Passwort-Knackzeit und Entropie berechnen
Testen Sie ein Passwort: Entropie in Bit, Knackzeit per Brute Force auf GPUs (auch einer RTX 4090) und ein Passphrasen-Generator mit rund 86 Bit.
Knackzeit eines Passworts: Formel und Annahmen des Tools
Die Brute-Force-Knackzeit ist die Zahl der Kombinationen (Alphabetgröße hoch Länge) geteilt durch die Versuche pro Sekunde. Das Tool durchsucht den gesamten Raum bei zwei angenommenen Raten, 10 Milliarden und 100 Billionen Versuchen pro Sekunde: Ein 8-stelliges Passwort mit allen 4 Zeichenarten hält im ersten Fall etwa 8 Tage, im zweiten eine Minute. Außerdem zeigt es eine mittlere Dauer für einen schnellen Hash (MD5, NTLM), angegriffen von einer oder acht RTX-4090-Karten.
Berechnung
Das Alphabet umfasst 26 Klein- und 26 Großbuchstaben, 10 Ziffern und 33 Symbole; jede Gruppe zählt, sobald ein Zeichen dieser Art vorkommt (ein Leerzeichen oder ein Umlaut gilt als Symbol). Entropie = Länge × log2(Alphabet), auf ganze Bits gerundet. Zeit = Alphabet^Länge ÷ Rate, über den gesamten Raum.
Nachgerechnete Beispiele
- Paris2024: 9 Zeichen, Alphabet 62, 54 Bit. 62^9 = 1,35 × 10^16 Kombinationen: 16 Tage bei 10 Milliarden Versuchen pro Sekunde, 2 Minuten bei 100 Billionen.
- motdepasse: 47 Bit, 4 Stunden bei der ersten Rate. Ein Wörterbuchangriff fände es viel früher; das Tool erkennt keine gängigen Wörter.
- K3ep$ecure2026! (Standardwert): 15 Zeichen, Alphabet 95, 99 Bit, Stufe ultra sicher.
Annahmen und Grenzen
- Alle diese Raten sind Annahmen des Tools. Die tatsächliche Rate hängt vor allem von der Hashfunktion ab: Ein langsamer Hash (bcrypt, scrypt, Argon2) senkt sie gegenüber MD5 oder NTLM um mehrere Größenordnungen.
- Die Formel überschätzt Wörter und Muster: guitare-pomme-navire-nuage zeigt 153 Bit, während 4 zufällig aus einer Liste von 7.776 gezogene Wörter nur 51,7 Bit ergeben.
- Anzeige: in Jahren bis 999 Jahre, danach gerundet in Tausend und Millionen Jahren; über einer Milliarde Jahre erscheint mehrere Milliarden Jahre. 12 Zeichen aus allen 4 Typen brauchen bei der ersten Rate 1,7 Millionen Jahre, angezeigt als 2 Millionen Jahre.
- Stufen: über 80 Bit ultra sicher, über 60 stark, über 40 mittel.
Die RTX-4090-Karten liefern für dasselbe Passwort kürzere Zeiten, weil sie im Mittel den halben Raum ansetzen, mit 100 oder 800 Milliarden Hashes pro Sekunde. Für Paris2024 braucht eine Karte 18,8 Stunden statt 16 Tagen. Der Hinweis im Tool empfiehlt mindestens 4 Zufallswörter; die französische Datenschutzbehörde CNIL geht von 7 aus.
Quellen und Stand: CNIL, Beschluss Nr. 2022-100 vom 21. Juli 2022: mindestens 80 Bit für ein alleinstehendes Passwort; NIST SP 800-63B-4, endgültige Fassung vom Juli 2025: mindestens 15 Zeichen als einziger Faktor, 8 bei Mehrfaktor; ANSSI-Leitfaden zu Mehrfaktor-Authentifizierung und Passwörtern, veröffentlicht am 8. Oktober 2021 (geprüft am 14.10.2026).
Häufig gestellte Fragen
Wie lange dauert es, ein 8-stelliges Passwort zu knacken?
Mit Klein- und Großbuchstaben, Ziffern und Symbolen gibt es 95^8, also 6,6 × 10^15 Kombinationen. Das Tool zeigt 8 Tage bei 10 Milliarden Versuchen pro Sekunde und eine Minute bei 100 Billionen. Diese Raten sind Annahmen: Ein langsamer Hash wie bcrypt verlängert die Zeiten erheblich.
Wie berechnet man die Entropie eines Passworts?
Man multipliziert die Länge mit dem Logarithmus zur Basis 2 der Alphabetgröße. Ein 12-stelliges Passwort aus 95 möglichen Zeichen erreicht 78,8 Bit, ein 14-stelliges alphanumerisches 83,4 Bit. Die Rechnung setzt zufällig gewählte Zeichen voraus.
Warum zeigt eine Passphrase so eine hohe Entropie?
Das Tool behandelt jeden Buchstaben als unabhängige Ziehung und überschätzt damit Wörter. guitare-pomme-navire-nuage zeigt 153 Bit, während 4 zufällig aus einer Liste von 7.776 gezogene Wörter 51,7 Bit wert sind. Rechnen Sie besser mit etwa 12,9 Bit je echt zufälligem Wort.
Welche Passwortlänge empfehlen CNIL und NIST?
Die französische CNIL verlangt 80 Bit Entropie für ein alleinstehendes Passwort, etwa 12 Zeichen aus allen 4 Arten oder eine Passphrase aus 7 Wörtern (Beschluss vom 21. Juli 2022). NIST verlangt mindestens 15 Zeichen als einzigen Faktor und 8 mit zweitem Faktor (SP 800-63B-4, Juli 2025). NIST untersagt zudem vorgeschriebene Zusammensetzungsregeln.
Warum zeigt das Tool zwei Reihen von Knackzeiten?
Die ersten beiden Werte durchsuchen den gesamten Kombinationsraum, mit 10 Milliarden bzw. 100 Billionen Versuchen pro Sekunde. Die RTX-4090-Karten zeigen eine mittlere Dauer über die Hälfte der Kombinationen für einen schnellen Hash wie MD5 oder NTLM: 100 Milliarden Hashes pro Sekunde mit einer Karte, 800 Milliarden mit acht. Für Paris2024 ergibt das 16 Tage im ersten Fall und 18,8 Stunden mit einer einzigen RTX 4090.
Ist die vom Tool erzeugte Passphrase sicher?
Ja. Die Schaltfläche zieht 4 Wörter aus je 3 Silben, jede Silbe aus 100 möglichen, dazu eine Zahl von 10 bis 99, mit dem kryptografischen Zufallsgenerator des Browsers: 9 × 10^25 Kombinationen, also 86,2 Bit, die das Tool auf 86 rundet. Das liegt über den 80 Bit, die die französische CNIL verlangt. Solange Sie die Phrase nicht ändern, beruhen die angezeigten Zeiten auf dieser Ziehung; nach jeder Änderung kehrt das Tool zur Schätzung nach Zeichensatz zurück.
Ist das Tool wirklich kostenlos?
Ja, alle Werkzeuge auf Kristools sind zu 100% kostenlos und ohne Registrierung zugänglich.
Sind meine Daten geschützt?
Ja. Die gesamte Verarbeitung erfolgt sicher und direkt in Ihrem Browser. Es werden keine persönlichen Daten an unsere Server gesendet.