Passwortsicherheit: Was ein Passwort wirklich stark macht

Bank-Websites zwingen Sie immer noch zu beweisen, dass Ihr Passwort einen Großbuchstaben, eine Ziffer und ein Sonderzeichen enthält — und lehnen dann die lange, passphrase-artige Zeichenkette ab, die Sie tatsächlich geschützt hätte. Die Forschung sagt das Gegenteil dessen, was diese Regeln annehmen. Stärke ist keine Checkliste von Zeichenarten; sie ist eine Zahl: wie viele Versuche ein Angreifer braucht, bis er auf Ihr Passwort stößt. Diese Zahl, gemessen in Bits, ist das Einzige, was zählt. Alles andere — das angehängte Ausrufezeichen, der großgeschriebene Buchstabe — ist größtenteils Theater.

Entropie: die Zahl hinter jedem Passwort

Jedes Passwort, das Sie unter genau Ihren Regeln erzeugen können, lässt sich als Liste ausschreiben. Die Größe dieser Liste ist Ihr Suchraum. Wurde das Passwort gleichverteilt aus der Liste gewählt, muss ein Angreifer, der sie durcharbeitet, im Durchschnitt die Hälfte ausprobieren. Die Größe des Raums, als Zweierpotenz ausgedrückt, ist die Entropie des Passworts: die Menge an Unsicherheit, die der Angreifer auflösen muss.

Die Mathematik ist schlichte Multiplikation. Mit einem 26-Buchstaben-Alphabet aus Kleinbuchstaben ergeben 8 Zeichen 26^8 = 2,1 × 10^11 Möglichkeiten — etwa 38 Bits. Kommen Großbuchstaben, Ziffern und Sonderzeichen dazu — volle 95 druckbare Zeichen —, dann liefern dieselben 8 Zeichen 95^8 = 6,6 × 10^15 Möglichkeiten, rund 52,5 Bits. Jedes zusätzliche Zeichen multipliziert die Liste mit der Größe Ihres Alphabets.

Daraus folgen zwei Dinge. Länge wirkt zusammen: jedes Zeichen mehr addiert log2(Alphabet) Bits. Und je kleiner das Alphabet, desto weniger verdient jedes Zeichen: von 26 auf 95 Zeichen zu wachsen gewinnt etwa 1,9 Bits pro Zeichen, während ein einziges Zeichen mehr 4,7 bis 6,6 Bits liefert. Genau diese Unwucht ist das gesamte Argument für lange Passwörter.

// Upper bound for a password a real random generator produced.
// Real human choices score lower — patterns occupy a smaller space.
function bits(length, charsetSize) {
  return length * Math.log2(charsetSize);
}
console.log(bits(8, 26));   // ≈ 37.6 → ~2.1 × 10^11 possible
console.log(bits(8, 95));   // ≈ 52.5 → ~6.6 × 10^15 possible
console.log(bits(12, 95));  // ≈ 78.8
console.log(bits(16, 95));  // ≈ 105.1

Die Formel setzt echte Zufälligkeit voraus — und diese Annahme trägt die ganze Last. Für reale Wahlen ist sie eine Obergrenze, denn Menschen sind nicht gleichverteilt: Sunshine1 sind acht Zeichen, aber von 6,6 × 10^15 Möglichkeiten weit entfernt. Der tatsächliche Suchraum des Angreifers ist der Raum üblicher Muster, und der ist tausendfach kleiner.

Warum die klassischen Regeln Passwörter schwächen

Die berühmte Checkliste — mindestens 8 Zeichen, ein Großbuchstabe, eine Ziffer, ein Sonderzeichen — wurde entworfen, lange bevor Grafikkarten das Passwortknacken zum Hobby gemacht haben. Sie scheitert doppelt: Sie treibt Menschen in vorhersagbare Schablonen, und sie bestraft das Einzige, was wirklich hilft — die Länge.

Sagt man einem Menschen, er brauche Großbuchstabe, Ziffer und Sonderzeichen, nimmt er mit überwältigender Wahrscheinlichkeit ein normales Wort und führt dieselben drei Bewegungen aus: erster Buchstabe groß, eine Ziffer ans Ende, ein Symbol dazu. Das Ergebnis ist Password1! oder die lokale Entsprechung. Da die ganze Klasse einer Schablone folgt, muss der Angreifer den 95-Zeichen-Raum gar nicht durchsuchen — er durchsucht den viel kleineren Schablonenraum. Das berühmte xkcd-Beispiel Tr0ub4dor&3 landet aus genau diesem Grund bei etwa 28 Bits.

