IT & Internet · Stand:
Passwort-Stärke: Wie lange dauert es, ein Passwort zu knacken?
Wie lange es dauert, ein Passwort durch Ausprobieren zu finden, hängt von Länge und Zeichenvorrat ab. Ein zufälliges Passwort aus 8 Zeichen mit Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen hat 6,1 · 10¹⁵ Möglichkeiten. Bei 10 Milliarden Versuchen pro Sekunde dauert es 7,1 Tage, alle durchzuprobieren. Mit 12 Zeichen sind es schon 1,5 Mio. Jahre.
Die Tabellen rechnen das für 6 bis 20 Zeichen und fünf Zeichenvorräte durch. Sie gelten für zufällig erzeugte Passwörter und einen Offline-Angriff. Selbst ausgedachte Passwörter fallen meist viel schneller.
- 8 Zeichen, alle Zeichenarten
- 52,4 Bit
- … bei 10 Mrd. Versuchen/s
- 7,1 Tage
- 12 Zeichen, alle Zeichenarten
- 1,5 Mio. Jahre
- BSI: langes Passwort
- mind. 25 Zeichen
| Länge (Zeichen) | Ziffern (10) | Kleinbuchstaben (26) | Groß + klein (52) | + Ziffern (62) | + Sonderzeichen (94) |
|---|---|---|---|---|---|
| 6 | unter 1 Sekunde | unter 1 Sekunde | 2,0 Sekunden | 5,7 Sekunden | 1,1 Minuten |
| 7 | unter 1 Sekunde | unter 1 Sekunde | 1,7 Minuten | 5,9 Minuten | 1,8 Stunden |
| 8 | unter 1 Sekunde | 21 Sekunden | 1,5 Stunden | 6,1 Stunden | 7,1 Tage |
| 9 | unter 1 Sekunde | 9,0 Minuten | 3,2 Tage | 16 Tage | 1,8 Jahre |
| 10 | 1,0 Sekunden | 3,9 Stunden | 167 Tage | 2,7 Jahre | 171 Jahre |
| 11 | 10 Sekunden | 4,2 Tage | 24 Jahre | 165 Jahre | 16 Tsd. Jahre |
| 12 | 1,7 Minuten | 110 Tage | 1,2 Tsd. Jahre | 10 Tsd. Jahre | 1,5 Mio. Jahre |
| 13 | 17 Minuten | 7,9 Jahre | 64 Tsd. Jahre | 634 Tsd. Jahre | 142 Mio. Jahre |
| 14 | 2,8 Stunden | 204 Jahre | 3,3 Mio. Jahre | 39 Mio. Jahre | 13 Mrd. Jahre |
| 15 | 1,2 Tage | 5,3 Tsd. Jahre | 174 Mio. Jahre | 2,4 Mrd. Jahre | 1,3 · 10¹² Jahre |
| 16 | 12 Tage | 138 Tsd. Jahre | 9,1 Mrd. Jahre | 151 Mrd. Jahre | 1,2 · 10¹⁴ Jahre |
| 17 | 116 Tage | 3,6 Mio. Jahre | 471 Mrd. Jahre | 9,4 · 10¹² Jahre | 1,1 · 10¹⁶ Jahre |
| 18 | 3,2 Jahre | 93 Mio. Jahre | 2,4 · 10¹³ Jahre | 5,8 · 10¹⁴ Jahre | 1,0 · 10¹⁸ Jahre |
| 19 | 32 Jahre | 2,4 Mrd. Jahre | 1,3 · 10¹⁵ Jahre | 3,6 · 10¹⁶ Jahre | 9,8 · 10¹⁹ Jahre |
| 20 | 317 Jahre | 63 Mrd. Jahre | 6,6 · 10¹⁶ Jahre | 2,2 · 10¹⁸ Jahre | 9,2 · 10²¹ Jahre |
unter 1 Jahr 1 bis 1.000 Jahre über 1.000 Jahre · Im Mittel ist ein Passwort nach der Hälfte der Zeit gefunden. Jahr = 365,25 Tage.
