Passwort-Checker

Einer, der beim Tippen nichts sendet und bei dem du das selbst überprüfen kannst. Diese Seite prüft die Passwortstärke und gleicht dein Passwort mit den 1 Million am häufigsten geleakten Passwörtern ab – direkt auf deinem Gerät. Die vollständige Datenleck-Prüfung wartet, bis du aufhörst zu tippen, und sendet einmalig nur 5 Zeichen eines digitalen Fingerabdrucks. Du kannst das im Tab „Netzwerk“ der Entwicklertools deines Browsers beobachten oder die Internetverbindung trennen und sehen, dass der Passwort-Checker weiter funktioniert.

Gib es oben ein oder füge es ein. Gehört es zu den 1 Million am häufigsten geleakten Passwörtern, siehst du das sofort. Wenn du aufhörst zu tippen, prüft der Passwort-Checker auch alle bekannten Datenlecks. Wenn dein Passwort in einem Datenleck auftaucht, verwende es nicht mehr.

Ja, für Passwörter. Die Passwortprüfung ist so aufgebaut, dass der Dienst dein Passwort nie erhält: Dein Browser sendet nur die ersten 5 Zeichen des digitalen Fingerabdrucks deines Passworts und führt den abschließenden Abgleich selbst durch. Diese Seite fordert außerdem zusätzliche Fülleinträge in der Antwort an, damit selbst deren Größe nichts verrät.

123456 wurde über 210 Millionen Mal in Datenlecks gefunden, gefolgt von 123456789, 12345678, password und qwerty (Zahlen von Have I Been Pwned). Alles, was einem Menschen spontan einfällt, steht bereits auf den Listen.

Jedes veröffentlichte Beispiel ist nicht mehr stark, weil es inzwischen auf den Listen steht. Selbst correcthorsebatterystaple aus dem xkcd-Comic ist schon Tausende Male in Datenlecks aufgetaucht. Ein starkes Passwort wird zufällig und nur für dich erstellt: Nutze den Passwort-Generator oder den Passphrasen-Generator.

Gib es oben ein. Der Passwort-Checker zeigt dir die durchschnittliche Zeit, die 1.000 Grafikkarten brauchen, um es mit voller Geschwindigkeit anhand einer gestohlenen Passwortliste zu erraten – auf diesen Fall solltest du vorbereitet sein. Ein zufälliges Passwort mit 8 Zeichen wird in Sekunden geknackt; bei einem zufälligen Passwort mit 16 Zeichen dauert es etwa 3 Milliarden Jahre.

Jeder Passwort-Checker muss Annahmen über einen Angreifer treffen, und die meisten sagen nicht, welche. Viele gehen von einer Website aus, die Passwörter mit einem bewusst langsamen Verfahren speichert. Dadurch sind nur einige Tausend Versuche pro Sekunde möglich. Manche rechnen mit Grafikkarten-Geschwindigkeiten von vor Jahren, andere berücksichtigen nur die Länge und übersehen Muster wie Wörter und Datumsangaben. Wir gehen von einem härteren Fall aus und sagen das auch: 1.000 Grafikkarten gleichen mit voller Geschwindigkeit mögliche Passwörter mit einer gestohlenen Passwortliste ab. Bei vielen gut betriebenen Websites dauert das Knacken deutlich länger. Du kannst aber nicht erkennen, zu welcher Art eine Website gehört. Betrachte unsere Zeiten deshalb als den schlimmsten Fall, auf den du vorbereitet sein solltest.

Weil Programme zum Knacken von Passwörtern nicht einen Buchstaben nach dem anderen erraten. Sie probieren ganze Wörter, Namen, Orte, Datumsangaben und häufige Passwörter aus, kombinieren sie und hängen Zahlen an. LiverpoolFootball1892 hat 21 Zeichen, besteht für ein solches Programm aber nur aus zwei häufigen Wörtern und einer Jahreszahl: etwa hundert Millionen Versuche, die eine einzelne Grafikkarte in unter einer Sekunde schafft. Länge hilft nur, wenn die Zeichen unvorhersehbar sind – wie bei einem zufälligen Passwort oder einer Passphrase aus zufälligen Wörtern.

Dein Passwortmanager kann sie alle auf einmal prüfen. Öffne auf einem iPhone oder Mac die App „Passwörter“ und schau unter „Sicherheit“ nach. In Chrome bietet der Google Passwortmanager den Passwortcheck an. NordPass, Bitwarden, 1Password und die meisten anderen Passwortmanager bieten einen ähnlichen Bericht.

Mindestens 16 zufällige Zeichen oder sieben zufällige Wörter. NIST, eine US-Standardisierungsbehörde, gibt Websites vor, Passwörter mit mindestens 64 Zeichen zuzulassen und mindestens 15 Zeichen zu verlangen, wenn das Passwort der einzige Schutz für das Konto ist.