatenpasswörter gegen Listen bekannt geleakter Werte. Genau dieser letzte Punkt erwischt P@ssw0rd123!, was keine Entropieberechnung geschafft hätte.

Was konkret zu tun ist

Erzeugen, nicht erfinden. Ein Passwortmanager, der aus einer kryptografischen Zufallsquelle schöpft, ist der einzige Weg, deine Entropie zu kennen statt sie zu erhoffen, und er beseitigt zugleich das Wiederverwendungsproblem. Für die Handvoll Geheimnisse, die du aus dem Kopf tippen musst — das Hauptpasswort des Managers, eine Datenträger-Passphrase, eine Gerätesperre — nimm eine Diceware-Passphrase aus sechs Wörtern mit 77,55 Bit: merkbar und für Wortlistenangriffe unerreichbar. Ziele auf mindestens 75 Bit bei allem, was andere Zugangsdaten bewacht, und betrachte 50 Bit als Untergrenze für ein Alltagskonto hinter Ratenbegrenzung und zweitem Faktor.

Und bau die andere Seite ordentlich, denn als Entwickler bist du der Verteidiger, dessen Wahl die Zahlen in der obigen Tabelle bestimmt. Speichere Passwörter mit Argon2id, wo es geht, mit bcrypt oder scrypt, wo nicht — stets mit eindeutigem Salt. Erzwinge keine Maximallänge und schneide nicht stillschweigend ab. Erzwinge keine periodische Rotation. Gleiche neue Passwörter gegen eine Liste geleakter Passwörter ab. Füge einen zweiten Faktor hinzu; er ist mehr Bit wert, als jede Passwortrichtlinie je aus deinen Nutzern herausholt.

Häufige Fragen

Wie viele Bit Entropie braucht ein Passwort?

Es hängt davon ab, wie die Gegenseite es speichert — das ist der unbequeme Teil der Antwort. Nimm 51,70 Bit, die Entropie einer Diceware-Passphrase aus vier Wörtern. Gegen einen schnellen ungesalzenen Hash bei 10^11 Versuchen pro Sekunde beträgt die erwartete Fundzeit 5,1 Stunden — nutzlos. Gegen bcrypt mit Kosten 12, rund 10^4 Versuche pro Sekunde, hält dasselbe Passwort 5 790 Jahre. Es gibt also keine überall richtige Schwelle. Praktische Ziele: mindestens 75 Bit für alles, was andere Zugangsdaten schützt, etwa das Hauptgeheimnis eines Passwortmanagers oder eine Datenträger-Passphrase, denn diese müssen einen Offline-Angriff auf eine Datenkopie überstehen. Rund 50 Bit sind für ein Alltagskonto hinter serverseitiger Ratenbegrenzung und zweitem Faktor vertretbar, wo ein Angreifer nie schnell raten darf. In Generatorbegriffen: 75 Bit sind zwölf zufällige druckbare ASCII-Zeichen (78,66) oder sechs Diceware-Wörter (77,55); 50 Bit sind vier Diceware-Wörter (51,70) oder acht zufällige Zeichen (52,44).

Ist eine Passphrase stärker als ein zufälliges Passwort?

Nicht automatisch, und die Zeichenzahl ist ein schlechter Wegweiser. Eine Diceware-Passphrase aus vier Wörtern trägt 4 x log2(7 776) = 51,70 Bit, auch wenn sie über zwanzig Zeichen lang ist. Zwölf zufällige druckbare ASCII-Zeichen tragen 12 x log2(94) = 78,66 Bit auf weit weniger Raum. Die Passphrase ist 26,96 Bit schwächer, ein Faktor von 130 Millionen beim Rateaufwand — eine längere Zeichenkette, die dramatisch leichter zu finden ist. Mehr Wörter drehen das Bild: sechs Wörter ergeben 77,55 Bit und ziehen faktisch mit den zwölf Zufallszeichen gleich, sieben ergeben 90,47. Der echte Vorteil einer Passphrase ist, dass du sie im Kopf behältst — enorm wichtig für die zwei, drei Geheimnisse, die du auswendig tippst, und völlig unwichtig für die hundert, die dein Passwortmanager ausfüllt. Zwei Bedingungen: Die Wörter müssen zufällig aus einer veröffentlichten Liste gezogen werden, nicht von dir gewählt, und die Listengröße muss bekannt sein, damit R real ist. Vier Wörter zu nehmen, die dir gefallen, ist kein Diceware und hat keine definierte Entropie.

Warum bewertet mein Passwortmanager ein Passwort anders als die Website?

