Passwort-Entropie
Ein Passwort aus 12 zufällig gewählten Zeichen von 95 druckbaren Zeichen trägt etwa 78,84 Bit und gilt als stark. Geben Sie Zeichensatzgröße und Länge einer Regel ein, um Richtlinien in Bit zu vergleichen, ohne ein echtes Passwort einzutippen. Kostenlos in Ihrem Browser.
- Kostenlos
- Läuft in Ihrem Browser
- Ohne Anmeldung
- Ihre Daten bleiben auf Ihrem Gerät
Im Browser ausführen – kostenlos
Rechenbeispiel
- Länge
- 12
- Größe des Zeichensatzes
- 95
- Bits pro Zeichen
- 6,569856
- Entropiebits
- 78,838267
- Stärke
- strong
Die Passwort-Entropie ist das informationstheoretische Maß dafür, wie viele Bit Unvorhersagbarkeit ein zufällig gewähltes Geheimnis trägt. Dieser Rechner bittet Sie nicht, ein Passwort einzufügen. Er nimmt zwei Richtwerte entgegen: die Größe des Zeichensatzes, aus dem das Geheimnis gezogen wird, und die Länge in Zeichen. Die Shannon-Entropie beträgt dann H = L × log2(N) Bit. Das Werkzeug liefert diesen Wert zusammen mit einem Stärkelabel von sehr schwach bis sehr stark.
Shannon-Entropie, Zeichensatzgröße und warum die Länge meist gewinnt
Die Shannon-Passwortentropie behandelt ein Passwort als Zeichenkette der Länge L, unabhängig und gleichverteilt aus einem Alphabet von N Symbolen gezogen. Jedes Zeichen steuert dann log2(N) Bit bei, sodass das ganze Geheimnis H = L × log2(N) Bit trägt. Die Zeichensatzgröße ist nicht die Zahl verschiedener Glyphen, die in einem konkreten Passwort vorkommen: sie ist die Größe des Pools, den der Generator verwenden darf.
Das englische Kleinbuchstabenalphabet beträgt 26. Gemischte Groß- und Kleinschreibung 52. Buchstaben plus Ziffern 62.
Druckbares ASCII typischerweise 95. Ein volles Byte 256. Wortlisten im Diceware-Stil nehmen die Listenlänge als N und die Wortzahl als L.
Weil das Modell unabhängige gleichverteilte Ziehungen annimmt, ist das eine obere Schranke: eine einprägsame Phrase, ein Tastaturspaziergang oder ein geleaktes Passwort hat weit weniger Entropie, als die Formel für dieselbe Länge und denselben scheinbaren Zeichensatz nahelegt. Richtlinienautoren verwenden H trotzdem, weil es eine andere Frage beantwortet als ein Stärkemesser: Wie groß ist der Suchraum bei einer gegebenen Erzeugungsregel? Eine verdoppelte Länge fügt einen weiteren vollen Block log2(N) Bit hinzu; ein verdoppeltes Alphabet fügt nur ein Extra-Bit je Zeichen hinzu, wenn N sich verdoppelt.
Deshalb übertrifft ein zwölf Zeichen langes druckbares ASCII-Geheimnis ein acht Zeichen langes Passwort mit gemischter Groß- und Kleinschreibung, auch wenn beide komplex wirken.
Wann sich die Entropie-Berechnung lohnt
Sicherheitsteams nutzen einen Passwort-Entropie-Rechner beim Schreiben der Erzeugungsrichtlinie, nicht wenn jemand ein Geheimnis in ein Anmeldeformular tippt. Identitätsplattformen wählen PIN-Länge und rein numerische gegenüber alphanumerischen Wiederherstellungscodes, indem sie fragen, wie viele Bit die Regel wirklich erzeugt. Compliance-Texte, die Shannon-Bit neben einer Zusammensetzungregel zitieren müssen, können diesen Endpunkt aufrufen statt eine Tabellenformel zu verbreiten, die jemand mit natürlichem Logarithmus falsch kopiert.
Fehlgeschlagene Prüfung wird nicht berechnet. Wenn Sie ein konkretes Passwort bewerten müssen, das ein Benutzer bereits gewählt hat, einschließlich Listen häufiger Passwörter und Schätzungen der Knackzeit, ist das eine andere Suchabsicht und ein anderes Werkzeug.
Anwendungsfälle
Entwurf von Passwortrichtlinien
Vergleichen Sie Erzeugungsregeln (Länge und Zeichensatzgröße) in Bit, bevor Sie eine Zusammensetzungsrichtlinie oder ein Format für Wiederherstellungscodes veröffentlichen.
