Passwort-Knackzeit-Schätzer
Tippen Sie ein Passwort ein und sehen Sie eine transparente Entropieberechnung sowie ehrliche Schätzungen der Knackzeit über mehrere klar beschriftete Angriffsszenarien – alles rein im Browser berechnet, nie eine ominöse Stärkebewertung.
🔒 Wird vollständig in Ihrem Browser verarbeitet – nichts, was Sie hier eingeben, wird jemals hochgeladen.
Ergebnis
Die meisten Passwortstärkemesser zeigen einen farbigen Balken und ein ausgedachtes Etikett – „schwach“, „gut“, „stark“ – ohne dass Sie die dahinterstehende Logik prüfen können. Dieses Tool macht das Gegenteil: Es zeigt jeden Schritt der Berechnung. Tippen Sie ein Passwort ein und beobachten Sie, wie es erkennt, welche Zeichensätze Sie verwendet haben (Kleinbuchstaben, Großbuchstaben, Ziffern, Symbole), die resultierende Poolgröße summiert und die exakte Länge und Poolgröße Ihres Passworts in die Standard-Entropieformel einsetzt: Entropie = Länge × log₂(Poolgröße). So können Sie die Zahl selbst nachprüfen, statt einer Blackbox zu vertrauen.
Entropie allein sagt noch nicht alles. Daher sucht das Tool auch nach den Mustern, die ein Passwort leichter zu erraten machen, als seine reine Länge vermuten lässt: sequenzielle Zeichenläufe wie „abc“ oder „456“, Wiederholungsläufe wie „aaa“ und exakte Treffer in einer kleinen mitgelieferten Liste von rund 100 der häufigsten je veröffentlichten Leak-Passwörter. Das ist keine Verbindung zu einer Live-Datenbank – es ist eine ehrliche, offline arbeitende Heuristik –, aber wenn ein Treffer gefunden wird, wird die für die Knackzeittabelle verwendete effektive Entropie reduziert (oder bei einem Treffer aus der häufigen Liste auf die Größe dieser Liste begrenzt), denn ein echter Angreifer würde die naheliegenden Versuche zuerst probieren, egal wie groß der theoretische Schlüsselraum ist.
Die Knackzeittabelle setzt diese effektive Entropie in reale Zeitabschätzungen für fünf Szenarien um, die die realistische Bandbreite von Angriffen abdecken: ein Online-Loginformular mit Ratenlimit (~100 Versuche/Sekunde), ein Online-Formular ohne Ratenlimit (~1.000 Versuche/Sekunde), ein Offline-Angriff auf einen langsamen, absichtlich teuren Hash wie bcrypt, scrypt oder Argon2 (~10.000 Versuche/Sekunde), ein Offline-Angriff auf einen schnellen, ungesalzenen Hash wie MD5, SHA-1 oder NTLM auf einer einzelnen Consumer-GPU (~10 Milliarden Versuche/Sekunde) und derselbe schnelle Hash auf einem großen Multi-GPU-Cluster (~1 Billion Versuche/Sekunde). Diese Raten sind veranschaulichende Größenordnungen, die aus allgemein veröffentlichten Hardware- und Hash-Benchmarks stammen – keine Vorhersage für einen bestimmten Angreifer, ein bestimmtes Gerät oder ein bestimmtes Jahr – und genau deshalb kann dasselbe Passwort für einen schnellen Offline-Hash „sofort“ und für einen langsamen, ratenlimitierten „Jahrhunderte“ ergeben.
Das alles läuft als reine JavaScript-Stringanalyse und Math.log2-Arithmetik direkt in Ihrem Browser-Tab. Es findet kein kryptografisches Hashing statt, es gibt keinen Server-Roundtrip und vor allem keine Netzwerkanfrage irgendeiner Art in diesem Tool – das von Ihnen eingetippte Passwort wird niemals übertragen, protokolliert oder irgendwo gespeichert, und die ganze Seite funktioniert weiter, wenn Sie nach dem Laden die Internetverbindung trennen.