| Länge (Zeichen) | Ziffern (10) | Kleinbuchstaben (26) | Groß + klein (52) | + Ziffern (62) | + Sonderzeichen (94) |
|---|---|---|---|---|---|
| 6 | unter 1 Sekunde | unter 1 Sekunde | unter 1 Sekunde | unter 1 Sekunde | unter 1 Sekunde |
| 7 | unter 1 Sekunde | unter 1 Sekunde | 1,0 Sekunden | 3,5 Sekunden | 1,1 Minuten |
| 8 | unter 1 Sekunde | unter 1 Sekunde | 53 Sekunden | 3,6 Minuten | 1,7 Stunden |
| 9 | unter 1 Sekunde | 5,4 Sekunden | 46 Minuten | 3,8 Stunden | 6,6 Tage |
| 10 | unter 1 Sekunde | 2,4 Minuten | 1,7 Tage | 9,7 Tage | 1,7 Jahre |
| 11 | unter 1 Sekunde | 1,0 Stunden | 87 Tage | 1,6 Jahre | 160 Jahre |
| 12 | 1,0 Sekunden | 1,1 Tage | 12 Jahre | 102 Jahre | 15 Tsd. Jahre |
| 13 | 10 Sekunden | 29 Tage | 644 Jahre | 6,3 Tsd. Jahre | 1,4 Mio. Jahre |
| 14 | 1,7 Minuten | 2,0 Jahre | 33 Tsd. Jahre | 393 Tsd. Jahre | 133 Mio. Jahre |
| 15 | 17 Minuten | 53 Jahre | 1,7 Mio. Jahre | 24 Mio. Jahre | 13 Mrd. Jahre |
| 16 | 2,8 Stunden | 1,4 Tsd. Jahre | 91 Mio. Jahre | 1,5 Mrd. Jahre | 1,2 · 10¹² Jahre |
| 17 | 1,2 Tage | 36 Tsd. Jahre | 4,7 Mrd. Jahre | 94 Mrd. Jahre | 1,1 · 10¹⁴ Jahre |
| 18 | 12 Tage | 934 Tsd. Jahre | 245 Mrd. Jahre | 5,8 · 10¹² Jahre | 1,0 · 10¹⁶ Jahre |
| 19 | 116 Tage | 24 Mio. Jahre | 1,3 · 10¹³ Jahre | 3,6 · 10¹⁴ Jahre | 9,8 · 10¹⁷ Jahre |
| 20 | 3,2 Jahre | 631 Mio. Jahre | 6,6 · 10¹⁴ Jahre | 2,2 · 10¹⁶ Jahre | 9,2 · 10¹⁹ Jahre |
Hundertmal schneller als oben – für sehr große Rechenkapazität. Farben wie oben.
| Länge (Zeichen) | Ziffern (10) | Kleinbuchstaben (26) | Groß + klein (52) | + Ziffern (62) | + Sonderzeichen (94) |
|---|---|---|---|---|---|
| 6 | 19,9 | 28,2 | 34,2 | 35,7 | 39,3 |
| 7 | 23,3 | 32,9 | 39,9 | 41,7 | 45,9 |
| 8 | 26,6 | 37,6 | 45,6 | 47,6 | 52,4 |
| 9 | 29,9 | 42,3 | 51,3 | 53,6 | 59,0 |
| 10 | 33,2 | 47,0 | 57,0 | 59,5 | 65,5 |
| 11 | 36,5 | 51,7 | 62,7 | 65,5 | 72,1 |
| 12 | 39,9 | 56,4 | 68,4 | 71,5 | 78,7 |
| 13 | 43,2 | 61,1 | 74,1 | 77,4 | 85,2 |
| 14 | 46,5 | 65,8 | 79,8 | 83,4 | 91,8 |
| 15 | 49,8 | 70,5 | 85,5 | 89,3 | 98,3 |
| 16 | 53,2 | 75,2 | 91,2 | 95,3 | 104,9 |
| 17 | 56,5 | 79,9 | 96,9 | 101,2 | 111,4 |
| 18 | 59,8 | 84,6 | 102,6 | 107,2 | 118,0 |
| 19 | 63,1 | 89,3 | 108,3 | 113,1 | 124,5 |
| 20 | 66,4 | 94,0 | 114,0 | 119,1 | 131,1 |
Entropie = Länge × log2(Zeichenvorrat). Jedes zusätzliche Bit verdoppelt die Zahl der Kombinationen.
