Was ein Passwortmanager nicht messen kann

Die Zahl gilt der Ziehung, nicht der Zeichenkette

Entropie in Bit ist log2 der Zahl gleich wahrscheinlicher Ausgänge. Für ein Passwort ist das die Länge mal log2 der Alphabetgröße, und die Rechnung ist banal: 12 Zeichen über 62 Symbolen sind 71,5 Bit, 15 über 95 sind 98,5, 20 über 76 sind 125,0. Banal ist die angehängte Bedingung nicht. Diese Formel zählt einen Möglichkeitsraum, und sie ist nur dann die Entropie des Passworts, wenn dieses tatsächlich durch gleichverteiltes Ziehen in diesem Raum entstanden ist. Entropie ist eine Eigenschaft des Verfahrens, das die Zeichenkette erzeugt hat, nicht der Zeichenkette, die du ansiehst.

Deshalb ist eine klassenzählende Anzeige gefährlich und nicht bloß ungenau. Sie misst den Raum, aus dem du hättest ziehen können, und meldet ihn als den Raum, aus dem du gezogen hast. Ein Angreifer geht das Alphabet nicht der Reihe nach durch: Gesucht wird über Kandidaten, die nach Häufigkeit geordnet sind, und eine von einem Menschen erfundene Zeichenkette steht ganz oben in dieser Ordnung, gleich welche Zeichenklassen sie zufällig erfüllt. Das Werkzeug auf dieser Seite tut daher etwas ganz anderes, und der Unterschied lohnt einen Blick, bevor du irgendeiner Anzeige eine Zahl abnimmst.

Was das Werkzeug für P@ssw0rd! liefert — und warum die Seite zwei Zahlen zeigt

P@ssw0rd! erfüllt jede je geschriebene Zusammensetzungsregel: neun Zeichen, groß, klein, Ziffer, Symbol. Die Klassenrechnung macht daraus 9 × log2(95) = 59,1 Bit, was die meisten Anzeigen als stark ausgeben. Diese liefert 6,6 Bit und eine Punktzahl von 4 von 100. Sie zerlegt die Zeichenkette gar nicht erst: Sie findet P@ssw0rd! als Ganzes in ihrer geordneten Liste gängiger Passwörter, nachdem sie die Leet-Ersetzungen @ zu a und 0 zu o zurückgefaltet hat, und berechnet 96 Versuche für alles zusammen. Alle drei Knackzeilen zeigen sofort, auch die Online-Zeile, die nur 100 Versuche pro Sekunde zulässt. Password1! kommt mit 19,8 Bit zurück, Motdepasse123! mit 26,6, Contrasena1! mit 19,8, Passwort!2024 mit 16,4. Keines davon rettet das Symbol am Ende.

Es gibt etwas über diese Seite zu wissen, das dir das Werkzeug nicht sagt: Sie führt zwei verschiedene Entropiezahlen. Das Eingabefeld, in das du tippst, ist der oben beschriebene Rateschätzer. Die darunter erzeugten Rechenbeispiele verwenden Länge × log2(Zeichensatz) — die Formel für die Zufallsziehung — und sind genau deshalb als Länge eines zufällig erzeugten Passworts beschriftet. Beide haben zu verschiedenen Fragen recht. Das Eingabefeld beantwortet, wie schnell eine von Menschen gewählte Zeichenkette fällt; die Beispiele beantworten, wie groß der Raum ist, aus dem ein Generator zieht. Lies sie als zwei Instrumente und trage nie eine Zahl vom einen zum anderen.

Die gemessene Decke: 300 Zufallspasswörter, 300 Unterschätzungen

Das Werkzeug bringt seinen eigenen Generator mit, und der ist solide: Er verwendet Verwerfungsstichproben auf crypto.getRandomValues statt eines Modulo, kein Zeichen wird also bevorzugt. Nimm 300 seiner 20-Zeichen-Ausgaben über dem vollen 95-Symbol-Vorrat — je echte 131,4 Bit — und gib sie der Anzeige derselben Seite zurück. Die Anzeige unterschätzte alle 300. Der Mittelwert kam bei 124,8 Bit heraus, die beste Ziehung bei 130,7 und die schlechteste bei 102,5, also 28,9 Bit zu wenig. Bei 15 Zeichen beträgt die mittlere Lücke 5,0 Bit, bei 24 Zeichen 7,3.

Das ist kein Fehler, das ist die Form des Instruments. Ein Rateschätzer sucht die billigste Lesart der Zeichenkette, und in zwanzig Zufallszeichen findet er immer irgendeinen Dreierlauf, der zufällig ein Wort ist, oder zwei benachbarte Zeichen, die sich zufällig wiederholen. Er berechnet die billige Lesart. Die Schätzung ist deshalb eine untere Schranke: Sie kann beweisen, dass ein Passwort schwach ist, und nie, dass eines stark ist. Die praktische Regel folgt direkt. Klebe kein erzeugtes Passwort in eine Anzeige, um zu entscheiden, ob es lang genug ist — die Anzeige wird es immer heruntersetzen. Entscheide die Länge am Generator, aus Alphabet und Anzahl, und lies die Anzeige nur für Zeichenketten, die ein Mensch erfunden hat.

