Wie lange dauert es, ein Passwort zu knacken? (Gratis)
Die Knackzeit hängt von Länge, Zeichenarten und Speicherung ab. Die Brute-Force-Rechnung, was aktuelle Tabellen sagen, und ein Gratis-Passwort-Generator.
Veröffentlicht am · 5 Min. Lesezeit
Wie lange es dauert, ein Passwort zu knacken, hängt von drei Dingen ab: wie viele mögliche Passwörter es gibt (Länge und Zeichenarten), wie schnell ein Angreifer Versuche testen kann und ob das Passwort überhaupt zufällig ist. Ein zufälliges Passwort aus 8 Kleinbuchstaben, gespeichert mit einem langsamen Hash, kann auf gemieteten Grafikkarten in ein paar Wochen fallen; ein zufälliges Passwort aus 16 gemischten Zeichen bräuchte länger, als das Universum alt ist. Der kostenlose Passwort-Generator erstellt die zufällige, lange Sorte auf deinem Gerät.
Die berühmten farbigen Tabellen, die online geteilt werden, sind nützlich, aber sie beruhen auf Annahmen. Wer diese Annahmen kennt, weiß, was ein Konto wirklich schützt.
Was „Knacken“ eigentlich bedeutet
Wenn du dich irgendwo registrierst, speichert eine gut geführte Website nicht dein Passwort. Sie speichert einen Hash: einen verwürfelten Fingerabdruck davon. Wenn du dich anmeldest, bildet die Website den Hash deiner Eingabe und vergleicht die Fingerabdrücke. Der kostenlose Hash-Generator zeigt das Prinzip: Gib password123 ein, und sein MD5-Hash ist 482c811da5d5b4bc6d497ffa98491e38, jedes Mal, auf jedem Computer.
Wird die Datenbank einer Website gestohlen, bekommen Angreifer die Hashes, nicht die Passwörter. Knacken heißt, Passwörter zu raten, jeden Versuch zu hashen und auf einen Treffer zu prüfen, offline und so schnell, wie ihre Hardware es erlaubt. Keine Sperre der Website bremst sie.
Deshalb entscheiden zwei Dinge über die Zeit:
- Die Zahl der Möglichkeiten, die der Angreifer eventuell durchprobieren muss.
- Die Ratgeschwindigkeit, die stark vom Hash-Verfahren der Website abhängt.
Die Brute-Force-Rechnung
Die Zahl der möglichen Passwörter ist die Größe des Zeichensatzes hoch die Länge.
| Zeichensatz | Zeichen |
|---|---|
| Nur Ziffern | 10 |
| Kleinbuchstaben | 26 |
| Klein- + Großbuchstaben + Ziffern | 62 |
| Alle vier Arten in unserem Generator | 85 |
Ein Passwort aus 8 Kleinbuchstaben hat 26^8, etwa 209 Milliarden, Möglichkeiten. Mit allen 85 Zeichen ergeben 8 Zeichen etwa 2,7 × 10^15. Jedes zusätzliche Zeichen multipliziert die Gesamtzahl mit der Größe des Zeichensatzes, deshalb schlägt Länge alles andere.
Was die aktuelle Tabelle sagt
Laut der Passwort-Tabelle 2026 von Hive Systems schaffte ein Verbund aus 16 Grafikkarten vom Typ RTX 5090 bei Passwörtern, die mit bcrypt gespeichert waren (einem absichtlich langsamen Hash, mit Kostenfaktor 10), etwa 138.675 Versuche pro Sekunde. Bei diesem Tempo schätzen sie, dass ein Passwort aus 8 Kleinbuchstaben in etwa zwei Wochen geknackt ist und ein 8-stelliges Passwort mit allen Zeichenarten in etwa 132 Jahren. Ihre Zeiten sind der schlimmste Fall, bei dem das richtige Passwort erst der allerletzte Versuch ist.
Mit derselben Ratgeschwindigkeit und dem 85-Zeichen-Satz des Generators haben wir diese Zeiten im schlimmsten Fall für zufällige Passwörter berechnet:
| Länge | Nur Kleinbuchstaben (26) | Alle vier Arten (85) |
|---|---|---|
| 6 | etwa 37 Minuten | etwa 32 Tage |
| 8 | etwa 17 Tage | etwa 620 Jahre |
| 10 | etwa 32 Jahre | etwa 4,5 Millionen Jahre |
| 12 | etwa 22.000 Jahre | etwa 32 Milliarden Jahre |
| 16 | etwa 10 Milliarden Jahre | etwa 1,7 × 10^18 Jahre |
Unser Wert für 8 Zeichen stimmt nicht mit dem von Hive überein, weil Tabellen sich in der Größe des Zeichensatzes, den Hash-Einstellungen und der Zählweise der Versuche unterscheiden; die Aussage ist dieselbe. Im Schnitt kommt der richtige Versuch etwa nach der Hälfte, halbier diese Zahlen also für einen typischen Fall.
Warum die Tabelle viel zu freundlich sein kann
Die Tabelle nimmt in zwei Punkten den für dich günstigsten Fall an.
