Passwort-Entropie: Die echte Mathematik, warum Länge Komplexität schlägt
Passwort-Ratschläge hängen seit zwei Jahrzehnten an irgendeiner Version von „nutze Großbuchstaben, Kleinbuchstaben, eine Zahl und ein Symbol”. Die Mathematik sagt, dass das größtenteils falsch ist — zumindest grob falsch priorisiert. Die Stärke eines zufällig erzeugten Passworts wird von einer einzigen Formel bestimmt, und diese Formel belohnt die Länge weit aggressiver als die Vergrößerung des Zeichensatzes. Das ist, nicht zufällig, genau das, was NIST seit SP 800-63B (2017, überarbeitet 2024) sagt.
Dieser Artikel geht die tatsächliche Mathematik durch, berechnet reale Entropie-Werte, gibt Brute-Force-Schätzungen mit explizit formulierten Annahmen und übersetzt das in Regeln, die du anwenden kannst.
Die Entropie-Formel
Für ein Passwort, das gleichverteilt zufällig aus einem Zeichen-Pool der Größe P mit Länge L gezogen wird, ist die Anzahl der möglichen Passwörter P^L, und die Entropie in Bits ist:
H = log2(P^L) = L × log2(P)Das ist das gesamte Modell. Entropie misst die Größe des Suchraums, den ein Angreifer enumerieren muss. Jedes zusätzliche Bit verdoppelt den Aufwand.
Die beiden Hebel sind P (Pool-Größe) und L (Länge), und sie sind nicht gleichwertig. Ein zusätzliches Zeichen multipliziert den Suchraum mit P; eine Vergrößerung des Pools multipliziert ihn mit einem Verhältnis. Hier sind die relevanten Pools und ihre Entropie-Beiträge pro Zeichen:
| Zeichen-Pool | Größe (P) | Bits pro Zeichen, log2(P) |
|---|---|---|
Nur Ziffern (0–9) | 10 | 3.32 |
Nur Kleinbuchstaben (a–z) | 26 | 4.70 |
Klein- + Großbuchstaben (a–zA–Z) | 52 | 5.70 |
Alphanumerisch (a–zA–Z0–9) | 62 | 5.95 |
| Vollständiges druckbares ASCII (94 Zeichen inkl. Symbole) | 94 | 6.55 |
Beachte die abnehmenden Erträge bei der Pool-Vergrößerung: von nur Kleinbuchstaben (26) zum vollständigen druckbaren Zeichensatz (94) wird der Pool fast vervierfacht, aber die Entropie pro Zeichen steigt nur von 4.70 auf 6.55 Bits — ein Zuwachs von 39 % pro Zeichen. Von 8 auf 16 Zeichen verdoppelt die Entropie bei jeder Pool-Größe exakt. Länge skaliert linear ohne Obergrenze; die Pool-Größe ist auf einer Standardtastatur auf ~94 begrenzt.
Tatsächliche Entropie-Werte, berechnet
Anwendung von H = L × log2(P):
Vollständiger druckbarer ASCII-Pool (94 Zeichen):
| Länge | Entropie (Bits) | Suchraum |
|---|---|---|
| 8 | 52.4 | ~6.1 × 10^15 |
| 10 | 65.5 | ~4.4 × 10^19 |
| 12 | 78.7 | ~4.8 × 10^23 |
| 14 | 91.8 | ~5.1 × 10^27 |
| 16 | 104.9 | ~3.7 × 10^31 |
| 20 | 131.1 | ~2.9 × 10^39 |
Nur Kleinbuchstaben-Pool (26 Zeichen):
| Länge | Entropie (Bits) |
|---|---|
| 8 | 37.6 |
| 12 | 56.4 |
| 16 | 75.2 |
| 20 | 94.0 |
Alphanumerischer Pool (62 Zeichen):
| Länge | Entropie (Bits) |
|---|---|
| 8 | 47.6 |
| 12 | 71.5 |
| 16 | 95.3 |
| 20 | 119.1 |
Nun der Vergleich, der die Sache auf den Punkt bringt. Betrachte diese drei Passwörter, alles plausible Ausgaben unterschiedlicher Richtlinien:
xQ9#mK2!— 8 Zeichen, vollständiger 94-Zeichen-Pool: 52.4 Bitshkbwvztdpqrm— 12 Zeichen, nur Kleinbuchstaben: 56.4 Bitshkbwvztdpqrmjfyc— 16 Zeichen, nur Kleinbuchstaben: 75.2 Bits
Das „einfache” 12-stellige Kleinbuchstaben-Passwort schlägt bereits das „komplexe” 8-stellige, und das 16-stellige Kleinbuchstaben-Passwort übertrifft es um 23 Bits — einen Faktor von etwa 8 Millionen im Suchraum — während es dramatisch einfacher zu tippen und zu merken ist. Vier zusätzliche Zeichen sind mehr wert als der gesamte Symbol-Vorrat.