Waagerecht die Länge in Zeichen. Die Linien steigen gleichmäßig: Jedes Zeichen mehr bringt so viele Bit, wie ein einzelnes Zeichen des Vorrats trägt.
| Länge (Zeichen) | Ziffern (10) | Kleinbuchstaben (26) | Groß + klein (52) | + Ziffern (62) | + Sonderzeichen (94) |
|---|---|---|---|---|---|
| 6 | 1.000.000 | 308.915.776 | 2,0 · 10¹⁰ | 5,7 · 10¹⁰ | 6,9 · 10¹¹ |
| 7 | 10.000.000 | 8,0 · 10⁹ | 1,0 · 10¹² | 3,5 · 10¹² | 6,5 · 10¹³ |
| 8 | 100.000.000 | 2,1 · 10¹¹ | 5,3 · 10¹³ | 2,2 · 10¹⁴ | 6,1 · 10¹⁵ |
| 9 | 1,0 · 10⁹ | 5,4 · 10¹² | 2,8 · 10¹⁵ | 1,4 · 10¹⁶ | 5,7 · 10¹⁷ |
| 10 | 1,0 · 10¹⁰ | 1,4 · 10¹⁴ | 1,4 · 10¹⁷ | 8,4 · 10¹⁷ | 5,4 · 10¹⁹ |
| 11 | 1,0 · 10¹¹ | 3,7 · 10¹⁵ | 7,5 · 10¹⁸ | 5,2 · 10¹⁹ | 5,1 · 10²¹ |
| 12 | 1,0 · 10¹² | 9,5 · 10¹⁶ | 3,9 · 10²⁰ | 3,2 · 10²¹ | 4,8 · 10²³ |
| 13 | 1,0 · 10¹³ | 2,5 · 10¹⁸ | 2,0 · 10²² | 2,0 · 10²³ | 4,5 · 10²⁵ |
| 14 | 1,0 · 10¹⁴ | 6,5 · 10¹⁹ | 1,1 · 10²⁴ | 1,2 · 10²⁵ | 4,2 · 10²⁷ |
| 15 | 1,0 · 10¹⁵ | 1,7 · 10²¹ | 5,5 · 10²⁵ | 7,7 · 10²⁶ | 4,0 · 10²⁹ |
| 16 | 1,0 · 10¹⁶ | 4,4 · 10²² | 2,9 · 10²⁷ | 4,8 · 10²⁸ | 3,7 · 10³¹ |
| 17 | 1,0 · 10¹⁷ | 1,1 · 10²⁴ | 1,5 · 10²⁹ | 3,0 · 10³⁰ | 3,5 · 10³³ |
| 18 | 1,0 · 10¹⁸ | 2,9 · 10²⁵ | 7,7 · 10³⁰ | 1,8 · 10³² | 3,3 · 10³⁵ |
| 19 | 1,0 · 10¹⁹ | 7,7 · 10²⁶ | 4,0 · 10³² | 1,1 · 10³⁴ | 3,1 · 10³⁷ |
| 20 | 1,0 · 10²⁰ | 2,0 · 10²⁸ | 2,1 · 10³⁴ | 7,0 · 10³⁵ | 2,9 · 10³⁹ |
Kombinationen = Zeichenvorrat hoch Länge. Ab einer Milliarde als Zehnerpotenz.
| Zeichenvorrat | Zeichen | Bit je Zeichen | Länge für 60 Bit | Länge für 80 Bit | Länge für 128 Bit |
|---|---|---|---|---|---|
| Nur Ziffern | 10 | 3,32 | 19 | 25 | 39 |
| Kleinbuchstaben | 26 | 4,70 | 13 | 18 | 28 |
| Groß- und Kleinbuchstaben | 52 | 5,70 | 11 | 15 | 23 |
| Buchstaben und Ziffern | 62 | 5,95 | 11 | 14 | 22 |
| Alle druckbaren ASCII-Zeichen | 94 | 6,55 | 10 | 13 | 20 |
Sonderzeichen: die 32 druckbaren ASCII-Zeichen, die weder Buchstabe noch Ziffer sind (ohne Leerzeichen). Umlaute und ß bleiben außen vor, weil sie auf ausländischen Tastaturen fehlen.
Der größte Zeichenvorrat spart gegenüber reinen Kleinbuchstaben nur 5 Zeichen.
So liest Du die Tabellen
Jede Zeile steht für eine Passwortlänge, jede Spalte für einen Zeichenvorrat: nur Ziffern wie bei einer PIN, nur Kleinbuchstaben, Groß- und Kleinbuchstaben, zusätzlich Ziffern und schließlich alle 94 druckbaren ASCII-Zeichen mit 32 Sonderzeichen. Die Zelle zeigt, wie lange das Durchprobieren aller Kombinationen dauert.