Die Website nutzt vielleicht einen schnellen Hash. bcrypt ist absichtlich langsam gebaut. Alte oder nachlässige Systeme nutzen schnelle Hashes wie MD5 oder einfaches SHA-1, die eine einzige Grafikkarte milliardenfach pro Sekunde testen kann. Dagegen schrumpfen die Zeiten oben um den Faktor eine Million oder mehr. Du kannst nicht sehen, wie eine Website dein Passwort speichert, geh also vom schlechteren Fall aus. Die Erklärung zu MD5 vs. SHA-256 zeigt den Unterschied.
Dein Passwort ist vielleicht nicht zufällig. Brute Force ist der langsamste Angriff. Echtes Knacken beginnt mit Listen geleakter Passwörter, Wörterbuchwörtern, Namen, Daten und üblichen Mustern wie Password123! (Großbuchstabe vorne, Zahl und Sonderzeichen am Ende). Ein so gebautes Passwort ist in Sekunden gefunden, egal wie viele Zeichenarten es hat, weil Angreifer genau diese Muster zuerst probieren.
Es ist vielleicht schon geleakt. Verwendest du ein Passwort mehrfach und wird eine Website, auf der du es genutzt hast, gehackt, müssen Angreifer gar nichts knacken. Sie probieren einfach dieselbe E-Mail-Adresse und dasselbe Passwort auf anderen Websites.
Was dich wirklich schützt
- Länge und Zufall. Ein zufälliges Passwort mit 16 oder mehr Zeichen liegt für jeden realistischen Angreifer außerhalb der Reichweite von Brute Force. Laut NIST SP 800-63B (Revision 4, 2025) sollten Dienste, die sich allein auf ein Passwort verlassen, mindestens 15 Zeichen verlangen und keine Zusammensetzungsregeln oder regelmäßigen Wechsel erzwingen.
- Ein eigenes Passwort für jede Website. Das macht Angriffe mit wiederverwendeten Passwörtern komplett wirkungslos.
- Ein Passwort-Manager. Er merkt sich Dutzende langer zufälliger Passwörter, damit du es nicht musst. Dann kostet dich Länge nichts.
- Zwei-Faktor-Authentifizierung. Selbst wenn ein Passwort geknackt wird, braucht der Angreifer noch dein Handy oder deinen Sicherheitsschlüssel. Schalte sie zuerst für E-Mail, Bank und soziale Netzwerke ein.
Brauchst du ein Passwort, das du dir merken und tippen kannst, etwa das Master-Passwort deines Passwort-Managers, passt eine lange Passphrase aus zufälligen Wörtern gut. Siehe Passphrase vs. Passwort.
Erstell eins, das nicht geknackt wird
Öffne den kostenlosen Passwort-Generator, stell die Länge auf 16 oder mehr (sie steht anfangs auf 20), lass Kleinbuchstaben, Großbuchstaben, Zahlen und Sonderzeichen angehakt, drück auf Erzeugen und dann auf Kopieren. Das Passwort wird auf deinem Gerät erstellt und nirgendwohin gesendet. Mehr zu den Einstellungen findest du unter Sicheres Passwort erstellen.
Häufige Fragen
- Wie lange dauert es, ein 8-stelliges Passwort zu knacken?
- Das hängt von den Zeichen ab und davon, wie es gespeichert wurde. Laut der Tabelle 2026 von Hive Systems etwa zwei Wochen bei zufälligen Kleinbuchstaben und etwa 132 Jahre mit allen Zeichenarten, bei bcrypt. Gegen einen schnellen Hash wie MD5 geht beides viel schneller.
- Ist ein Passwort mit 12 Zeichen sicher genug?
- Ein zufälliges 12-stelliges Passwort mit allen Zeichenarten liegt außerhalb der Reichweite von Brute Force. Für wichtige Konten sind 16 oder mehr trotzdem die bessere Voreinstellung, weil es mit einem Passwort-Manager nichts kostet.
- Machen Sonderzeichen ein Passwort stärker?
- Pro Zeichen helfen sie ein wenig, aber mehr Länge hilft mehr. Ein zufälliges 16-stelliges Passwort ohne Sonderzeichen ist stärker als ein zufälliges 10-stelliges mit.
- Können Hacker irgendwann jedes Passwort knacken?
- Theoretisch ja; praktisch würde ein zufälliges 16-stelliges Passwort viel länger dauern, als irgendein Angreifer warten kann. Schwache, gängige oder wiederverwendete Passwörter sind die, die schnell fallen.
- Ist es sicher, die Stärke meines Passworts auf einer Website zu prüfen?
- Gib kein echtes Passwort in Online-Passwortprüfer ein. Erzeug stattdessen ein neues zufälliges; unser Generator erstellt es auf deinem Gerät.
Generatoren
Passwort-Generator ausprobieren
Kostenlos, ohne Anmeldung, läuft in deinem Browser. Erstelle mit einem Klick ein sicheres Zufallspasswort: Wähle eine Länge von 8 bis 128 Zeichen und welche Zeichenarten du nutzen willst, also Kleinbuchstaben, Großbuchstaben, Zahlen und Sonderzeichen, und kopiere es dann.