Passwortstärkeprüfung und Entropieschätzer

Die kryptografische Mathematik der Passwort-Entropie: Warum die Länge die Komplexität überwiegt

Jahrzehntelang zwangen die IT-Richtlinien von Unternehmen die Mitarbeiter dazu, umständliche, nicht einprägsame Passwörter zu erstellen, die willkürliche Kombinationen aus Großbuchstaben, Zahlen und Sonderzeichen enthielten – nur um dann alle 90 Tage eine obligatorische Änderung zu verlangen. Moderne Computerkryptographie und empirische Untersuchungen des National Institute of Standards and Technology (NIST) haben bewiesen, dass dieses Paradigma nicht nur veraltet ist, sondern die Kontosicherheit aktiv beeinträchtigt.

Claude Shannons Informationsentropieformel ($H = L \log_2 N$)

In der Informationstheorie wird die grundlegende Stärke eines Geheimnisses quantifiziertTeile der Entropie($H$), benannt nach dem Mathematiker Claude Shannon. Die Rohentropie einer zufällig ausgewählten Zeichenfolge wird durch die Formel bestimmt:

Da die Gesamtkombinationen als $N^L$ skaliert werden,Länge ($L$) fungiert als Exponent, während die Poolgröße ($N$) lediglich die Basis darstellt. Das Hinzufügen von nur 4 zusätzlichen Zeichen zu einem Passwort erweitert den Brute-Force-Suchraum um mehrere Größenordnungen mehr als das Ersetzen eines „a“ durch ein „@“ oder eines „e“ durch eine „3“.

NIST-Sonderpublikation 800-63B: Moderne digitale Identitätsstandards

InNIST SP 800-63B (Richtlinien für digitale Identität: Authentifizierung und Lebenszyklusmanagement), Sicherheitsforscher des Bundes haben das alte Firmenpasswort-Dogma systematisch abgebaut:

• Abschaffung des periodischen Ablaufs:Wenn Benutzer gezwungen werden, ihre Passwörter alle 30 bis 90 Tage zu ändern, führt dies zu vorhersehbaren inkrementellen Änderungen (z. BWinter2025!WerdenSpring2026!). Passwörter sollten nur geändert werden, wenn Hinweise auf eine Kompromittierung vorliegen.
• Abschaffung der Kompositionsregeln:Die Vorgabe bestimmter Kombinationen aus Groß- und Kleinschreibung, Zahlen und Symbolen führt dazu, dass Benutzer vorhersehbare Strukturmuster übernehmen (z. B. den ersten Buchstaben groß schreiben und am Ende ein Ausrufezeichen und eine Jahreszahl anhängen).
• Blacklist-Screening (Prüfung verletzter Anmeldedaten):Systeme müssen neue Passwörter anhand von Listen kompromittierter Anmeldeinformationen, gebräuchlicher Wörterbuchbegriffe und sich wiederholender Sequenzen überprüfen, anstatt willkürliche Komplexitätsregeln durchzusetzen.

Die Diceware-Passphrase-Architektur: Benutzerfreundlichkeit trifft auf kryptografische Stärke

Ursprünglich 1995 von Arnold Reinhold erfundenWürfelwareDie Methode generiert Passphrasen, indem physische sechsseitige Würfel gewürfelt werden, um zufällige Wörter aus einem Wörterbuch mit 7.776 Wörtern auszuwählen ($6^5 = 7.776$).

Denn jedes Wort liefert ungefähr12,9 Bit Entropie($log_2(7776) ca. 12,92$), eine 4-Wörter-Passphrase liefert ungefähr52 Bit reine Entropie, und eine 5-Wörter-Passphrase liefert65 Bit. Menschen können sich mühelos einen lebendigen Erzählsatz wie z. B. merkencrystal-falcon-harbor-orbit, während der Offline-Cracking-Cluster eines Angreifers Milliarden von Kombinationen über Wörterbuchpermutationen hinweg ausschöpfen muss.

Wie moderne Angreifer Hashes knacken: Maskenangriffe und speicherintensive KDFs

Echte Bedrohungsakteure erzwingen nur selten Passwörter Zeichen für Zeichen über ein Anmeldeformular. Ratenbegrenzung, Web Application Firewalls (WAFs) und CAPTCHAs stoppen Online-Angriffe nach wenigen Versuchen. Stattdessen99 % aller Passwörter werden offline geknacktnachdem ein Angreifer in die Datenbank einer Anwendung eingedrungen ist und gespeicherte Passwort-Hashes herausgefiltert hat.

Werkzeuge wieHashcatundJohn der RipperNutzen Sie riesige Cluster von Verbraucher-GPUs (z. B. NVIDIA GeForce RTX 4090), um Milliarden von Kandidaten-Hashes pro Sekunde zu berechnen.