Anwendungsfall · Mindestlänge
Die Zahl in der Policy, die der Pen-Tester nicht zerlegt.
Warum zwölf Zeichen, warum nicht acht, warum nicht sechzehn — die Längen-Frage ist die häufigste Diskussion in Policy-Runden, und sie wird meistens mit Bauchgefühl entschieden. Diese Seite liefert die Mathematik hinter der Zahl: Entropie pro Zeichen, Suchraum-Größe, GPU-Angriffs-Realität und die zxcvbn-Stärkeprüfung zum Selbertesten.
Wo es sich lohnt
Fünf Stellen, an denen die Längen-Frage diese Woche auf dem Tisch liegt.
- 01
In einer IT-Security-Abteilung eines Versicherungskonzerns
Die aktuelle Policy steht auf acht Zeichen plus Komplexitätsanforderungen — Großbuchstabe, Kleinbuchstabe, Ziffer, Sonderzeichen. Der externe Pen-Tester hat im letzten Assessment in der AD-Domäne rund siebzehn Prozent der Nutzer-Hashes gecrackt, davon neunzig Prozent innerhalb der ersten zweiundsiebzig Stunden. Die Security-Architektur soll die neue Zahl vorschlagen — mit Begründung, mit Quellenverweis, mit Modellrechnung gegen realistische Cracker-Hardware.
- 02
In einer Security-Architektur-Review vor einer Cloud-Migration
Ein Mittelständler zieht seine Identitätsschicht in einen Hyperscaler. Das Legacy-AD hatte acht Zeichen Mindestlänge, das neue Identity-Konzept soll auf der Höhe der Zeit sein. Die Frage ist nicht, ob länger — die Frage ist, wie argumentiert wird: Was der zxcvbn-Score über typische Nutzer-Eingaben aussagt, was die Entropie-Schwelle für Offline-Angriffs-Szenarien ist, was die NIST-SP-800-63B-Appendix-A-Argumentation an belastbaren Zahlen liefert.
- 03
Bei einem Penetration-Tester in der Abschluss-Präsentation
Nach vier Wochen Red-Team-Test stellt der Tester dem Kunden die Cracker-Statistik vor. Acht-Zeichen-Passwörter aus der lokalen AD-Datenbank: 2.400 Stück, 1.680 (70 Prozent) innerhalb von vierundzwanzig Stunden geknackt. Zwölf-Zeichen-Passwörter: 180 Stück, davon 14 (8 Prozent) geknackt — alles Muster wie Firmenname-mit-Jahreszahl. Die Empfehlung steht: Mindestlänge anheben, Komplexitätsregeln lockern, Passphrasen erlauben. Die Kunden-IT bekommt die Zahl mit der Argumentation, nicht eine Richtlinien-Forderung.
- 04
In einer Abstimmung zwischen IT-Security und Benutzerakzeptanz
Die Security-Leitung will sechzehn Zeichen Mindestlänge, die HR-Abteilung befürchtet Aufstand im Vertrieb, der Betriebsrat fragt nach Arbeitsbelastungs-Abwägung. Die Lösung liegt in der Alternative: zwölf Zeichen Zufallspasswort oder vier Wörter Passphrase — die Entropie ist vergleichbar, die Merkbarkeit dramatisch verschieden. Die Policy enthält beide Pfade. Die zxcvbn-Stärkeprüfung im Browser gibt allen Beteiligten die gleiche, belegbare Messlatte.
- 05
Bei der Aktualisierung einer Passwort-Richtlinie für ein Software-Haus
Die Entwicklungsabteilung nutzt seit Jahren eine Zwei-Klassen-Politik: für interne Services eine lockere Regel, für produktionsnahe Systeme eine strikte. Die Revision fragt nach einer einheitlichen Mindestlänge. Die IT-Security legt den Rechenweg vor: zwölf Zeichen Zufallspasswort entsprechen rund 72 Bit Entropie aus einem 62-Zeichen-Alphabet, vier Wörter aus der EFF-Liste rund 52 Bit, sechs Wörter 77,5 Bit. Die Policy-Zahl steht am Ende nicht als Dogma, sondern als begründete Wahl mit Alternativen.
Warum überhaupt
Länge ist ein Exponent. Komplexität ist Kosmetik.
Die Mathematik ist die gleiche, die seit den 1980er-Jahren in jedem Kryptografie-Lehrbuch steht, aber die Intuition fehlt oft: Jedes zusätzliche Zeichen multipliziert den Suchraum mit der Alphabetgröße. Zwei Zeichen mehr bei einem 62-Zeichen-Alphabet bedeuten 3.844-fachen Aufwand für den Angreifer — zwei zusätzliche Sonderzeichen-Anforderungen bedeuten bestenfalls Faktor acht. NIST SP 800-63B Appendix A zieht daraus die Konsequenz und empfiehlt Länge statt Komplexität. Die Anforderung, ein Sonderzeichen zu erzwingen, führt nachweisbar zu vorhersagbaren Mustern, die in jedem aktuellen Cracker-Wörterbuch stehen.
