Passwort-Entropie erklärt: Bits, Länge und wie lange das Knacken dauert

Was ein Bit Entropie tatsächlich bedeutet

Entropie zählt, wie viele gleich wahrscheinliche Möglichkeiten ein Passwort hätte haben können, ausgedrückt auf einer logarithmischen Skala. Ein Bit bedeutet zwei Möglichkeiten, zwei Bit vier, zehn Bit 1.024. Da die Skala logarithmisch ist, verdoppelt jedes zusätzliche Bit den Suchraum, den ein Angreifer durchkämmen muss. Ein 40-Bit-Passwort steckt unter rund einer Billion Kandidaten, während 60 Bit eine Trillion erreichen.

Die Formel gilt nur, wenn das Passwort zufällig gewählt wird. Wählt es ein Mensch, bricht die reale Entropie ein, weil Menschen Namen, Daten und vorhersehbare Ersetzungen wie eine Null für den Buchstaben O bevorzugen. Ein Werkzeug schätzt die Entropie aus Zeichensatz und Länge, doch diese Zahl ist eine Obergrenze: Sie unterstellt, dass jede Position unabhängig gewürfelt wurde, was ein Passwortmanager genau tut und ein müder Mensch nicht.

Länge schlägt Komplexität

Einen Zeichentyp hinzuzufügen erweitert das Alphabet, aber nur einmal. Der Wechsel von Kleinbuchstaben (26 Symbole) zu Kleinbuchstaben plus Ziffern (36) und weiter zu einem gemischten Satz von 94 druckbaren Symbolen hebt die Entropie pro Zeichen von etwa 4,7 Bit auf 5,2 und 6,6. Ein zusätzliches Zeichen dagegen fügt diese Bits für jede weitere Position erneut hinzu. Zwölf zufällige Kleinbuchstaben tragen mehr Entropie als acht Zeichen aus dem vollen Symbolsatz.

Deshalb funktionieren Passphrasen. Vier zufällige Wörter aus einer Liste von 7.776 Wörtern tragen etwa 51 Bit, ungefähr die Stärke eines 10-Zeichen-Symbolbreis, sind aber weit leichter zu tippen und zu merken. Die Lehre lautet: zuerst verlängern und den Zeichensatz erst erweitern, wenn die Länge ausgeschöpft ist, denn Länge summiert sich, Alphabetwechsel nicht.

Von Bits zur Knackzeit

Um Entropie in Zeit umzurechnen, teilt man die Zahl der Möglichkeiten durch die Rateleistung des Angreifers. Ein GPU-Rechner der Mittelklasse kann Milliarden Versuche pro Sekunde gegen einen schnellen Hash prüfen, sodass ein Passwort mit 44 Bit, rund 17 Billionen Kombinationen, in Stunden fällt. Fügt man 20 Bit hinzu und erreicht 64, braucht derselbe Rechner Tausende Jahre, weil diese 20 Bit die Arbeit um etwa das Millionenfache steigern. Deshalb erzeugen kleine Längenzuwächse dramatische Sicherheitssprünge.

Die Knackzeit hängt auch davon ab, wie das Passwort gespeichert ist. Ein langsamer, gesalzener Hash wie bcrypt oder Argon2 begrenzt die Rateleistung absichtlich auf Tausende pro Sekunde und verschafft enormen Spielraum. Eine geleakte Datenbank mit einem schnellen, ungesalzenen Hash bietet keinen solchen Schutz, sodass dasselbe Passwort in einem System sicher wirkt und in einem anderen trivial ist. Behandle Knackzeit-Schätzungen als Offline-Worst-Cases und wähle eine Länge, die sie übersteht.

Häufige Fragen

Wie viele Bit Entropie sind genug?

Für Konten mit langsamem Hash und Ratenbegrenzung sind 60 bis 70 Bit angenehm. Für hochwertige Geheimnisse oder die Gefahr eines schnellen Hashs strebe 80 Bit oder mehr an, was meist eine lange zufällige Passphrase oder eine vom Manager erzeugte Zeichenfolge bedeutet.

Hilft das Hinzufügen von Symbolen wirklich weniger als Länge?

Ja. Das Erweitern des Alphabets erhöht die Entropie pro Zeichen nur einmal, während jedes zusätzliche Zeichen immer wieder Entropie hinzufügt. Über einen gemischten Satz hinaus schlägt ein weiteres Zeichen meist einen weiteren Symboltyp.

Ist ein auf mehreren Seiten wiederverwendetes Passwort trotz hoher Entropie sicher?

Nein. Entropie schützt vor Raten, nicht vor Wiederverwendung. Wenn eine Seite das Passwort im Klartext oder mit schwachem Hash preisgibt, probieren Angreifer es überall. Verwende pro Seite ein eigenes Passwort mit hoher Entropie.

Warum stuft ein Prüfer mein cleveres Passwort als schwach ein?

Gute Prüfer modellieren menschliche Gewohnheiten und ziehen daher Wörterbuchwörter, Tastaturmuster und vorhersehbare Leetspeak-Ersetzungen ab. Dein Passwort mag lang sein, aber wenn seine Struktur erratbar ist, liegt die effektive Entropie weit unter dem theoretischen Maximum.