Weil sie verschiedene Fragen beantworten. Ein Website-Anzeiger zählt meist Zeichenklassen und multipliziert mit der Länge; damit erhalten P@ssw0rd123! und zwölf wirklich zufällige Zeichen dieselben 78,66 Bit — er kann sie nicht unterscheiden, da er nur auf die vorkommenden Klassen sah. Ein musterbasierter Schätzer versucht stattdessen zu rekonstruieren, wie das Passwort wahrscheinlich gebaut wurde, prüft gegen Wörterbücher, Namen, Daten, Tastaturwege und Wiederholungen und meldet, wie viele Versuche die billigste Rekonstruktion bräuchte. Bei P@ssw0rd123! ist das weit niedriger, denn jede Umformung darin ist eine Standard-Cracking-Regel: eine Zehn-Millionen-Wörter-Liste mal zehntausend Regeln sind 10^11 Kandidaten, rund 36,5 Bit. Die Lücke zwischen beiden Urteilen beträgt 42,11 Bit, ein Faktor von 4,76 Billionen. Glaube dem pessimistischen. Und beachte: Keiner von beiden kann ein zufällig erzeugtes Passwort besser bewerten als die Formel, denn für ein erzeugtes Passwort ist die Formel exakt — genau darum erzeugt man, statt zu erfinden.

Hilft es wirklich, ein Sonderzeichen und eine Ziffer hinzuzufügen?

Es hilft, wenn das Zeichen zufällig gewählt wurde, und bringt nichts, wenn es so gewählt wurde, wie es alle wählen. Ein größeres Alphabet erhöht den Ertrag pro Zeichen tatsächlich: log2(26) = 4,7004 Bit für Kleinbuchstaben gegen log2(94) = 6,5546 für den vollen druckbaren ASCII-Satz, jedes zufällige Zeichen bringt also 1,85 Bit mehr. Aber ein Großbuchstabe am Anfang und ein Ausrufezeichen am Ende sind das, was fast alle tun; der Regelsatz des Angreifers erzeugt diese Varianten gratis, und der echte Entropiegewinn liegt nahe null. Deshalb hat NIST SP 800-63B verpflichtende Zusammensetzungsregeln aufgegeben: Sie erzwingen eine vorhersagbare Umformung, statt Zufall hinzuzufügen. Willst du mehr Bit, verlängere das Passwort oder erweitere das Alphabet wirklich zufällig — sechzehn zufällige Kleinbuchstaben erreichen schon 75,21 Bit ganz ohne Sonderzeichen, und zwölf zufällige Zeichen aus allen 94 erreichen 78,66. Beides schlägt jede Verzierung eines merkbaren Wortes.

Wie unterscheidet sich Passwort-Entropie von Shannon-Entropie?

Sie messen verschiedene Objekte, und ein allgemeiner Entropierechner liefert dir bereitwillig das falsche. Die Shannon-Entropie einer Zeichenkette misst die Symbolverteilung innerhalb dieser Kette: Für P@ssw0rd123! ergibt sie 3,4183 Bit pro Zeichen, allein bestimmt davon, welche Zeichen sich wiederholen. Sie ist das richtige Werkzeug, um abzuschätzen, wie gut Daten komprimieren, oder um einen Chiffratblock im Klartext zu erkennen — und sie sagt nichts über Erratbarkeit. Passwort-Entropie misst den erzeugenden Prozess — wie viele gleich wahrscheinliche Passwörter das Verfahren hätte hervorbringen können — und das ist H = L x log2(R), wenn die Auswahl wirklich gleichverteilt zufällig war. Beide können weit auseinanderlaufen: Ein zufälliges 12-Zeichen-Passwort und P@ssw0rd123! haben nach der Formel dasselbe H, 78,66 Bit, während ihre Shannon-Entropien sich unterscheiden und ihre tatsächliche Widerstandskraft um Dutzende Bit. Wenn du ein Passwort wählst, zählt die Zahl des erzeugenden Prozesses.

Kann ich mein Passwort einfach länger machen statt zufällig?

Länge wird nur dann zu Entropie, wenn die zusätzlichen Zeichen unvorhersehbar waren. Ein merkbares Wort um ein Geburtsjahr und ein Satzzeichen zu verlängern streckt L auf dem Papier, während die Regeldatei des Angreifers genau diese Endungen gratis erzeugt; H = L x log2(R) beschreibt dann nichts Reales mehr — der praktische Suchraum bleibt in der Größenordnung Wortliste mal Regelsatz, rund 10^11 Kandidaten oder 36,5 Bit, also eine Sekunde Arbeit bei hundert Milliarden Versuchen pro Sekunde. Länge auf wirklich zufälligem Material ist der wirksamste Hebel, den du hast: Jeder zusätzliche zufällige Kleinbuchstabe bringt log2(26) = 4,7004 Bit, jedes zusätzliche zufällige druckbare ASCII-Zeichen log2(94) = 6,5546. Sechzehn zufällige Kleinbuchstaben erreichen 75,21 Bit — ohne Sonderzeichen, ohne Großbuchstaben, ohne Ersetzungen, und weit stärker als jedes verzierte Wörterbuchwort. Also ja, geh in die Länge, aber nur wenn die zusätzliche Länge zufällig ist. Musst du es dir merken, häng Diceware-Wörter an statt Zeichen: jedes ist 12,9248 Bit wert.