Passwortentropie: Was die Schätzung aussagt – und was nicht
Wie Entropie in Bit geschätzt wird, welche Annahmen nötig sind und warum sie allein keine Angriffszeit vorhersagt.
Kurz erklärt
Entropie schätzt in Bit, wie viele Möglichkeiten eine Suche unter einem bestimmten Modell berücksichtigen müsste. Hat ein zufälliges Passwort die Länge L und wird jedes Zeichen gleichmäßig aus N Möglichkeiten gewählt, lautet die einfache Schätzung L × log₂(N). (NIST: Definition von Entropie)
Warum ist Zufälligkeit wichtig?
Die Formel setzt voraus, dass jedes Zeichen unabhängig und gleichmäßig gewählt wird. Menschen verwenden häufig Wörter, Datumsangaben, Tastaturmuster oder wiederverwendete Passphrasen. Deshalb kann ein Passwort viel leichter zu erraten sein, als eine einfache Berechnung des Zeichensatzes vermuten lässt. Die aktuelle NIST-Leitlinie rät von willkürlichen Regeln zur Zeichenkombination ab und hebt andere Schutzmaßnahmen hervor. (NIST: Sonderveröffentlichung 800-63B-4)
Zeigt die Entropie, wie lange das Knacken dauert?
Nein, nicht allein. Eine Zeitschätzung setzt zusätzlich Annahmen zur Angriffsgeschwindigkeit, zur Passwortspeicherung, zur Hardware des Angreifers und zur Offenlegung der Daten voraus. Anmeldeversuche bei einem Dienst und Offline-Analysen gestohlener Passwort-Hashes sind unterschiedliche Szenarien.
Wie sollte ich einen Entropierechner verwenden?
Betrachten Sie das Ergebnis als Lernhilfe, nicht als Garantie für ein Bestehen oder Durchfallen. Verwenden Sie möglichst lange, einzigartige und zufällig erzeugte Passwörter, speichern Sie sie in einem Passwortmanager und aktivieren Sie Mehr-Faktor-Authentifizierung, sofern verfügbar. (Den Entropierechner mit einem erfundenen Passwort ausprobieren)