Wie stark ein Passwort sein muss

Für ein Konto, dessen Verlust dich stören würde, nimm ein zufällig erzeugtes Passwort mit mindestens 16 Zeichen oder eine Passphrase aus mindestens 5 zufällig gewählten Wörtern, und benutze es auf genau einer Website. Das sind 65 bis 95 Bit Entropie, mit reichlich Abstand jenseits von Brute Force, und der Teil „eine Website“ zählt mehr als die Stärke. Unten steht die Begründung für diese Zahlen.

Entropie in Bit

Entropie misst als Zweierpotenz, aus wie vielen gleich wahrscheinlichen Möglichkeiten das Passwort gezogen wurde. 40 Bit Entropie bedeutet eine von 2^40 Möglichkeiten, etwa eine Billion, und jedes zusätzliche Bit verdoppelt den Aufwand, es zu erraten. Die Formel lautet Bit = Länge x log2(Größe des Zeichensatzes), Kleinbuchstaben sind also je 4,7 Bit wert, Buchstaben und Ziffern 5,95, das gesamte druckbare ASCII 6,57 und ein Wort aus einer Liste mit 7.776 Wörtern 12,9:

Diese Rechnung gilt nur, wenn das Passwort aus einem tatsächlich zufälligen Prozess stammt. Tr0ub4dor&3 sind 11 Zeichen aus einem Satz von 95 Zeichen, was die Formel mit 72 Bit bewertet, aber es ist ein Wörterbuchwort mit vorhersehbaren Ersetzungen, und ein Cracking-Werkzeug erreicht es weit früher. Entropie beschreibt den Generator, nicht die Zeichenkette.

Was die Bits dir einbringen

Die Rategeschwindigkeit hängt davon ab, wie die Website das Passwort gespeichert hat. Gegen ein laufendes Anmeldeformular mit Ratenbegrenzung bekommt ein Angreifer ein paar Versuche pro Stunde. Gegen eine gestohlene Datenbank hängt es vom Hash ab: Ein schneller wie MD5 oder SHA-1 lässt sich auf handelsüblicher Grafikhardware mit enormen Raten durchprobieren, während ein eigens für Passwörter gebauter Hash wie bcrypt oder Argon2 um viele Größenordnungen langsamer ist.

Unten steht der schlimmste Fall, ein schneller Hash ohne Salt bei angenommenen zehn Milliarden Rateversuchen pro Sekunde. Er zeigt, wie scharf sich die Kurve biegt, und ist keine Messung:

Im Mittel hat ein Angreifer nach der Hälfte dieser Zeit Erfolg. Praktisch gelesen: Unter 50 Bit ist gegen einen Offline-Angriff nicht viel wert, 60 bis 70 Bit reichen für die meisten Dinge, und ab 80 Bit bleibt es bequem.

Länge schlägt Zeichensalat

Nimm ein 12 Zeichen langes Passwort aus Buchstaben und Ziffern (71 Bit). Satzzeichen hinzuzunehmen und den Satz von 62 auf 95 Zeichen zu erweitern bringt dich auf 79 Bit. Stattdessen zwei weitere Buchstaben oder Ziffern anzuhängen bringt dich auf 83. Jedes zusätzliche Zeichen multipliziert den Suchraum mit dem gesamten Alphabet, während ein breiteres Alphabet nur etwa 0,6 Bit je bereits vorhandenem Zeichen hinzufügt. Die Länge gewinnt, und sie gewinnt weiter.

Zusammensetzungsregeln („muss einen Großbuchstaben, eine Ziffer und ein Sonderzeichen enthalten“) drängen Menschen in eine schmale Menge von Mustern: Großbuchstabe vorn, Ziffer und Ausrufezeichen hinten. Cracking-Werkzeuge probieren genau diese Umformungen zuerst. Das ist einer der Gründe, warum die Richtlinien des NIST zur digitalen Identität von Zusammensetzungsregeln und erzwungenen regelmäßigen Wechseln abgerückt sind, zugunsten von Länge und einem Abgleich mit Listen bekannter geleakter Passwörter.

Wiederverwendung ist das eigentliche Risiko

Fast niemandem wird ein Konto per Brute Force geknackt. Was passiert, ist Credential Stuffing: Eine schwache Website wird kompromittiert, die Paare aus E-Mail-Adresse und Passwort werden veröffentlicht, und automatisierte Werkzeuge probieren jedes Paar bei Hunderten anderer Dienste durch. Wenn du für deine E-Mail dasselbe Passwort benutzt hast wie für das kompromittierte Forum, ist dessen Stärke unerheblich. Es wurde ausgehändigt, nicht erraten.

Phishing funktioniert genauso: Ein 30 Zeichen langes Passwort, das auf einer überzeugenden gefälschten Anmeldeseite eingetippt wird, ist genau so viel wert wie password1. Also, in der Reihenfolge dessen, was zählt:

1. Ein anderes Passwort auf jeder Website.
2. Zwei-Faktor-Authentifizierung bei allem Wichtigen, vor allem bei deiner E-Mail, denn das ist der Weg zum Zurücksetzen für alles andere.
3. Genug Länge, damit Offline-Cracking aussichtslos ist.

Passphrasen

Eine Passphrase besteht aus mehreren Wörtern, die zufällig aus einer Liste gezogen werden, zum Beispiel harvest-cobalt-mural-drift-plinth. Bei 12,9 Bit pro Wort sind fünf Wörter 65 Bit und sechs sind 78.

Zwei Bedingungen lassen das funktionieren. Die Wörter müssen zufällig gewählt werden, per Würfel oder per Software, nicht von dir ausgesucht. Und die Stärke kommt aus der Zahl der Wörter, nicht aus dem Trennzeichen oder daraus, dass ein Buchstabe großgeschrieben wird: Eine Liedzeile oder ein Zitat hat fast keine Entropie, weil sie aus einem kleinen Vorrat dessen stammt, was Menschen so sagen.

Passphrasen lohnen sich für die wenigen Passwörter, die du aus dem Gedächtnis tippst: die Anmeldung an deinem Gerät, das Hauptpasswort deines Managers, deine Festplattenverschlüsselung.

Wo ein Passwortmanager hineinpasst

Ein Passwortmanager macht aus „erfinde und merke dir 200 eindeutige Passwörter“ ein „merke dir eine lange Passphrase“. Er erzeugt Zeichenketten mit hoher Entropie und füllt sie auf der richtigen Domain ein, was Phishing die Spitze nimmt, weil er auf einer täuschend ähnlichen Adresse nicht automatisch ausfüllt.

Er bündelt Risiko, was ein echter Einwand und trotzdem der bessere Handel ist: Ein Tresor hinter einer langen Passphrase und einem zweiten Faktor schlägt ein Passwort, das über Dutzende Websites unbekannter Qualität verteilt ist.

Eine Anmerkung zum Hashing

Hashing ist die andere Seite der Anmeldung. Ein gut gebauter Dienst speichert einen gesalzenen Hash aus einem absichtlich langsamen Algorithmus, nie das Passwort selbst, damit ein Leak nicht sofort Klartext ergibt. Allzweckhashes wie SHA-256 sind auf Geschwindigkeit gebaut, was sie für Dateiprüfsummen hervorragend und zum Speichern von Passwörtern zu einer schlechten Wahl macht. Dein eigenes Passwort zu hashen, um es „stärker zu machen“, bringt nichts: Das Ergebnis ist nur so schwer erratbar wie die Eingabe.