In diesem Sinne schlägt Länge Komplexität: nicht weil Komplexität nutzlos ist (ein breiterer Pool hilft bei fester Länge immer), sondern weil Menschen miserabel darin sind, Komplexität zufällig zu erzeugen, und die marginale Entropie pro zusätzlichem Zeichen die marginale Entropie pro Pool-Vergrößerung für jeden realistischen Pool übersteigt.
Der große Vorbehalt: das funktioniert nur bei zufälligen Passwörtern
Die Formel H = L × log2(P) setzt eine gleichverteilte Zufallsziehung voraus. Von Menschen gewählte Passwörter sind nichts dergleichen. Summer2026! ist 11 Zeichen aus einem ~90-Zeichen-Pool — nominell ~71 Bits — aber jedes Cracking-Tool versucht es innerhalb seiner ersten paar tausend Vermutungen, weil es ein Wörterbuch-Wort, ein Jahr und das häufigste Symbol in der häufigsten Anordnung ist.
Menschliche Passwort-Entropie wird von Vorhersagbarkeit dominiert, nicht von der Formel. Empirische Analysen kompromittierter Passwort-Korpora finden konsistent, dass ein kleines Wörterbuch häufiger Passwörter plus Mangling-Regeln (Anfangsbuchstabe groß, Ziffern anhängen, ! anhängen) einen großen Anteil realer Passwörter abdeckt. Deshalb:
- Die Entropie-Mathematik gilt für generierte Passwörter, Passphrasen aus Wortlisten und vom Manager erstellte Geheimnisse — nicht für alles, was ein Mensch unaided erfindet.
- Für von Menschen gewählte Passwörter ist die Verteidigung nicht Entropie-Schätzung, sondern Screening gegen bekannte kompromittierte und häufige Passwortlisten — genau das, was NIST vorschreibt.
Passphrasen und Diceware
Die Diceware-Methode macht die Mathematik für einprägsame Geheimnisse konkret: würfle, um Wörter gleichverteilt aus einer 7.776-Wörter-Liste (6^5) auszuwählen. Jedes Wort liefert log2(7776) ≈ 12.9 Bits:
- 5 Wörter: 64.6 Bits
- 6 Wörter: 77.5 Bits
- 7 Wörter: 90.4 Bits
Eine 6-Wort-Passphrase im Stil von correct horse battery staple (das berühmte XKCD-Beispiel veranschaulicht dieselbe Mathematik) liefert ~77 Bits mit deutlich besserer Merkbarkeit als eine zufällige 12-Zeichen-Zeichenkette bei 78.7 Bits. Gleiche Sicherheitsstufe, wild unterschiedliche Benutzbarkeit.
Brute-Force-Zeitschätzungen — mit den Annahmen klar benannt
Jede „Zeit bis zum Crack”-Zahl ist ohne ihr Angriffsmodell bedeutungslos. Hier ist eines, explizit formuliert:
Annahmen: Offline-Angriff gegen einen schnellen, ungesalzenen Hash (z. B. rohes MD5/SHA-1) mit 10^10 (10 Milliarden) Vermutungen pro Sekunde — erreichbar mit einem bescheidenen Multi-GPU-Rig. Vollständige erschöpfende Suche des gesamten Raums; erwartete Zeit, das Passwort zu finden, ist die Hälfte davon. Kein Throttling, keine Breach-Listen-Abkürzungen (gültig, weil wir zufällige Passwörter annehmen).
