About Password Security
Why Password Strength Matters
Passwords remain the primary method of authentication for most online services. A weak password can be cracked in seconds using modern hardware, potentially exposing your personal data, financial information, and identity. Understanding password security fundamentals is essential for protecting yourself in the digital age.
What Makes a Password Strong
A strong password has four key characteristics: length, complexity, unpredictability, and uniqueness. Length is the most important factor. A 16-character password using only lowercase letters has 26^16 possible combinations, which is about 4.4 times 10^22. Adding uppercase, numbers, and symbols dramatically increases the possible combinations and the time required to crack the password through brute force.
Understanding Entropy
Password entropy measures the randomness or unpredictability of a password in bits. It is calculated as the log2 of the number of possible combinations. A password with 40 bits of entropy has 2^40 or about 1 trillion possible combinations. Security experts recommend at least 60 bits of entropy for strong passwords and 80 bits or more for highly sensitive accounts. Each additional character adds approximately 1.3 to 6.6 bits depending on the character set used.
Common Password Attacks
Brute force attacks try every possible combination systematically. Dictionary attacks use common words and phrases. Credential stuffing uses leaked passwords from other breaches. Phishing tricks users into revealing passwords voluntarily. Rainbow table attacks use precomputed hash tables. Each attack type has different countermeasures, but strong unique passwords protect against all automated cracking methods.
Best Practices for Password Management
Use a different password for every account to prevent credential stuffing attacks. Use a password manager to generate and store complex passwords securely. Enable two-factor authentication wherever possible as an additional layer of security. Never share passwords via email or messaging. Change passwords immediately if a service you use reports a data breach. Consider passkeys as a modern alternative to traditional passwords.
Sichere Passwörter und Kryptographie
Die Sicherheit eines Passworts wird durch seine Entropie (Unvorhersehbarkeit) bestimmt. Ein 12-stelliges Passwort aus Großbuchstaben, Kleinbuchstaben, Ziffern und Sonderzeichen hat 72¹² ≈ 1,9 × 10²² mögliche Kombinationen — bei 1 Milliarde Versuchen pro Sekunde dauerte das exhaustive Durchprobieren über 600 Jahre. Ein reines 8-stelliges Kleinschreibpasswort hat nur 26⁸ ≈ 209 Milliarden Kombinationen und ist in wenigen Minuten geknackt.
Passwortmanager wie Bitwarden, 1Password und KeePass generieren und speichern sichere Passwörter für jeden Account. Das NIST empfiehlt Mindestlängen von 8 Zeichen für Benutzerpasswörter und 15+ Zeichen für privilegierte Accounts. Die„Have I Been Pwned"-Datenbank enthält über 12 Milliarden kompromittierte Passwörter und ermöglicht die Überprüfung, ob das eigene Passwort bereits in einem Datenleck aufgetaucht ist.
Mehr-Faktor-Authentifizierung
Passwörter allein reichen als Schutz nicht mehr aus. Die Mehr-Faktor-Authentifizierung (MFA) kombiniert etwas, das man weiß (Passwort), mit etwas, das man hat (Smartphone, Sicherheitsschlüssel) oder etwas, das man ist (Fingerabdruck, Gesichtserkennung). FIDO2-Sicherheitsschlüssel wie YubiKey bieten phishing-resistente Authentifizierung und gelten als Goldstandard. Unser Generator erstellt kryptographisch sichere Passwörter mit einstellbarer Länge und Zeichensatz.
Sichere Passwörter erstellen
Ein sicheres Passwort ist die erste Verteidigungslinie gegen unbefugten Zugriff. Die Entropie eines Passworts, gemessen in Bits, bestimmt seine Stärke. Ein Passwort aus 12 zufälligen Zeichen aus dem vollständigen ASCII-Zeichensatz bietet etwa 79 Bits an Entropie und gilt als stark. Die Entropie berechnet sich als Länge × log₂(Zeichensatzgröße). Ein 8-stelliges Passwort nur aus Kleinbuchstaben bietet nur etwa 37,6 Bits und kann in Sekunden geknackt werden.
Häufige Angriffsmethoden
Brute-Force-Angriffe testen systematisch alle möglichen Zeichenkombinationen. Dictionary-Angriffe verwenden Wortlisten aus häufig verwendeten Passwörtern und Mustern. Rainbow-Table-Angriffe nutzen vorberechnete Hash-Tabellen, um Passworthashes schnell zuzuordnen. Credential-Stuffing verwendet geleakte Zugangsdaten von einer Website, um Konten auf anderen Plattformen zu kompromittieren. Jede Methode hat unterschiedliche Voraussetzungen und Erfolgsquoten.
Passwort-Manager und Best Practices
Passwort-Manager generieren und speichern eindeutige, komplexe Passwörter für jedes Konto. Sie verschlüsseln die Datenbank mit einem Master-Passwort und eliminieren die Notwendigkeit, sich mehrere Passwörter zu merken. Beliebte Optionen sind Bitwarden, 1Password und KeePass. Best Practices umfassen die Verwendung eindeutiger Passwörter pro Konto, die Aktivierung der Zwei-Faktor-Authentifizierung und regelmäßige Überprüfung auf Datenlecks.
Passworthashing und Speicherung
Passwörter sollten niemals im Klartext gespeichert werden. Stattdessen werden kryptographische Hash-Funktionen wie bcrypt, scrypt oder Argon2 verwendet, die speziell für die Passwortspeicherung entwickelt wurden. Diese Funktionen sind rechenintensiv und erschweren Brute-Force-Angriffe erheblich. Ein Salt, ein zufälliger Wert pro Passwort, verhindert Rainbow-Table-Angriffe. Moderne Systeme verwenden Pepper als zusätzlichen geheimen Schlüssel.
Zwei-Faktor-Authentifizierung
Die Zwei-Faktor-Authentifizierung (2FA) fügt eine zusätzliche Sicherheitsebene hinzu, indem sie neben dem Passwort einen zweiten Faktor verlangt. Dieser kann ein temporärer Code aus einer Authenticator-App, ein per SMS empfangener Code, ein Hardware-Schlüssel oder ein biometrisches Merkmal sein. TOTP-basierte Verfahren nach RFC 6238 sind der verbreitetste Standard und bieten einen guten Kompromiss aus Sicherheit und Benutzerfreundlichkeit.