Wo die Schwelle liegt und was die Norm wirklich verlangt

NIST SP 800-63B-4 wurde im Juli 2025 final, und lesenswert ist sie wegen dessen, was sie nicht mehr verlangt. Prüfer MÜSSEN mindestens 15 Zeichen fordern, wenn das Passwort der einzige Faktor ist, und DÜRFEN 8 zulassen, wenn es Teil einer Mehrfaktor-Authentifizierung ist. Sie SOLLTEN mindestens 64 Zeichen erlauben und SOLLTEN jedes druckbare ASCII-Zeichen, das Leerzeichen und Unicode akzeptieren. Sie DÜRFEN KEINE Zusammensetzungsregeln auferlegen — keine erzwungene Mischung von Zeichentypen. Sie DÜRFEN keinen planmäßigen Wechsel verlangen, nur einen erzwungenen Wechsel bei Hinweisen auf eine Kompromittierung. Und sie MÜSSEN ein neues Passwort gegen eine Sperrliste bekannter, gängiger oder kompromittierter Werte halten.

Lies die Liste noch einmal und merke, dass Entropie nicht darin vorkommt. Länge schon. Eine Sperrliste auch. Das ist die Norm, die dir sagt, wo die Schwelle liegt und was jenseits davon die Zahl ersetzt. Fünfzehn Zufallszeichen sind 89,3 Bit über Buchstaben und Ziffern, 98,5 Bit über dem vollen druckbaren Satz. Mit dem Knackmodell, das das Werkzeug selbst anwendet — im Mittel der halbe Raum, zehn Milliarden Versuche pro Sekunde auf einem schnellen Hash — sind 98,5 Bit in der Größenordnung von 10 hoch 11 Jahren. Von 98,5 auf 131 Bit zu gehen macht aus einer unerreichbaren Zahl eine größere unerreichbare Zahl. Es kauft nichts, was sich ausgeben ließe.

Die drei Dinge, die Entropie nicht sieht

Erstens: Wiederverwendung. Ein Passwort mit 130 Bit Entropie, das du auch in einem Forum benutzt hast, das 2021 abgeflossen ist, ist gegen jeden, der diesen Datensatz hat, null Bit wert. Der Angreifer rät es nicht, er schlägt es nach. Entropie hat keinen Term dafür, an wie vielen anderen Stellen die Zeichenkette existiert, und genau deshalb fügt die Norm eine eigene Sperrlistenpflicht hinzu, statt die Bitzahl anzuheben. Ein einmalig verwendetes Passwort aus 15 Zufallszeichen schlägt ein großartiges, das zweimal benutzt wird.

Zweitens: was das andere Ende damit macht. Entropie bepreist einen Offline-Angriff gegen einen gestohlenen Hash, und die Kosten dieses Angriffs bestimmt die Schlüsselableitung der Seite ebenso sehr wie deine Bits. Dasselbe Passwort ist gegen eine langsame, gesalzene Ableitung sechs Größenordnungen mehr Arbeit wert als gegen einen einzelnen schnellen Hash — und gar nichts gegen eine Seite, die es im Klartext gespeichert hat. Du kannst nicht sehen, womit du es zu tun hast, du kannst es nicht ändern, und keine Anzeige auf irgendeiner Seite weiß es auch. Drittens: alles, was nie über Raten läuft — eine überzeugende Anmeldeseite, ein Support-Mitarbeiter, der das Konto zurücksetzt, Schadsoftware auf deinem eigenen Rechner oder ein gestohlenes Sitzungstoken, das die Anmeldung komplett überspringt. Ein 130-Bit-Passwort wird von jemandem, der glaubt, auf der echten Seite zu sein, genauso bereitwillig herausgegeben wie ein 30-Bit-Passwort.

Die Entscheidung, der Reihe nach

Erzeuge, erfinde nicht. Jedes Passwort, das du selbst zusammensetzt, ist ein Kandidat in irgendjemandes geordneter Liste, und die Anzeige oben sagt dir, wie weit unten. Fünfzehn Zeichen aus einem Generator überspringen die Einfaktor-Untergrenze der Norm; zwanzig ist die vernünftige Voreinstellung, wenn nichts von Hand getippt werden muss. Pro Seite einmalig, ohne Ausnahme, weil das die einzige Größe ist, die aus einem Leck ein Problem macht statt aller. Dann ein zweiter Faktor überall, wo er angeboten wird, lieber eine App oder ein Hardwareschlüssel als SMS. Dann prüfe die Konten, die zählen, gegen einen Leak-Bestand und wechsle nur, was dort auftaucht — nicht nach Kalender, was die Norm inzwischen verbietet, aus dem Grund, den man erwartet: Planmäßiger Wechsel bringt Menschen dazu, schlechtere Passwörter zu wählen.