Erzwungener Umtausch macht es schlimmer. Verlangt die Richtlinie alle 90 Tage ein neues Passwort, mutieren die Menschen das alte: Password1! wird Password2!, dann Password3!. Ist das alte einmal geleakt, ist das nächste trivial vorhersagbar. Die aktuelle Empfehlung — NIST SP 800‑63B — verwirft den erzwungenen Ablauf und den Komplexitäts-Tanz; sie verlangt Länge, Blocklisten gesperrter Passwörter und einen zweiten Faktor.

Länge schlägt Komplexität: die Mathematik der Passphrasen

Vier zufällig gezogene Wörter aus einer 7.776 Wörter umfassenden Liste — die von der EFF empfohlene Diceware-Liste — ergeben 7776^4 = 3,7 × 10^15 Kombinationen, also etwa 51,7 Bits. Das ist vergleichbar mit einem zufälligen 8-Zeichen-Passwort aus dem vollen Zeichensatz — aber geschrieben in Wörtern, die ein Mensch wirklich behalten kann. Selbst eine konservativere Liste von 2.048 Wörtern liefert 11 Bits pro Wort — bei vier Wörtern also 44 Bits.

Stellen Sie Pr3tty! neben correct-horse-battery-staple. Beides wirkt vertretbar. Das erste sind 7 Zeichen aus einem 95-Zeichen-Satz — auf dem Papier rund 46 Bits —, aber es ist ein normales Adjektiv plus ein Sonderzeichen, gezogen aus dem winzigen Raum schablonenkonformer Passwörter; der echte Wert ist ein Bruchteil davon. Die Passphrase dagegen besteht aus 28 Zeichen, entstanden aus vier unabhängigen Zufallswahlen unter Tausenden von Wörtern; weil es kein Muster gibt, hat der Angreifer keine Abkürzung.

Der Haken — und er ist real — steckt im Wort zufällig. Eine Passphrase, die Sie selbst erfinden, etwa mycatispurple, ist nicht aus vier Zufallswörtern gebaut, sondern ein einziger natürlichsprachiger Satz — und kluge Angreifer modellieren auch die. Die Stärke kommt vom Würfel, nicht von Ihrem Einfall. Nutzen Sie Diceware oder einen gleichverteilenden Generator, und meiden Sie jede Phrase, die schon auf Blogs oder in Songtexten blinkt.

• Merkbar: vier bekannte Wörter sind leichter zu halten als fünfzehn verstreute Zeichen.
• Lang: die reine Länge blockiert Offline-Brute-Force, bevor irgendein Verbinden zählt.
• Musterecht: gleichverteilte Zufallswahlen lassen dem Angreifer keine Schablone.
• Skaliert: fünf Zufallswörter landen bei etwa 64,6 Bits und bleiben merkbar.

Die eigentliche Gefahr ist die Wiederverwendung

Keine der Entropie-Rechnungen schützt Sie, wenn dasselbe Passwort zehn Konten beschützt. Datenlecks sind keine Seltenheit; sie sind Routine und treffen auch sorgfältige Unternehmen mit kompetenten Sicherheitsteams. Leakt eine Hash-Datenbank, werden die Hashes offline geknackt — zuerst per Wörterbuch, dann mit Mutationen —, und das Passwort, das Sie benutzt haben, fällt als Klartext heraus.

Die Angreifer füttern dieselbe Liste dann gegen jede andere Website, die Sie nutzen. Das ist Credential Stuffing: automatisierte Skripte probieren jedes geleakte Nutzername-Passwort-Paar gegen Tausende von Zielen, und es funktioniert, weil Wiederverwendung die Norm ist. Das Wertvollste, was Sie tun können, ist nicht ein klügeres Passwort — es ist eines, das pro Website einzigartig ist.

Genau diese Einzigartigkeit automatisieren Passwort-Manager. Und das ist auch die Kehrseite: Das Master-Passwort Ihres Managers ist das eine unersetzliche Geheimnis, das Sie besitzen; es irgendwo zu wiederholen hebt das ganze Modell auf.

Die Angriffsvektoren, gegen die Sie wirklich stehen

• Wörterbuchangriff: rattert eine Rangliste wahrscheinlicher Passwörter durch — frühere Lecks, Wörter, Namen, Tastaturfolgen. sunshine1 erledigt das in Millisekunden.
• Brute Force: probiert alle Kombinationen eines Zeichensatzes bis zu einer Längengrenze. Einfach und langsam — genau deshalb zählt die Tabelle oben: Bei einer Milliarde Versuchen pro Sekunde ist ein 8-Zeichen-Passwort aus dem vollen Satz an einem Tag erledigt.
• Credential Stuffing: automatisiert geleakte Nutzername-Passwort-Paare gegen tausende Websites. Sein Erfolg ist ein direktes Maß für die Wiederverwendung.
• Phishing: imitiert eine echte Login-Seite und erntet das Passwort — oder den Zweifaktor-Code — beim Menschen selbst. Es umgeht jede Stärkeregel; deshalb zählen ein zweiter Faktor und das Autofill des Managers.