| Passwort-Klasse | Suchraum | Vollständige Zeit @ 10^10/s |
|---|---|---|
| 8 Zeichen, Kleinbuchstaben (26) | 2.1 × 10^11 | ~21 Sekunden |
| 8 Zeichen, vollständiger Pool (94) | 6.1 × 10^15 | ~7 Tage |
| 12 Zeichen, Kleinbuchstaben (26) | 9.5 × 10^16 | ~110 Tage |
| 12 Zeichen, vollständiger Pool (94) | 4.8 × 10^23 | ~1,5 Millionen Jahre |
| 16 Zeichen, Kleinbuchstaben (26) | 4.4 × 10^22 | ~140.000 Jahre |
| 16 Zeichen, vollständiger Pool (94) | 3.7 × 10^31 | ~1.2 × 10^14 Jahre |
Behandle diese als anschauliche Größenordnungen, nicht als Garantien. Sie verschieben sich in beide Richtungen:
- Langsamer in der Praxis, wenn die Website eine ordentliche Passwort-Hashing-Funktion nutzt. bcrypt, scrypt oder Argon2 mit vernünftigen Parametern können den Vermutungsdurchsatz im Vergleich zu rohem MD5 um 4–7 Größenordnungen reduzieren und „~7 Tage” in „länger als der Wärmetod-Zeitplan, den irgendjemanden interessiert” verwandeln. Deshalb ist die Wahl des Hashing-Algorithmus wichtiger als fast alles, was Nutzer tun.
- Schneller, wenn das Passwort nicht zufällig ist (Wörterbuchangriff), der Angreifer über Hardware auf Staatenebene verfügt oder Moore’s-Law-artige Verbesserungen sich über die Jahre, die ein gestohlener Hash wertvoll bleibt, aufschaukeln.
- Online-Angriffe (Vermutungen gegen einen Live-Login-Endpunkt) sind ein völlig anderes Modell: Rate-Limits und Sperrungen begrenzen Angreifer auf vielleicht hunderte Vermutungen, also überleben sogar ~20-Bit-Geheimnisse — deshalb verlangt NIST Throttling, und deshalb sind die Per-Site-Passwörter deines Passwort-Managers wichtiger als die Stärke jedes einzelnen Passworts.
Die praktische Erkenntnis aus der Tabelle: 8 Zeichen reichen für nichts, das schnell gehasht wird, Schluss; 12+ zufällige Zeichen sind komfortabel; 16 ist Overkill auf die gute Art. Und wieder überdauert die 16-Zeichen-Kleinbuchstaben-Zeichenkette die 12-Zeichen-Vollpool-Zeichenkette — Länge gewinnt.
Was NIST SP 800-63B tatsächlich sagt
NISTS Digital Identity Guidelines (SP 800-63B, ursprünglich 2017; Revision 4 veröffentlicht 2024) haben vieles davon in die US-Bundespolitik kodifiziert. Die tragenden Empfehlungen für Verifier von Passwörtern („memorized secret”):
- Mindestlänge, nicht Komplexität. Verlange mindestens 8 Zeichen für nutzergewählte Passwörter (Revision 4 erhöht dies auf 15 für Passwörter, die als einzelner Faktor genutzt werden, 8 wenn ein zweiter Faktor vorhanden ist). Erlaube mindestens 64 Zeichen. Erlege keine Kompositionsregeln auf (kein „muss Großbuchstaben, Ziffer, Symbol enthalten”) — sie treiben Nutzer zu vorhersagbaren Mustern (
Password1!), die die reale Sicherheit schwächen. - Keine erzwungenen periodischen Änderungen. Die 2017er Revision hat bereits das alte „alle 90 Tage rotieren”-Dogma fallen lassen; Revision 4 bestätigt das. Ändere Passwörter nur, wenn es Hinweise auf Kompromittierung gibt. Erzwungene Rotation produziert zuverlässig
Summer2026!→Autumn2026!— einen Zuwachs, den eine Cracking-Regel trivial abdeckt. - Screening gegen Breach- und häufige-Passwort-Listen. Verifier sollten Kandidaten-Passwörter gegen Wörterbücher bekannter kompromittierter Passwörter, Wörterbuch-Wörter, repetitive/sequenzielle Zeichenfolgen und kontextspezifische Wörter (Service-Name, Nutzername) vergleichen. Dies ersetzt Kompositionsregeln als tatsächliche Verteidigung für nutzergewählte Geheimnisse.
