Wie lange Ihr Passwort einem Angriff standhalten würde und was es genau schwach macht
Runs in your browser. Only the lookup you start is sent to api.pwnedpasswords.com; nothing else leaves your device.Stärke hängt nicht an Sonderzeichen, sondern daran, wie viele Versuche ein Angreifer bräuchte. Dieses Werkzeug schätzt, wie lange Ihres standhalten würde, benennt das Muster, das es schwächt, und zeigt, was 4 Zeichen mehr tatsächlich bringen. Ihr Passwort wird im Browser geprüft.
Diese Seite wurde maschinell aus dem englischen Original übersetzt. Die Übersetzung wurde noch von keinem Menschen geprüft; maßgeblich ist die englische Fassung. Englisches Original lesen
Tippen oder fügen Sie das Passwort in Zu prüfendes Passwort ein; klicken Sie auf Anzeigen, wenn Sie die Zeichen sehen möchten.
Lesen Sie die Stärkeanzeige und die Karte Zeit zum Knacken, die schätzen, wie lange ein Angreifer bräuchte.
Tragen Sie Ihren Namen, Ihre E-Mail oder die Website unter Abzuwertende Wörter ein, damit Passwörter daraus niedriger bewertet werden.
Klicken Sie auf Datenlecks prüfen, um die Liste von Have I Been Pwned zu durchsuchen; gesendet werden nur 5 der 40 Hash-Zeichen.
Arbeiten Sie die Liste Was zu verbessern ist ab und klicken Sie dann auf Bericht kopieren, um das Ergebnis zu behalten.
Diese Prüfung bewertet Ihr Passwort von 0 bis 4 und sagt, wie lange es vier realen Angriffen standhalten würde: Raten gegen eine Anmeldung mit und ohne Bremse sowie das Knacken eines gestohlenen Hashs, der mit einem langsamen oder schnellen Algorithmus gespeichert wurde. Sie benennt die Muster, die ein Passwort schwach machen, etwa Wörterbuchwörter, Tastaturfolgen, Daten und Wiederholungen, und sagt, was zu ändern ist.
Man nutzt sie, bevor man ein Master-Passwort oder einen WLAN-Schlüssel festlegt, oder um einem Kollegen zu zeigen, warum Summer2024! eine schlechte Idee ist, obwohl es jedes Kästchen eines Anmeldeformulars erfüllt. Sie findet auch Probleme, die Formulare übersehen: Leerzeichen am Anfang oder Ende, die manche Websites entfernen, und Passwörter über 72 Byte, die bcrypt stillschweigend abschneidet.
Die Bewertung nutzt zxcvbn-ts mit englischen Wörterbüchern und Listen häufiger Passwörter und läuft in Ihrem Browser. Das Passwort wird nie gespeichert, protokolliert oder gesendet. Wörter, die Sie der Abwertungsliste hinzufügen, etwa Ihr Name, bleiben ebenfalls auf der Seite.
Die optionale Leck-Prüfung ist die einzige Funktion dieser Website, die einen Netzwerkaufruf mit etwas aus Ihrer Eingabe macht, deshalb ist sie aus, bis Sie klicken. Ihr Browser berechnet den SHA-1-Hash des Passworts und sendet nur die ersten fünf seiner vierzig Zeichen an Have I Been Pwned. Der Dienst liefert alle geleakten Hashes, die mit diesen fünf Zeichen beginnen, mehrere Hundert, und der Abgleich findet hier statt. Weder der Dienst noch jemand, der die Verbindung beobachtet, erfährt das Passwort oder auch nur seinen vollständigen Hash.
Ein starkes Ergebnis ist kein Freibrief zur Wiederverwendung. Erzeugen Sie mit dem Password Generator für jede Website ein eigenes Passwort und bewahren Sie sie in einem Passwort-Manager auf.
Hier ja. Die Bewertung wird in Ihrem Browser berechnet, und das Passwort wird nie gesendet, gespeichert oder protokolliert. Nur die optionale Leck-Prüfung kontaktiert einen anderen Server, und sie sendet nur fünf Zeichen eines Einweg-Hashs, nie das Passwort. Wenn Sie es trotzdem lieber nicht tun möchten, testen Sie ein Passwort, das genauso aufgebaut ist wie Ihres.
zxcvbn schätzt, wie viele Versuche ein Angreifer bräuchte, der häufige Passwörter, Wörter, Namen, Daten und Tastaturmuster kennt. Diese Zahl wird durch vier Rateraten geteilt: 100 pro Stunde bei einer gebremsten Anmeldung, 10 pro Sekunde bei einer ungebremsten, 10.000 pro Sekunde bei einem gestohlenen bcrypt-Hash und 10 Milliarden pro Sekunde bei einem gestohlenen MD5- oder SHA-1-Hash.
Die Leck-Prüfung nutzt k-Anonymität. Ihr Browser berechnet den SHA-1-Hash des Passworts und sendet nur die ersten 5 der 40 Hex-Zeichen an Have I Been Pwned. Der Dienst antwortet mit allen geleakten Hashes, die mit diesen Zeichen beginnen, meist 800 bis 1.000, und diese Seite sucht Ihren in dieser Liste. Die Prüfung ist aus, bis Sie klicken.
Weil Angreifer die Ersetzungen ausprobieren, die Menschen vornehmen. P@ssw0rd2024! ist ein Wörterbuchwort mit vorhersehbaren Ersetzungen, einer Jahreszahl und einem Sonderzeichen am Ende, das Knackprogramme in Sekunden testen. Länge und Unvorhersehbarkeit zählen weit mehr als Sonderzeichen: vier zufällige Wörter schlagen ein kurzes Passwort voller Sonderzeichen.
Eine 4, sehr stark, für E-Mail, Passwort-Manager und Online-Banking, denn diese öffnen alles andere. Eine 3 ist für Konten ausreichend, die Anmeldeversuche bremsen. Alles mit 0 bis 2 lässt sich schnell erraten oder knacken, sobald eine Website ein Datenleck hat; ändern Sie es also und verwenden Sie es nicht wieder.
bcrypt, eine der häufigsten Arten, wie Websites Passwörter speichern, liest nur die ersten 72 Byte. Alles danach wird ignoriert, ein längeres Passwort bringt auf diesen Websites also nichts. Die meisten Zeichen sind ein Byte groß, Buchstaben mit Akzent aber zwei und Hindi oder Emoji drei oder vier, sodass die Grenze früher erreicht ist, als die Zeichenzahl vermuten lässt.
Kommen Sie nicht weiter? Fragen Sie zu Passwort-Stärke prüfen und jeder, der es weiß, kann antworten. Kein Konto nötig.