Das Hauptpasswort des Managers selbst ist die eine Stelle, an der die Zahl noch ihren Lohn verdient, denn es ist das eine Passwort, das keine Sperrliste schützt und kein zweiter Faktor ganz ersetzt. Mach es lang, mach es zufällig oder mach eine Passphrase aus wirklich zufällig gezogenen Wörtern daraus, und verwende es nirgends erneut. Alles darunter kann dann aus zwanzig sinnlosen Zeichen bestehen, die du nie zu Gesicht bekommst, und genau darum geht es bei der ganzen Anordnung: Du hörst auf, eine Zahl zu optimieren, und fängst an, die Fehlerarten zu beseitigen, die diese Zahl nie gemessen hat.

Häufige Fragen

Auf wie viele Bit soll ich zielen?

Ziele auf eine Länge, nicht auf eine Bitzahl, denn die Länge ist das, was du tatsächlich einstellen kannst. Fünfzehn Zufallszeichen sind die Untergrenze, die NIST SP 800-63B-4 für ein allein verwendetes Passwort verlangt, und das sind 89,3 Bit über Buchstaben und Ziffern oder 98,5 über dem vollen druckbaren Satz. Zwanzig Zeichen, was ein Manager standardmäßig liefert, sind 125 bis 131 Bit. Beide liegen jenseits des Punktes, an dem ein Offline-Angriff eine echte Bedrohung ist; die zusätzlichen Bits sind eine Versicherung gegen eine Zukunft, die du nicht bepreisen kannst, keine Abwehr gegen irgendetwas heute.

Die Anzeige gibt meinem erzeugten Passwort weniger Bit, als die Rechnung sagt. Was stimmt?

Die Rechnung, sofern das Passwort wirklich aus einer gleichverteilten Ziehung stammt. Ein Rateschätzer ist konstruktionsbedingt eine untere Schranke: Er sucht die billigste Beschreibung der Zeichenkette und berechnet diese, also kostet jedes zufällige Wort und jede zufällige Wiederholung in einer Zufallskette Bits. Hier gemessen, unterschätzte er 300 von 300 Zwanzig-Zeichen-Ziehungen, im Mittel um 6,6 Bit und bis zu 28,9. Nutze die Anzeige für Zeichenketten, die ein Mensch erfunden hat, und Alphabet und Länge des Generators für die, die eine Maschine gemacht hat.

Ist ein nie geleaktes, aber wiederverwendetes Passwort trotzdem sicher?

Nein, und das ist der Fehler, für den Entropie am blindesten ist. Ein wiederverwendetes Passwort ist nur so stark wie die schwächste Seite, die es hält, und diese Seiten kannst du nicht prüfen. An dem Tag, an dem eine davon abfließt, wird aus der Zeichenkette statt eines Suchraums ein Nachschlagewerk, und ihre Bitzahl wird gegenstandslos. Wiederverwendung macht aus einer einzelnen Kompromittierung außerdem eine Kaskade über alle Dienste hinweg, die das Passwort teilen. Die Abhilfe sind nicht mehr Bit, sondern ein Passwort pro Seite, was nur mit einem Manager praktikabel bleibt.

Helfen Symbole und Ziffern wirklich?

Sie helfen einem Generator und einem Menschen kaum. In einer Zufallsziehung bringt die Verbreiterung des Alphabets von 62 auf 95 Symbole etwa 0,6 Bit pro Zeichen — real, aber ein einziges zusätzliches Zeichen ist bei dieser Länge mehr wert als die ganze Verbreiterung. Von einem Menschen angehängt helfen sie fast gar nicht: Hier gemessen landet Sommer2024! bei 28,8 Bit und Password1! bei 19,8, weil der Schätzer erst das Wort, dann das Jahr als Datum und dann das Symbol als ein billiges Zeichen berechnet. Deshalb verbietet NIST SP 800-63B-4 Zusammensetzungsregeln inzwischen rundheraus.

Wenn Entropie so begrenzt ist, warum den Rechner auf der Seite lassen?

Weil er eine Frage präzise beantwortet, die weiterhin auftaucht: Wie groß ist der Raum, aus dem ein Generator zieht, also welche Länge stelle ich ein. Zwölf Zeichen über 62 Symbolen sind 71,5 Bit, sechzehn sind 95,3, zwanzig über 95 sind 131,4 — das ist die Rechnung, bevor du auf Erzeugen drückst. Was er nicht kann, ist eine getippte Zeichenkette beurteilen, und er sieht weder Wiederverwendung noch Speicherung noch einen zweiten Faktor. Behalte ihn zum Bemessen einer Ziehung, nimm den Analysator darüber für alles, was ein Mensch erfunden hat, und gib keinem von beiden das letzte Wort darüber, ob ein Konto sicher ist.