Passwortstärke-Checker
Finde genau heraus, wie knackbar dein Passwort ist — Entropiewertung, Schätzung der Knackzeit und Aufschlüsselung der Zeichen. 100% privat, in deinem Browser.
Zeichenanalyse
Verbessern
Alles passiert in deinem Browser — das getestete Passwort wird nie gesendet, protokolliert oder gespeichert. Die Schätzungen gehen von einem Angreifer mit 1 Billion Versuchen pro Sekunde aus (Offline-Angriff) und zählen deine tatsächliche Zeichenvielfalt.
Was der Checker misst
Echte Passwortstärke kommt von Entropie — der Größe des Raums, den ein Angreifer durchsuchen muss. Wir schätzen sie anhand der tatsächlichen Länge deines Passworts und der verwendeten Zeichenklassen und ziehen dann Punkte für Muster ab, zu denen Menschen neigen: wiederholte Zeichen, aufeinanderfolgende Tastaturreihen und bekannte, häufige Passwörter.
Die Schätzung der Knackzeit geht von einem Offline-Angriff mit einer Billion Versuchen pro Sekunde aus — ungefähr das, was ein gut ausgestatteter Krimineller oder Nachrichtendienst gegen einen geleakten Hash tun kann. Wenn dein Passwort dort „Ausgezeichnet“ abschneidet, wird es auch ein Website-Anmeldeformular mit Rate-Limiting nicht zulassen, dass es per Brute Force geknackt wird.
Warum „Aber ich habe a durch @ ersetzt“ nicht zählt
Regelbasierte Cracking-Tools versuchen Leetspeak-Ersetzungen als Allererstes. „P@ssw0rd!“ ist die erste Milliarde Versuche auf der Erde, nicht die letzte. Zufälligkeit — nicht clevere Ersetzungen — schlägt Automatisierung. Der Checker belohnt echte Vielfalt und bestraft vorhersehbare Tricks entsprechend.
Was du bei einer schwachen Wertung tun kannst
Generiere ein frisches Zufallspasswort mit unserem Zufallspasswortgenerator, speichere es in einem Passwortmanager und sichere dein wichtigstes Konto zuerst — in der Regel dein E-Mail-Konto, denn es setzt alles andere zurück.
Vertiefung
Wie stark ist mein Passwort? — was die Wertung tatsächlich bedeutet
Jeder fragt „wie stark ist mein Passwort?“, und fast niemand bekommt eine gerade Antwort. Ein Passwortstärke-Checker nimmt das Raten daraus. Unser kostenloser Passwortstärke-Test läuft vollständig in deinem Browser: Füge ein Passwort ein, und das Tool schätzt seine Entropie in Bits, zieht Punkte für menschliche Muster ab — Wörterbuchwörter, Tastaturmuster, Wiederholungen, vorhersehbare Ersetzungen — und übersetzt das Ergebnis in eine Schätzung der Knackzeit bei einer Billion Versuchen pro Sekunde. Nichts, was du einfügst, verlässt jemals dein Gerät, denn ein Passwort auf dem Server eines anderen zu prüfen, hebt den ganzen Sinn auf.
Passwortstärke-Checker vs. Passwortstärke-Test — gibt es einen Unterschied?
Keinen nennenswerten. Menschen suchen nach „Passwortstärke-Checker“, „wie sicher ist mein Passwort“, „Passwortstärke-Test“ und „Passwortstärke-Meter“ — und meinen damit exakt dasselbe Ergebnis: ein Urteil darüber, ob ihr aktuelles Passwort einen Angriff auf geleakte Hashes überlebt. Diese Seite deckt all das ab — Entropie, Zeichenanalyse, Knackzeit und einen Weg zur Behebung. Jeder Passwort-Analyzer auf dieser Seite nutzt dieselbe lokale Engine, also sind deine Ergebnisse identisch, egal welche Formulierung dich hierher geführt hat, und nichts wird übertragen, protokolliert oder gespeichert.