Bemerkenswert ist, was fehlt: Niemand hackt Sie persönlich. Diese Angriffe sind automatisiert und opportunistisch; sie gehen dorthin, wo die Mathematik am schwächsten und die Wiederverwendung am dichtesten ist.

Wie Passwort-Manager Zugangsdaten erzeugen und speichern

Ein Passwort-Manager hält jede Zugangsdaten in einem Tresor, der mit einem Schlüssel aus Ihrem Master-Passwort verschlüsselt ist — gestreckt durch eine langsame Funktion wie PBKDF2 oder Argon2, damit das Raten des Master-Passworts offline von Natur aus mühsam ist. Der Tresor ist die einzige Heimat Ihrer Geheimnisse; das Master-Passwort ist der Schlüssel dazu.

Die Erzeugung ist der Punkt, an dem ein guter Manager seine Miete verdient. Er erstellt pro Website ein frisches, kryptografisch zufälliges Passwort — meist 15 bis 20 Zeichen über den vollen Zeichensatz —, weil er es nie auswendig lernen muss. Das Ökosystem ist breiter, als man denkt: Browser bringen eingebaute Manager mit, Bitwarden und 1Password synchronisieren verschlüsselte Tresore über die Cloud, KeePass-artige Apps halten eine verschlüsselte lokale Datei. Das Prinzip ist überall dasselbe: Ein starker Master-Schlüssel, darüber zufällige, einzigartige Passwörter.

Auf der anderen Seite des Login-Formulars speichert eine verantwortungsvolle Website Ihr Passwort nicht. Sie speichert einen gesalzenen Hash aus einer langsamen, speicherhungrigen Funktion — bcrypt oder argon2id. Gesalzen heißt, dass ein zufälliger Wert pro Nutzer eingemischt wird, sodass dasselbe Passwort auf einer Million Seiten eine Million verschiedener Hashes ergibt. Langsam heißt, dass die Versuche pro Sekunde des Angreifers von Milliarden auf ein paar Tausend fallen. Genau das ist der Grund, warum ein ordentliches Passwort einen geleakten Datenbestand überlebt — und ein kurzes nicht; dieselbe Schlussfolgerung wie in der Tabelle oben.

Was ein starker Generator anders macht

Der Unterschied zwischen einem Spielzeug-Generator und einem sicheren ist, woher die Zufälligkeit kommt. Math.random() ist ein aus der Zeit geseedeter Pseudozufallsgenerator; er ist schnell, nie für Geheimnisse gedacht, und sobald man genug seiner Ausgabe beobachtet hat, lässt sich der innere Zustand rekonstruieren — das zufällige Passwort wird vorhersagbar. Browser bieten dagegen crypto.getRandomValues(), gespeist aus der kryptografischen Zufälligkeit des Betriebssystems: die einzige Quelle, die für diese Aufgabe taugt.

Die Quelle ist erst die halbe Geschichte. Das Ziehen muss gleichverteilt sein: eine Zufallszahl modulo der Zeichensatzlänge zu nehmen, ist der klassische Weg, die Ausgabe zu verzerren; ernsthafte Generatoren nutzen Rejection Sampling. Und der Zeichensatz sollte so breit sein, wie Sie vertragen — jede enthaltene Klasse sind Bits, die Sie gratis zurückkaufen —, während mehrdeutige Zeichen wie 1/l oder 0/O meist der Lesbarkeit halber entfallen, nicht etwa der Stärke.

Ein starker Generator tut auch sonst nichts: keine Telemetrie, keine Kopie im Server-Log, kein merken-Sie-sich-das-für-mich. Ein Passwort sollte exakt an einer Stelle existieren — ein paar Sekunden in der Zwischenablage, dann im Tresor.

Passwörter in Convrs erzeugen

Der Passwort-Generator von Convrs arbeitet komplett in Ihrem Browser: Länge wählen, die gewünschten Zeichenklassen ankreuzen und mit einem Klick einen ganzen Schwung erzeugen. Die Zufälligkeit kommt aus der kryptografischen API des Browsers, die gesamte Berechnung bleibt auf Ihrem Gerät, und nichts wird übertragen, protokolliert oder gespeichert — die einzige Kopie Ihres Passworts ist die, die Sie selbst heraus kopieren.