Labore und Compliance-Notizen
Geben Sie Studierenden und Prüfern ein deterministisches Orakel H = L × log2(N), das eine nicht positive Länge ablehnt, statt still null zurückzugeben.
Häufige Fragen
Wie berechnet man Passwort-Entropie aus Zeichensatzgröße und Länge?
Die Shannon-Entropie beträgt H = L × log2(N) Bit, wobei L die Länge und N die Zeichensatzgröße ist.
Welche Zeichensatzgrößen sollten Sie verwenden?
Verwenden Sie den Pool, aus dem der Generator ziehen darf: 10 für Ziffern, 26 Kleinbuchstaben, 52 gemischte Groß- und Kleinschreibung, 62 alphanumerisch, 95 druckbares ASCII, 256 für ein volles Byte. Wortlisten nehmen die Listenlänge als N und die Wortzahl als L.
Was geschieht, wenn length keine positive ganze Zahl ist?
Null, Negative, Brüche, leere Werte und fehlendes length werden abgelehnt.
Wie ordnet das Stärkelabel den Bit-Zahlen zu?
Unter 28 Bit very weak, 28–36 weak, 36–60 fair, 60–128 strong, 128 Bit oder mehr very strong. Diese Bänder beschreiben gleichverteilt zufällige Geheimnisse; ein gewähltes Passwort kann schwächer sein.
Warum zählt die Länge mehr als zusätzliche Zeichenarten?
Jedes zusätzliche Zeichen bringt volle log2(N) Bit, während ein doppelt so großer Zeichensatz nur ein Bit pro Zeichen hinzufügt. Deshalb schlägt ein Passwort aus zwölf druckbaren Zeichen eines aus acht Groß- und Kleinbuchstaben.
Gilt das Ergebnis auch für ein selbst ausgedachtes Passwort?
Nein. Die Formel setzt voraus, dass jedes Zeichen unabhängig und gleichmäßig zufällig gewählt wird, und liefert daher eine Obergrenze. Eine merkbare Phrase, eine Tastaturfolge oder ein geleaktes Passwort hat deutlich weniger Entropie.
Verwandte Tools
Für Entwickler — API-Zugang
Alles auf dieser Seite ist auch per API verfügbar. Dieser Abschnitt richtet sich an Teams, die es in ihre eigenen Systeme einbinden möchten; alle anderen nutzen einfach das Tool oben.
Endpunkt
Authentifizierung per Bearer-Token. Ein einziger POST stellt die Aufgabe in die Warteschlange; das Ergebnis erhalten Sie per Webhook oder über einen signierten Link.
Aufruf aus Ihrem Stack
curl -X POST https://api.kit.forhosting.com/security/password-entropy \
-H "Authorization: Bearer $KIT_KEY" \
-H "Content-Type: application/json" \
-d '{"length":12,"charset_size":95}'const res = await fetch("https://api.kit.forhosting.com/security/password-entropy", {
method: "POST",
headers: {
"Authorization": `Bearer ${process.env.KIT_KEY}`,
"Content-Type": "application/json"
},
body: JSON.stringify({
"length": 12,
"charset_size": 95
})
});
const { task_id } = await res.json();import os, requests
res = requests.post(
"https://api.kit.forhosting.com/security/password-entropy",
headers={"Authorization": f"Bearer {os.environ['KIT_KEY']}"},
json={
"length": 12,
"charset_size": 95
},
)
task_id = res.json()["task_id"]<?php
$res = file_get_contents("https://api.kit.forhosting.com/security/password-entropy", false, stream_context_create([
"http" => [
"method" => "POST",
"header" => "Authorization: Bearer " . getenv("KIT_KEY") . "\r\nContent-Type: application/json",
"content" => '{"length":12,"charset_size":95}',
],
]));
$task = json_decode($res, true);body := bytes.NewBufferString(`{"length":12,"charset_size":95}`)
req, _ := http.NewRequest("POST", "https://api.kit.forhosting.com/security/password-entropy", body)
req.Header.Set("Authorization", "Bearer "+os.Getenv("KIT_KEY"))
req.Header.Set("Content-Type", "application/json")
res, _ := http.DefaultClient.Do(req)Beispiel-Anfrage
{
"length": 12,
"charset_size": 95
}Beispiel-Antwort
{
"task_id": "tsk_a1b2c3d4e5f6a1b2c3d4e5f6",
"type": "security.password_entropy",
"status": "queued",
"_links": {
"result": "/tasks/tsk_…/result"
}
}Die API arbeitet asynchron: Sie erhalten sofort eine task_id. Polling ist mit 1 Anfrage pro Sekunde erlaubt.
