Rechner für Passwort-Kombinationen

Die Anzahl der Passwort-Kombinationen beschreibt den theoretischen Suchraum, wenn jede Position jedes Zeichen aus einer festen Menge enthalten darf. Hat ein Passwort L Positionen und sind an jeder C Zeichen erlaubt, beträgt die Zahl unterschiedlicher Zeichenfolgen C hoch L. Eine sechsstellige PIN hat daher 10⁶, also eine Million mögliche Werte, sofern führende Nullen zulässig sind. Ein Passwort aus acht Kleinbuchstaben hat 26⁸ mögliche Zeichenfolgen. Der Rechner wandelt den Suchraum außerdem durch den Logarithmus zur Basis zwei in Entropie-Bits um. Ein Bit verdoppelt die Zahl der Möglichkeiten. Das ist theoretische Entropie: Sie setzt eine unabhängige, gleichverteilte Auswahl aus dem gesamten Raum voraus. Menschlich erstellte Passwörter erfüllen diese Annahme selten. Häufige Wörter, Tastaturmuster, Namen, Ersetzungen und wiederverwendete Zugangsdaten konzentrieren die Auswahl auf einen viel kleineren effektiven Suchraum. Ein Passwortmanager mit zufälliger Zeichenerzeugung kommt dem Schätzwert eher nahe. Die Zeichensatzgröße sollte die tatsächlich an jeder Position verfügbaren Zeichen abbilden. Dezimalziffern bieten 10 Möglichkeiten, englische Kleinbuchstaben 26, Groß- und Kleinbuchstaben mit Ziffern 62, und der übliche druckbare ASCII-Bereich enthält 94 Zeichen. Verlangt eine Richtlinie ein Symbol oder verbietet bestimmte Zeichen an manchen Positionen, zählt die einfache Potenzformel den eingeschränkten Raum nicht exakt. Bei Passphrasen aus einer Wortliste ist entsprechend die Listengröße die Zahl der Möglichkeiten und die Zahl unabhängig ausgewählter Wörter die Länge. Eine große Kombinationszahl sagt nicht direkt, wie lange ein Angreifer braucht. Die Rate der Versuche hängt stark von Passwort-Hashing, Hardware, Ratenbegrenzungen, Kontosperren und davon ab, ob online oder gegen einen gestohlenen Hash angegriffen wird. Angreifer prüfen zudem wahrscheinliche menschliche Muster zuerst, nicht in zufälliger Reihenfolge. Nutzen Sie das Ergebnis zum Vergleich idealisierter Suchräume, nicht als Garantie einer bestimmten Knackdauer. Erzeugen Sie für praktische Sicherheit einzigartige Zufallspasswörter, verwenden Sie Mehrfaktor-Authentifizierung und speichern Sie Passwörter nur mit einem modernen, gesalzenen Passwort-Hashverfahren.