10 Zeichen aus Kleinbuchstaben + Ziffern — 51.7 Bit

Wie die Seite es gespeichert hat

• NTLM (Windows)1.8 h
• MD53.1 h
• SHA-25623.1 h
• WPA2 Wi-Fi22.9 Jahre
• bcrypt314.8 Jahre

Dasselbe Passwort unterscheidet sich um den Faktor Million, je nach Speicherung. Eine RTX 4090 probiert 288,5 Milliarden NTLM-Hashes pro Sekunde und 164,1 Milliarden MD5, aber nur 184 Tausend bcrypt — bcrypt ist absichtlich langsam. Acht ASCII-Zeichen mit Symbolen fallen bei NTLM in unter drei Stunden und halten bei bcrypt über 500 Jahre. Wer das Passwort tippt, kann sich das nicht aussuchen.

Was diese Tabelle zählt und was nicht

Die Zeiten hier gelten für ein **zufällig gewähltes** Passwort, das komplett durchsucht wird. Menschgemachte Passwörter halten so lange nicht — Wörterbuchwörter, Tastaturreihen, Geburtstage und das angehängte ! oder 1 werden zuerst probiert. „P@ssw0rd!“ zählt als 59 Bit bei neun ASCII-Zeichen, fällt aber in Sekunden. Umgekehrt teilt sich die Zeit durch die Zahl der Karten.

Längen daneben

Gleicher Vorrat, andere Längen

Gleiche Länge, andere Vorräte

Der häufigste Unfall ist nicht das Knacken

Weit häufiger ist, dass ein anderswo geleaktes Passwort einfach hier probiert wird. Ein Passwort, das Jahre bräuchte, fällt trotzdem an dem Tag, an dem die schwächere Seite gehackt wird — sofern es dort auch stand. Nicht wiederverwenden und zweiter Faktor kommen vor mehr Länge.

So liest man das

• Bits pro Zeichen = log2(Zeichenvorrat). Mal Länge ergibt die Summe.
• Knackdauer = halbe Kombinationszahl ÷ Versuche pro Sekunde.
• Die Geschwindigkeiten sind veröffentlichte hashcat-Messungen auf einer RTX 4090.
• Sie gelten für zufällige Passwörter. Menschgemachte fallen viel früher.