Preis
Der Preis steht auf der Seite – keine Tokens, keine Credits. Fehlgeschlagene Aufgaben werden nicht berechnet.
Fehler
| HTTP | Code | Bedeutung |
|---|---|---|
401 | unauthorized | Der API-Schlüssel fehlt oder ist ungültig – prüfen Sie den Authorization-Header (Bearer). |
402 | insufficient_balance | Ihr Guthaben reicht für diese Aufgabe nicht aus – Aufladungen verfallen nicht. |
404 | unknown_type | Unbekannter Aufgabentyp – prüfen Sie das Feld „type“ gegen den Katalog. |
429 | rate_limited | Zu viele Anfragen – warten Sie kurz; Polling ist mit 1 Anfrage pro Sekunde erlaubt. |
Technische Hinweise
Nutzen Sie ihn beim Entwerfen von Passwortrichtlinien, PIN-Längen, Wiederherstellungscodes oder API-Schlüssel-Formaten. Eine Länge, die keine positive ganze Zahl ist, wird mit invalid_input abgelehnt.
Shannon-Entropie, Zeichensatzgröße und warum die Länge meist gewinnt
Der Rechner meldet bits_per_character als log2(N), damit Sie den Beitrag je Glyphe neben der Summe sehen.
Eingabevertrag, Stärkelabel und Fehlerverhalten
Dass die Länge keine positive ganze Zahl ist, ist der Vertrag, den die Seite verspricht: die Aufgabe wird nicht berechnet. Werte über einer Million werden als außerhalb des Bereichs für einen Richtlinienparameter abgelehnt. Die Stärke folgt den üblichen informationstheoretischen Bändern: unter 28 Bit very weak, 28 bis 36 weak, 36 bis 60 fair, 60 bis 128 strong, 128 Bit oder mehr very strong. Ein Eine-Zeichen-Alphabet ist mathematisch zulässig und liefert null Bit mit dem Label very weak. Senden Sie per POST einen JSON-Körper mit zwei erforderlichen positiven ganzen Zahlen: length, die Passwortlänge in Zeichen, und charset_size, die Größe des erzeugenden Alphabets. Für das erste Feld gelten die Aliasse length, password_length und l; für das zweite charset_size, charset, pool, alphabet_size und pool_size. Jeder Wert darf als JSON-Ganzzahl oder als Ziffernkette ankommen. Fehlende Felder, leere Zeichenketten, Boolesche Werte, Objekte, Brüche wie 12.5, Null und negative Zahlen scheitern mit invalid_input unter Nennung des Feldes. Bei Erfolg wiederholt der Körper length und charset_size, meldet bits_per_character als log2 des Pools, entropy_bits als L mal diese Größe auf sechs Dezimalstellen gerundet für stabile Goldens, ein Stärkelabel und die Formelzeichenkette H = L * log2(N). Beispiel: length 12 und charset_size 95 (druckbares ASCII) ergibt etwa 78.84 Bit und das Label strong. Length 8 und charset_size 26 (nur Kleinbuchstaben) ergibt etwa 37.60 Bit und das Label fair.
Wo eine Passwort-Entropie-API ihren Platz verdient
Hardware-Token- und API-Schlüssel-Autoren vergleichen ein 22-Zeichen-Geheimnis in base62 mit einer 16-Byte-hex-Zeichenkette auf einer einzigen Skala. Weil die Implementierung reines Parse der Stufe A ist, kostet jeder erfolgreiche Aufruf den veröffentlichten Grundpreis $0.002, ohne Modell-Token und ohne ausgehendes Netz. Halten Sie Anfragen klein, pinnen Sie gerundetes entropy_bits in Tests, und Sie erhalten ein reproduzierbares Richtlinienorakel für Handbücher, LMS-Labore und Edge-Worker, ohne eine eigene Kryptobibliothek aufzustellen.
Integrationsbeispiele
Dimensionierung von PIN und API-Schlüsseln
Dimensionieren Sie numerische PIN, API-Schlüssel in base62 und hex-Token auf einer Shannon-Skala, statt Ziffernzahlen mit Folklore über Komplexität zu mischen.
Technische Fragen
Was kostet der Passwort-Entropie-Rechner?
Das Browser-Werkzeug ist kostenlos. API-Anfragen nutzen vorausbezahltes KIT-Guthaben zu $0.002 je erfolgreichem Aufruf; ungültige Eingabe wird nicht berechnet.