- Erlaube Einfügen und Passwort-Manager. Verifier müssen eingefügte Eingaben zulassen — was eine explizite Befürwortung von Passwort-Managern ist, da generierte 20-Zeichen-Zufalls-Zeichenketten genau das sind, was die Richtlinien den Nutzern geben wollen.
- Keine wissensbasierten Hinweise oder Sicherheitsfragen. Passwort-Hinweise und KBA („Mädchenname der Mutter”) sind verboten, da sie das Geheimnis leaken oder trivial enthüllen.
- Gesalzenes, speicherschweres Hashing zur Speicherung. Verifier müssen Passwörter gehasht mit einer geeigneten Einweg-Funktion speichern — die Richtlinie verweist auf Schemata wie Argon2, bcrypt oder PBKDF2 mit adäquaten Arbeitsfaktoren — mit einem pro-Nutzer-Salt von mindestens 32 Bits.
Beachte, wie dies mit der Entropie-Mathematik zusammenhängt: Kompositionsregeln fügen für Menschen keine reale Entropie hinzu, Länge tut es; Rotation zerstört jede Entropie, die Nutzer hatten, indem sie sie zu Mustern treibt; und der Breach-Listen-Screen behandelt die Tatsache, dass menschliche Entropie nicht messbar ist. Der Standard ist die Mathematik, institutionalisiert.
Regeln, die du tatsächlich nutzen kannst
- Lass einen Generator deine Passwörter erzeugen. Zufällige Erzeugung ist der einzige Weg, dass die Entropie-Formel für dich gilt. Unser Passwort-Generator erstellt kryptographisch zufällige Passwörter in deinem Browser — nichts wird übertragen. Stell ihn auf 16+ Zeichen und hör auf, darüber nachzudenken.
- Standard 16 Zeichen für alles Wichtige. Bei 95+ Bits, selbst nur Kleinbuchstaben, bist du jenseits jedes vorstellbaren Brute-Force-Budgets gegen einen ordentlich gehashten Speicher.
- Für Dinge, die du dir merken musst, nutze eine 6-Wort-Passphrase. ~77 Bits, tippbar, merkbar. Erzeuge Kandidaten mit dem Passphrase-/Wortlisten-Modus desselben Tools, falls verfügbar, oder nutze Diceware.
- Pro Site einzigartig, immer. Entropie schützt eine Site; Wiederverwendung verwandelt eine Breach in jede Breach. Dafür ist der Passwort-Manager da.
- Füge einen zweiten Faktor hinzu, wo angeboten. NISTS Längen-Anforderungen entspannen sich explizit bei MFA, weil ein zweiter Faktor Angreifer-Aufwand weit günstiger multipliziert als mehr Passwort-Entropie.
- Ignoriere Komplexitäts-Theater. Eine Website, die „ein Großbuchstabe, eine Ziffer, ein Symbol” verlangt, dich aber auf 12 Zeichen begrenzt, hat die Richtlinie verkehrt. Halte dich mechanisch daran, aber verwechsele es nicht mit Stärke.
Zusammenfassung
- Zufallspasswort-Entropie ist
H = L × log2(P): jedes Zeichen fügt eine feste Anzahl Bits hinzu, die nur von der Pool-Größe abhängt. - Pool-Vergrößerung (26 → 94 Zeichen) bringt ~1.85 Bits pro Zeichen; jedes hinzugefügte Zeichen bringt 4.7–6.6 Bits. Länge gewinnt eindeutig.
- 8 zufällige Zeichen ≈ 52 Bits ≈ Tage-zum-Crack gegen schnelle Offline-Hashes; 12 zufällige Zeichen ≈ 78+ Bits ≈ effektiv unknackbar in diesem Modell.
- Die Formel gilt nur für zufällige Erzeugung. Menschliche Passwörter werden von Wörterbüchern besiegt, deshalb schreibt NIST Breach-Listen-Screening vor und verbietet Kompositionsregeln und erzwungene Rotation.
- Erzeuge 16-Zeichen-Zufalls-Passwörter mit dem Passwort-Generator, speichere sie in einem Manager und aktiviere MFA. Dieser Stack ist es, was die Mathematik empfiehlt.