Passwortstärke-Checker und Code für Stärkeanzeigen
Passwortstärke-Checker
Passwortstärke-Checker + Code für Stärkeanzeigen in Registrierungsformularen | We.Inc
Prüfe vollständig in deinem Browser, wie leicht ein Passwort zu erraten ist, mit geschätzter Knackzeit und den Mustern, die es schwächen. Kopiere dann eine Stärkeanzeige in React oder reinem JavaScript mit Schalter zum Anzeigen des Passworts.
Ein starkes Passwort ist eines, das ein Angreifer nicht mit einer vernünftigen Zahl an Versuchen erraten kann. Am wichtigsten ist die Länge, danach der Verzicht auf gängige Passwörter, Wörter, Tastaturfolgen und Daten. Gib unten ein Passwort ein, um offline eine Schätzung der nötigen Versuche und der Knackzeit zu erhalten, und kopiere dann eine fertige Stärkeanzeige mit Schalter zum Anzeigen des Passworts für dein eigenes Registrierungsformular.
Was die aktuellen NIST-Richtlinien von Registrierungsformularen verlangen
Regel
NIST SP 800-63B
Mindestlänge
15 Zeichen, wenn das Passwort der einzige Faktor ist; 8, wenn es mit einem weiteren Faktor genutzt wird
Maximallänge
Mindestens 64 Zeichen erlauben
Zusammensetzungsregeln (muss ein Sonderzeichen enthalten...)
Nicht vorschreiben
Erzwungene regelmäßige Änderungen
Nicht verlangen; eine Änderung nur nach einer Kompromittierung erzwingen
Sperrliste
Gängige, erwartbare oder geleakte Passwörter ablehnen
Einfügen und Passwortmanager
Erlauben
Der Checker zerlegt dein Passwort in die Teile, die ein Angreifer zuerst ausprobieren würde, und multipliziert die Versuche, die jedes Teil braucht. Nichts, was du eingibst, verlässt diese Seite. Darunter findest du zwei Stärkeanzeigen, die du in ein Registrierungsformular einfügen kannst, eine für React mit Tailwind und eine in reinem JavaScript.
Gib ein Passwort ein. Die Schätzung aktualisiert sich mit jeder Taste und verlässt deinen Browser nie.
Lies die Bewertung von sehr schwach bis sehr stark, die geschätzte Zahl der Versuche und die Zeit zum Knacken in vier Angriffsszenarien ab.
Sieh, welche Teile als gängige Passwörter, Wörter, Tastaturfolgen, Sequenzen, Wiederholungen oder Jahreszahlen erkannt wurden, jeweils mit einer Warnung.
Kopiere die Anzeige in React oder reinem JavaScript für dein eigenes Formular. Beide enthalten einen Button zum Anzeigen des Passworts und melden Änderungen an Screenreader.
Drei oder vier zufällige Wörter hintereinander schlagen ein kurzes Sonderzeichen-Durcheinander und sind auf dem Handy viel leichter zu tippen.
Nutze einen Passwortmanager und lass ihn Passwörter erzeugen. Das beste Passwort ist eines, das du dir nie merken musst.
Prüfe in deinem eigenen Registrierungsformular neue Passwörter auf dem Server gegen eine Liste geleakter Passwörter. Have I Been Pwned bietet eine kostenlose Range-API, die nie den vollständigen Passwort-Hash erhält.
Setze autocomplete="new-password" bei Registrierungsfeldern und autocomplete="current-password" bei Anmeldefeldern, damit Passwortmanager die richtige Aktion anbieten.
Häufige Fragen
Ist es sicher, mein echtes Passwort hier einzugeben?
Die Prüfung läuft vollständig in deinem Browser, und die Seite sendet keine Netzwerkanfrage mit deiner Eingabe. Trotzdem ist es die sicherste Gewohnheit, ein Passwort mit derselben Struktur wie dein echtes zu testen, nicht das echte selbst.
Wie genau ist die Knackzeit?
Sie ist eine Schätzung. Der Checker nutzt kurze eingebaute Listen gängiger Passwörter und Wörter, daher kann ein Passwort aus einem selteneren Wort hier besser abschneiden, als es verdient. Die vier Szenarien gehen von typischen Angriffsgeschwindigkeiten aus, von einem Login-Formular mit Ratenbegrenzung bis zu einer gestohlenen Datenbank mit schnellem Hash. Echte Angreifer nutzen außerdem geleakte Passwortlisten und Regeln, die weit größer sind als alles, was eine Webseite mitliefern kann.
Sollte mein Registrierungsformular ein Sonderzeichen und eine Zahl verlangen?