Warum dein Passwort schlechter abschneidet, als du erwartest
Regelbasierte Cracker arbeiten zuerst Mangling-Listen ab: großgeschriebene Wörterbuchwörter, Leetspeak-Ersetzungen, nachgestellte Ziffern, Tastaturstreifzüge. „Summer2026!“ sieht für einen Menschen stark aus und schneidet miserabel ab, weil jeder dieser Schritte das Allererste ist, was Automatisierung versucht. Der Checker bestraft genau diese Züge — deshalb übertreffen ehrliche Zufallspasswörter clevere menschliche um den Faktor Tausend. Wenn dich deine Wertung enttäuscht, glaub ihr: Komplexität, die du erklären kannst, ist Komplexität, die Angreifer vorhersagen können.
Die Lösung ist immer dieselbe. Generiere ein frisches, zufälliges Passwort mit unserem Zufallspasswortgenerator (oder eine merkbare Passphrase, wenn du sie von Hand eintippen musst), speichere es in einem Passwortmanager und beginne mit dem Konto, das alles andere zurücksetzt — deiner E-Mail. Aktiviere dann überall die Zwei-Faktor-Authentifizierung, wo sie angeboten wird. Teste kritische Passwörter hier regelmäßig, besonders nach einem Breach, von dem du in den Nachrichten hörst.
Realitätscheck — wie schnell Passwörter tatsächlich fallen
Größenordnungen zählen mehr als präzise Schätzungen. Ein geleaktes 8-stelliges rein kleingeschriebenes Passwort fällt gegen schnelles Hashing in Tagen bis Minuten; ein zufälliges 10-stelliges gemischtes Passwort mag Jahrzehnte bis Jahrhunderte halten; ein zufälliges 16-stelliges gemischtes Passwort fällt in keinem sinnvollen Sinne. Häufige Muster — selbst exotisch aussehende wie Qwerty123! — fallen augenblicklich, unabhängig davon, was Entropie-Rechner nahelegen, weil regelbasierte Cracker Manglings von Wörterbuchwörtern vor allem anderen versuchen. Die Abzüge des Checkers spiegeln genau diese Lücke zwischen dem wider, was stark aussieht, und dem, was stark ist.
Genau deshalb ist das einzige Passwort, das sich lohnt, eines, das du nicht miterfunden hast. Nutze diese Seite als Tor vor dem Speichern von Passwörtern in deinem Manager: Wenn ein Kandidat „Stark“ oder besser abschneidet, speichere ihn überall, wo er gebraucht wird; wenn nicht, generiere neu mit dem Zufallspasswortgenerator, oder erhöhe die Länge bei 20 Zeichen für die Kronjuwelen. Zehn Sekunden hier ersparen die forensische Albtraum-Version derselben Geschichte.
Drei Mythen über Passwortstärke, zerlegt
Mythos eins: Sonderzeichen machen ein Passwort stark. Sie helfen, aber Länge und Zufälligkeit dominieren — eine 16-stellige rein kleingeschriebene Zufallszeichenkette (~75 Bits) schlägt ein 8-stelliges Sonderzeichen-Gewirr (~52 Bits) jedes Mal. Mythos zwei: Dein Passwort jährlich zu ändern hält dich sicher. Rotation ohne Breach trainiert die Leute nur zu vorhersehbaren Schritten (Spring2026 → Summer2026); rotiere bei Verdacht, nicht nach Kalender. Mythos drei: Im Browser gespeicherte Passwörter sind dasselbe wie in einem Manager gespeicherte. Sie sind nah dran, aber ein dedizierter Manager ergänzt browserübergreifende Synchronisation, Wiederverwendungsberichte und Breach-Warnungen, die eine einfache Browserverwaltung nicht hat — nimm eines von beidem, niemals einen Zettel.
Worauf du abzielen solltest
Betrachte 80+ Bits als Untergrenze für alles, was zählt, und 100+ Bits als Ziel — ein 16-stelliges gemischtes Zufallspasswort liefert allein ~95 Bits. Wenn ein Passwort unter der Annahme einer Billion Versuchen pro Sekunde „Ausgezeichnet“ abschneidet, wird es kein Online-Dienst brute-forcen, und Angriffe auf geleakte Hashes werden für Angreifer wirtschaftlich sinnlos. Alles unter „Stark“ verdient eine sofortige Rotation: führe es durch den starken Passwortgenerator, nicht durch einen weiteren cleveren Tweak.