Angenommen ist ein Offline-Angriff: Jemand hat eine Datenbank mit gespeicherten Passwort-Prüfwerten (Hashes) erbeutet und rechnet auf eigener Hardware. Die erste Tabelle geht von 10 Milliarden Versuchen pro Sekunde aus, die zweite von einer Billion. Grün heißt: Selbst mit tausendmal schnellerer Technik bräuchte der Angreifer noch über ein Jahr.
So wird gerechnet
Kombinationen = Zeichenvorrat ^ Länge
Entropie in Bit = Länge × log₂(Zeichenvorrat)
Zeit = Kombinationen ÷ Versuche pro Sekunde
Ein Beispiel mit 10 Zeichen aus Buchstaben und Ziffern: 62^10 ergibt 8,4 · 10¹⁷ Kombinationen oder 59,5 Bit. Bei 10 Milliarden Versuchen pro Sekunde dauert das vollständige Durchprobieren 2,7 Jahre. Jedes weitere Zeichen multipliziert die Zeit mit dem Zeichenvorrat, hier also mit 62.
Länge schlägt Komplexität
Sonderzeichen helfen weniger, als viele denken. Ergänzt Du ein 12-stelliges Passwort aus Buchstaben und Ziffern um Sonderzeichen, gewinnst Du 7,2 Bit. Hängst Du stattdessen zwei weitere Zeichen an, sind es 11,9 Bit. Das zweite Diagramm zeigt denselben Effekt: Für 80 Bit brauchst Du 18 Kleinbuchstaben oder 13 Zeichen aus dem vollen Vorrat.
Das BSI beschreibt deshalb zwei gleichwertige Wege: ein kurzes, komplexes Passwort mit 8 bis 12 Zeichen aus vier Zeichenarten oder ein langes, einfacheres Passwort. Für Letzteres nennt es mindestens 25 Zeichen; als sicheres Beispiel führt es 20 bis 25 Zeichen aus zwei Zeichenarten an, etwa eine Folge von Wörtern. Für WLAN-Schlüssel empfiehlt es mindestens 20 Zeichen, weil hier Offline-Angriffe möglich sind.
Warum echte Passwörter schneller fallen
Die Tabellen setzen voraus, dass jedes Zeichen zufällig gewählt ist. Menschen wählen aber nicht zufällig: Wörter, Namen, Jahreszahlen, Tastaturmuster wie „qwertz“ und ein angehängtes Ausrufezeichen. Angreifer probieren solche Muster und Listen bereits veröffentlichter Passwörter zuerst. „Sommer2024!“ hat 11 Zeichen aus vier Zeichenarten und fällt trotzdem in kurzer Zeit.
Umgekehrt sind zufällig gewählte Wörter stark, obwohl sie im Wörterbuch stehen. Entscheidend ist die Größe der Liste: Bei 7.776 Wörtern – so viele lassen sich mit fünf Würfelwürfen auswählen – bringt jedes Wort 12,9 Bit, sechs Wörter also 77,5 Bit. Und die Rechnung ist auch nach oben unsicher: Langsame Hash-Verfahren bremsen Angreifer um Größenordnungen, bei Online-Angriffen begrenzen Sperren und Wartezeiten die Versuche.
Was das BSI empfiehlt
- Ein Passwort je Zugang: Wird ein Dienst gehackt, probieren Angreifer die Daten automatisch bei anderen Diensten aus.
- Passwortmanager: Er speichert alle Passwörter verschlüsselt und erzeugt auf Wunsch zufällige. Merken musst Du Dir nur ein starkes Master-Passwort.
- Zwei-Faktor-Authentisierung überall einschalten, wo sie angeboten wird – besonders bei E-Mail, Banking und Shops.
- Ändern bei Anlass: wenn ein Anbieter Daten verloren hat, Phishing-Mails Deine echten Daten nennen oder Schadsoftware auf dem Gerät war – nicht nach festem Rhythmus.
Wie Du Sonderzeichen auf der deutschen Tastatur erreichst, zeigt die Seite Tastenkombinationen; die 94 druckbaren Zeichen findest Du in der ASCII-Tabelle (Codes 33 bis 126).