Die aktuellen NIST-Richtlinien sagen nein. Zusammensetzungsregeln drängen Menschen zu vorhersehbaren Mustern wie Password1!, die die Regel erfüllen und trotzdem erraten werden. Eine Mindestlänge plus ein Abgleich mit gängigen und geleakten Passwörtern bringt mehr Sicherheit.
Warum braucht mein Formular einen Button zum Anzeigen des Passworts?
Verdeckte Felder führen zu Tippfehlern, besonders auf Handys, und Tippfehler führen zu Sperren und Passwort-Resets. Ein Schalter lässt Menschen prüfen, was sie eingegeben haben. Nutze einen echten Button mit klarer Beschriftung und lass den Feldtyp zwischen password und text wechseln.
Prüft der Code der Anzeige Passwörter gegen Datenlecks?
Nein. Die Anzeigen bewerten Länge, Vielfalt und ein paar offensichtliche Muster im Browser, damit Menschen schnell Rückmeldung bekommen. Die eigentliche Prüfung gehört auf deinen Server: Setze dort die Mindestlänge durch und lehne Passwörter ab, die in Leak-Listen stehen.
Warum Länge mehr bringt als Komplexität
Jedes zusätzliche Zeichen vervielfacht die Zahl der möglichen Passwörter. Ein zusätzlicher zufälliger Kleinbuchstabe multipliziert sie mit 26, während das Ersetzen eines a durch @ in einem Wort fast nichts bringt, weil Angreifer solche Ersetzungen automatisch anwenden.
Deshalb belohnt die Schätzung lange Passphrasen. Vier voneinander unabhängige Wörter können die stärkste Stufe erreichen und bleiben trotzdem leicht zu tippen, solange sie keine bekannte Redewendung oder Liedzeile sind.
Eine Anzeige bauen, der man vertraut
Eine gute Anzeige gibt Rückmeldung, die exakt zu den Regeln des Servers passt. Meldet die Anzeige stark und lehnt der Server das Passwort dann ab, vertrauen Menschen keinem von beiden mehr. Halte die Regeln an einer Stelle und zeige in beiden dieselben Meldungen.
Melde Änderungen höflich mit aria-live, damit Screenreader-Nutzer das Ergebnis hören, ohne ihre Position zu verlieren, und verlass dich nie allein auf Farbe: Kombiniere den Balken mit einer Textbeschriftung wie Schwach oder Stark.
Stärkeanzeige mit React + Tailwind und Passwort-Anzeige
Ein kontrolliertes Passwortfeld mit Button zum Anzeigen und Verbergen, einem vierstufigen Balken, einer Regel-Checkliste und einer Live-Textbeschriftung für Screenreader.
Anzeige in reinem HTML und JavaScript
Dieselbe Idee ohne Framework. Füge sie in eine beliebige Seite ein; das Skript berührt nur Elemente innerhalb des Wrappers.
Sehr schwach
Schwach
Mittel
Stark
Sehr stark
gängiges Passwort
Alltagswort
Tastaturfolge
zufällige Zeichen
Enthält eines der häufigsten Passwörter. Angreifer probieren diese zuerst.
Enthält ein Alltagswort. Buchstaben durch Symbole zu ersetzen (a zu @) hilft kaum.
Enthält eine Folge benachbarter Tasten wie qwerty oder 1qaz.
Enthält eine Sequenz wie abc oder 1234.
Enthält wiederholte Zeichen.
Enthält eine Jahreszahl. Geburtsjahre und aktuelle Jahre werden früh geraten.
Kürzer als 15 Zeichen. Länge bringt mehr Stärke als Sonderzeichen.
Online, mit Ratenbegrenzung (100 Versuche pro Stunde)
Online, ohne Ratenbegrenzung (10 Versuche pro Sekunde)
Gestohlene Datenbank, langsamer Hash wie bcrypt (10 Tausend pro Sekunde)
Gestohlene Datenbank, schneller Hash wie MD5 (10 Milliarden pro Sekunde)
Passwort prüfen
Passwort (bleibt auf diesem Gerät)
Verbergen
Anzeigen
etwa 10^{n} Versuche
Durchschnittliche Zeit zum Erraten
Beginne zu tippen, um die Schätzung zu sehen.
Code für die Stärkeanzeige
Zwei Anzeigen, die du in ein Registrierungsformular einfügen kannst. Halte die Regeln des Servers gleich wie die der Anzeige.
Probiere die Anzeige in reinem JavaScript aus
Funktionierende Passwortanzeige in reinem JavaScript