Was die Entropiezahl eigentlich bedeutet
Die Entropie misst, wie viele mögliche Leistungen ein Generator hätte erzeugen können, ausgedrückt als Zweierpotenz. Ein zufälliges Passwort, das aus einem Pool von Zeichen besteht, hat Entropie = Länge × log₂ (Poolgröße) – jedes Zeichen, das Sie hinzufügen, vervielfacht die Anzahl möglicher Passwörter, und jedes bisschen Entropie, das Sie gewinnen, verdoppelt die Anzahl der Vermutungen, die ein Brute-Force-Angriff im Durchschnitt benötigt.
Entropy = Length × log₂(pool size)
16 chars, upper+lower+digits+symbols (89-char pool):
16 × log₂(89) ≈ 16 × 6.48 ≈ 103.6 bits
That 103.6-bit result lands in the "Strong" band this tool reports. Notice that the pool size barely matters compared to length — going from 89 possible characters down to just digits (10) only costs about 3.3 bits per character, while cutting the length in half costs 50+ bits. Length is doing almost all of the work.
Entropie in eine Risszeitschätzung umwandeln
Die neben jedem Ergebnis angezeigte Crack-Zeit geht davon aus, dass ein Brute-Force-Angreifer 10 Milliarden Kombinationen pro Sekunde errät – ein grober, bewusst konservativer Maßstab für Offline-Angriffe gegen einen gestohlenen Passwort-Hash auf leistungsfähiger Hardware. Es ist keine Garantie, sondern nur eine Möglichkeit, einer abstrakten Bitzählung das Gefühl zu geben, konkret zu sein.
Combinations = 2^entropy
Estimated seconds = Combinations ÷ 10,000,000,000
In der Praxis sind die meisten Kontoverstöße nicht auf das brutale Erzwingen eines sicheren Passworts zurückzuführen, sondern auf Phishing, wiederverwendete Passwörter, die bei einem anderen Verstoß aufgedeckt wurden, oder auf Malware. Ein hoher Entropiewert schützt vor einem bestimmten Bedrohungsmodell; Es ersetzt nicht eindeutige Passwörter pro Konto und die Multi-Faktor-Authentifizierung, sofern diese angeboten wird.
Warum die Stärke einer Passphrase stark von der Wortanzahl abhängt
Eine aus der Wortliste dieses Tools erstellte Passphrase folgt der gleichen Logik wie ein zufälliges Passwort, nur mit Wörtern anstelle von Zeichen: Entropie = Anzahl der Wörter × log₂ (Größe der Wortliste). Da die integrierte Liste etwas mehr als 100 Wörter umfasst, fügt jedes zusätzliche Wort ungefähr 6,7 Bit hinzu – deutlich weniger pro Einheit als ein zufälliges Zeichen, weshalb Passphrasen mehr Wörter benötigen als ein zufälliges Passwort Zeichen, um die gleiche Stärke zu erreichen.
| Worte | Ca. Entropie | Kraftband |
|---|---|---|
| 4 | ~26.8 bits | Schwach |
| 6 | ~40.2 bits | Gerecht |
| 8 | ~53.6 bits | Ziemlich gut |
Turning on "Add a number at end" tacks on roughly another 6.6 bits. If a passphrase is the login for something you'd rather keep locked down, lean toward 6-8 words rather than the shorter end of the range — a real diceware-style word list with thousands of entries would need fewer words for equivalent strength, but more words is the safe compensation with a smaller list.
Ein paar Gewohnheiten, die wichtiger sind als jedes einzelne Passwort
- Verwenden Sie ein Passwort niemals für mehrere Konten – eine gehackte Website sollte nicht in der Lage sein, jedes andere Konto, das Sie besitzen, zu entsperren.
- Verwenden Sie einen Passwort-Manager. Es ist unrealistisch, sich Dutzende sicherer, einzigartiger Passwörter zu merken. Ein Manager generiert und speichert sie, sodass Sie dies nicht tun müssen.
- Aktivieren Sie die Multi-Faktor-Authentifizierung, wo immer sie angeboten wird – sie schützt ein Konto, selbst wenn das Passwort selbst jemals preisgegeben wird.
- Das Ausschließen mehrdeutiger Zeichen (0/O, l/I/1) ist eine sinnvolle Möglichkeit für Passwörter, die Sie möglicherweise von Hand eingeben müssen. Überspringen Sie dies jedoch, wenn Sie von einem Manager aus kopieren und einfügen.