Die Realität der Offline-Angriffe definiert die Untergrenze. Moderne GPU-Cluster erreichen bei NTLM-Hashes (Windows-AD-Altlast) Größenordnungen von 100 Milliarden Versuchen pro Sekunde pro Grafikkarte. Bei einem bcrypt-Hash mit Cost-Faktor 12 liegen die Zahlen niedriger, aber in der gleichen Größenordnung. Ein achtstelliges Zufallspasswort aus einem 70-Zeichen-Alphabet fällt damit in Stunden. Ein zwölfstelliges Zufallspasswort aus dem gleichen Alphabet liegt im Größenordnungs-Bereich von Jahrhunderten — für den Angreifer in dieser Form wirtschaftlich uninteressant. Die Schwelle liegt also nicht beliebig, sondern dort, wo die Mathematik die reale Hardware aushebelt. Für benutzererfundene Passwörter korrigiert der zxcvbn-Score den Entropie-Überschätzer noch einmal nach unten, weil er Muster wie Firmenname-mit-Jahreszahl nicht als zwölf zufällige Zeichen bewertet, sondern als vorhersagbare Konstruktion.
Die Policy-Zahl folgt daraus. Zwölf Zeichen Zufallspasswort oder vier bis sechs Wörter Passphrase sind die untere Grenze des Verteidigbaren für 2026 — acht Zeichen sind Stand 1998 und in der aktuellen Pen-Test-Praxis ein Ziel, kein Schutz. Sechzehn Zeichen sind gut, aber in der Akzeptanz riskant, wenn sie ohne Passphrase-Alternative erzwungen werden. Die verteidigbare Policy kombiniert die Länge mit den drei Gegenstücken: Breach-Abgleich bei der Vergabe, Verzicht auf erzwungene Komplexitäts-Regeln, Multi-Faktor-Authentifizierung für sensible Zugänge.
Ehrlich gesagt
Was zxcvbn kann — und wo das Modell an seine Grenzen kommt.
Die zxcvbn-Bibliothek ist das beste freie Stärke-Modell am Markt. Sie erkennt typische Muster — Tastatur-Wiederholungen, Datum-Konstruktionen, einfache Leetspeak-Substitutionen, Wörterbuch-Einträge mit Zusätzen — und rechnet den Such-Aufwand entsprechend herunter. Was sie nicht weiß: welche gezielten Wortlisten ein Angreifer gegen genau Ihr Unternehmen einsetzt. Wenn „Musterbrand“ in einer branchenspezifischen Wortliste steht, erkennt zxcvbn das nicht. Deswegen gilt: zxcvbn liefert eine obere Schranke für die Stärke — kein Garantie-Wert.
Gegen geleakte Korpora hilft die Stärkeprüfung nicht. Wenn ein Nutzer ein zwölfstelliges Passwort wählt, das aus einem anderen Breach in den öffentlichen Dumps steht, ist es wertlos — unabhängig vom zxcvbn-Score. Der Abgleich gegen Have-I-Been-Pwned (oder eine On-Premise-Spiegelung der Breach-Datensätze) ist die separate Prüfung, die jedes modernisierte AD-Passwort-Change-Interface mitbringen sollte. Dieses Werkzeug auf dieser Seite macht den Abgleich nicht — das wäre ein Server-Call, und die Philosophie des Tools ist „keine Eingabe verlässt den Browser“. Die HIBP-Integration ist ein Projekt, kein Funktions-Button.
Und ehrlich gesagt: Die Längen-Zahl ist die leichteste Entscheidung im Passwort-Policy-Paket. Die schwierigen Diskussionen kommen erst danach — Breach-Abgleich gegen k-Anonymitäts-API oder Offline-Korpus, Rollout bei den Alt-Konten, Sonderregelung für privilegierte Zugänge, MFA-Ausrollung als Pflicht für Remote-Zugriffe. Wer die Längen-Zahl richtig setzt, hat ein Prozent der Arbeit erledigt. Richtig, aber nicht ausreichend.
Direkt ausprobieren
Die Stärkeprüfung, die keinen Wert an einen Server schickt.
Die zxcvbn-Stärkeprüfung läuft ausschließlich im Browser. Geben Sie eine typische Benutzer-Konstruktion ein (kein echtes Passwort — das Werkzeug protokolliert nichts, aber der Grundsatz gilt), vergleichen Sie einen Zwölf-Zeichen-Zufallsstring mit einer Vier-Wort-Passphrase, testen Sie die Muster, die Sie aus Ihrem Helpdesk kennen. Der Score-Wert und die geschätzte Crack-Zeit erscheinen live, ohne dass der Wert den Browser verlässt.
Werkzeug öffnen — Stärke prüfenDrei Fragen
Was in Längen-Diskussionen regelmäßig kommt.
Wenn die Policy-Zahl am AD ankommen soll
Die Länge in der Richtlinie zu schreiben ist der leichte Teil.
Zwölf Zeichen in der Policy stehen gut auf dem Papier — im Windows-AD braucht es eine Password-Filter-DLL, eine Self-Service-Portal-Lösung oder eine modernisierte Identity-Schicht, damit die Zahl auch durchgesetzt wird. Modular-Admin bringt die Schicht mit: AD/LDAP-integrierte Password-Policy-Prüfung, HIBP-Abgleich bei jeder Änderung, Evidence-Pakete für die nächste Revision. Im kostenfreien Erstgespräch sehen wir uns an, wie die neue Länge in Ihrer Umgebung konkret ankommt.
Kostenfreies Erstgespräch buchen