Passwortstärke testen

Die Prüfung läuft vollständig in Ihrem Browser: Das Passwort wird nie über das Netzwerk gesendet, gespeichert oder protokolliert, und in den Entwicklertools Ihres Browsers können Sie nachprüfen, dass keine Anfrage gestellt wird. Wenn Sie möchten, testen Sie statt des echten Passworts eines, das genauso aufgebaut ist.

Mit zxcvbn, einer offenen Methode, die bei Dropbox entwickelt wurde. Statt Zeichenarten zu zählen, schätzt sie, wie viele Versuche ein Angreifer bräuchte. Dabei probiert sie zuerst häufige Passwörter, Wörterbuchwörter, Namen, Daten, Tastaturmuster und ähnlich aussehende Ersetzungen.

Weil Angreifer diese Tricks kennen. Genau dieses Passwort steht in Listen häufiger Passwörter, und sein Rezept – ein Wort mit vorhersehbaren Ersetzungen (@ statt a, 0 statt o), dann eine Zahlenfolge und ein Sonderzeichen – gehört zum Ersten, was sie ausprobieren. Es erfüllt jede Vorgabe alter Passwortrichtlinien und ist trotzdem schwach.

Online-Angriffe laufen über eine Anmeldeseite, die wiederholte Versuche bremsen oder sperren kann. Offline-Angriffe erfolgen nach einem Datenbankleck: Der Angreifer testet seine Versuche auf eigener Hardware – langsam, wenn die Passwörter mit einem starken Hash-Verfahren gespeichert wurden, extrem schnell, wenn nicht.

Nein. Dafür müsste ein externer Dienst mit einer Leak-Datenbank kontaktiert werden, und dieses Tool sendet nie etwas. Es erkennt aber die häufigsten Passwörter, die in fast jedem Leak auftauchen.

Länge und Zufall. Ein zufälliges Passwort mit 16 Zeichen oder eine Passphrase aus fünf oder sechs zufälligen Wörtern ist weit sicherer als ein kurzes Wort mit ein paar Sonderzeichen. Verwenden Sie für jedes Konto ein anderes.