Wie lang sollte ein Passwort sein?

Die Länge ist die wichtigste Eigenschaft eines Passworts. Jedes zusätzliche Zeichen multipliziert die Zahl der möglichen Kombinationen — die Tabelle unten zeigt, was das in der Praxis mit der Knackzeit macht.

Knackzeit nach Länge und Zeichensatz

Längea–z (26)a–z, A–Z (52)+ 0–9 (62)+ !@#… (95)
6sofortsofortsofortsofort
8sofort27 Sekunden109 Sekunden55 Minuten
1071 Sekunden20 Stunden5 Tage346 Tage
1213 Stunden6 Jahre51 Jahre8.561 Jahre
14373 Tage16.746 Jahre196.494 Jahre77 Mio. Jahre
16691 Jahre45 Mio. Jahre755 Mio. Jahre697 Mrd. Jahre
20316 Mio. Jahre331 Bio. Jahre11.161 Bio. Jahre56.798.667 Bio. Jahre

Durchschnittliche Zeit für einen Offline-Angriff auf einen geleakten Passwort-Hash bei ca. 1 Billion (10¹²) Versuchen pro Sekunde, zufällig gewählte Zeichen vorausgesetzt. Von Menschen ausgedachte Passwörter fallen weit schneller.

Warum Länge Komplexität schlägt

Ein Symbol oder eine Ziffer macht jede Position etwas schwerer zu erraten, aber ein zusätzliches Zeichen multipliziert die Schwierigkeit des gesamten Passworts. Zwölf einfache Zeichen schlagen daher acht „komplexe“ — und ein langes Passwort ist zudem leichter zu merken als ein kurzes kryptisches.

Unsere Empfehlungen

Verwenden Sie mindestens 12 Zeichen mit vollem Zeichensatz für Alltagskonten, 16 oder mehr für E-Mail und alles mit Zahlungsdaten, und 20+ — oder eine Passphrase aus mehreren Zufallswörtern — als Master-Passwort eines Passwort-Managers. E-Mail verdient besondere Sorgfalt: Wer Ihr Postfach kontrolliert, kann die meisten Ihrer anderen Passwörter zurücksetzen.

Das Minimum eines Dienstes ist keine Empfehlung

Viele Dienste akzeptieren noch 6 oder 8 Zeichen. Das ist die Untergrenze, unterhalb derer das Passwort abgelehnt wird — keine Aussage, dass es sicher ist. Wie die Tabelle zeigt, fällt ein Passwort mit 8 Zeichen schnell einem Offline-Angriff zum Opfer, egal wie viele Symbole es enthält.