Passwortstärke prüfen
Password Strength Meter
Schätzt, wie lange das Knacken eines Passworts dauern würde, und benennt die Muster, die es schwächen.
Ein Messgerät, das Zeichenklassen zählt, stuft `P@ssw0rd1` als stark und `mineral cobbler thrift` als schwach ein – und hat beides verkehrt herum: den ersten Buchstaben großschreiben, a durch @ ersetzen und eine 1 anhängen sind die ersten Regeln, die ein Cracker probiert, nicht die letzten. Dieses Werkzeug schätzt die Zahl der Rateversuche so, wie ein Angreifer sie zählen würde – indem es die billigste Kombination von Mustern sucht, die das Passwort wieder zusammensetzt.
Das Passwort wird in diesem Tab gemessen und nirgendwo sonst. Es wird nicht gesendet, nicht gehasht, nicht gespeichert und mit keiner Leak-Liste abgeglichen — dafür müsste ein Teil davon an den Server einer anderen Person gehen.
Wie hier gemessen wird
Nicht durch Zählen von Zeichenklassen. Gesucht werden die Muster, für die ein Knackwerkzeug eine billige Regel hat — Wörterbuchwörter, rückwärts geschriebene Wörter, Ersetzungen durch ähnlich aussehende Zeichen, Tastaturreihen, Wiederholungen, Folgen, Datumsangaben — und dann wird der billigste Weg bepreist, Ihr Passwort daraus zusammenzusetzen. Es ist eine unabhängige Umsetzung des zxcvbn (Wheeler, USENIX Security 2016)-Modells und gleicht gegen 222 häufige Passwörter, 353 englische Wörter, 99 Namen und die EFF-Passphrasenliste aus 7.776 Wörtern ab.
Die Listen eines echten Angreifers sind größer als diese. Ein Passwort, das diese Seite nicht erkennt, kann trotzdem in einer davon stehen — dies ist eine Untergrenze dafür, wie schwer es zu erraten ist, und das ist die einzige Richtung, in die eine Stärkeschätzung ehrlich danebenliegen kann.
Brauchen Sie eines, das gut abschneidet? Eine Passphrase erzeugen oder ein zufälliges Passwort.
So funktioniert es
Tippen Sie das Passwort ein oder fügen Sie es ein
Nichts wird gehasht, gespeichert oder gesendet. Die Analyse läuft über die Zeichenkette im Tab, und deshalb wird hier keine Datenleck-Datenbank abgefragt – das ist ein eigenes Werkzeug.
Lesen Sie die Musteraufschlüsselung, nicht nur die Punktzahl
Das Werkzeug benennt jedes erkannte Segment – ein Wörterbuchwort, eine Tastaturfolge, ein Datum, eine Wiederholung – und was dieses Segment einen Angreifer kostet. Das billige Segment ist das, das Sie ändern sollten.
Vergleichen Sie die beiden Angriffsgeschwindigkeiten
Dieselbe Zahl an Rateversuchen bedeutet Jahre gegen ein langsames Server-Login und Minuten gegen einen Offline-Angriff auf einen geleakten Hash. Urteilen Sie nach dem Fall, der auf den Ort zutrifft, an dem das Passwort liegt.
Häufige Fragen
Ist das zxcvbn?
Es folgt dem veröffentlichten Algorithmus (Wheeler, USENIX Security 2016), ist aber eine unabhängige Implementierung mit den eigenen, deutlich kleineren Wörterbüchern dieses Projekts. Die Zahlen haben dieselbe Form wie die von zxcvbn, sind aber nicht identisch mit ihnen.
Es sagt, mein Passwort sei stark. Ist es sicher?
Es bedeutet, dass dieses Werkzeug kein billiges Muster darin gefunden hat. Eine Wortliste, die ein Angreifer besitzt und dieses Werkzeug nicht, knackt es trotzdem, und ein Passwort, das auf einer bereits geleakten Website wiederverwendet wurde, ist unabhängig von seiner Punktzahl geknackt. Prüfen Sie es zusätzlich mit dem Datenleck-Check.
Warum hilft ein Sonderzeichen am Ende kaum?
Weil es eine Regel ist, und Regeln sind billig. Ein Cracking-Lauf hängt ganz selbstverständlich jedes Sonderzeichen an jedes Wörterbuchwort, sodass ein Sonderzeichen den Aufwand um ein paar Dutzend vervielfacht und nicht um die Größe des Zeichenvorrats. Zusätzliche Wörter vervielfachen ihn weit mehr.
Verlässt das Passwort den Tab?
Nein. Dieses Werkzeug stellt überhaupt keine Netzwerkanfrage – nicht einmal ein Hash-Präfix geht hinaus, und genau deshalb ist die Datenleck-Abfrage bewusst davon getrennt.
Eingabe aus
bcrypt- und argon2-Prüfer
bcrypt & argon2 Checker
Hasht ein Passwort mit bcrypt bei gewähltem Kostenfaktor und prüft ein Passwort gegen einen vorhandenen bcrypt-Hash. Erkennt argon2, berechnet es aber nicht.
Passwort-Generator
Password Generator
Erzeugt zufällige Passwörter mit Länge, Zeichensatz und Regeln für verwechselbare Zeichen, bei Bedarf in Masse – ohne Upload, komplett im Browser.
Passphrasen-Generator
Passphrase Generator
Baut eine Passphrase im Diceware-Stil aus einer Wortliste und zeigt die Entropie in Bit.
Datenleck-Prüfung
Breach Check
Prüft, ob ein Passwort in den Leak-Daten von Have I Been Pwned auftaucht, und sendet dazu nur die ersten fünf Zeichen seines SHA-1-Hashes aus dem Browser (k-Anonymität).
Danach
Diese Tools nehmen an, was dieses hier erzeugt, das Ergebnis kann also direkt weiter.
Datenleck-Prüfung
Breach Check
Prüft, ob ein Passwort in den Leak-Daten von Have I Been Pwned auftaucht, und sendet dazu nur die ersten fünf Zeichen seines SHA-1-Hashes aus dem Browser (k-Anonymität).
Entropie-Messer
Entropy Meter
Misst die Shannon-Entropie einer Zeichenkette oder Datei und zeigt ein Byte-Histogramm – nützlich zum Aufspüren von Schlüsseln.
Passphrasen-Generator
Passphrase Generator
Baut eine Passphrase im Diceware-Stil aus einer Wortliste und zeigt die Entropie in Bit.
Passwort-Generator
Password Generator
Erzeugt zufällige Passwörter mit Länge, Zeichensatz und Regeln für verwechselbare Zeichen, bei Bedarf in Masse – ohne Upload, komplett im Browser.
CORS-Tester
CORS Tester
Sendet den Preflight, den ein Browser von einem gewählten Origin senden würde, plus ein GET mit diesem Origin, und erklärt nach den Regeln des Fetch-Standards genau, welcher Header blockiert hat.
Währungsrechner
Currency Converter
Rechnet zwischen rund dreißig Währungen zu den täglichen Referenzkursen der EZB um, über den Euro gekreuzt, oder zu einem Kurs, den Sie eingeben.