Bei Brute‑Force‑Angriffen versuchen Angreifer, ein Passwort durch systematisches Durchprobieren aller möglichen Zeichenkombinationen zu erraten. Die zugrunde liegende Idee ist einfach: möglichst viele Kombinationen pro Sekunde testen – idealerweise auf GPUs oder in verteilten Systemen. Man spricht auch von einer erschöpfenden Suche (exhaustive search).

In der Praxis sind solche Angriffe leider häufig erfolgreich, weil viele Passwörter zu kurz sind, sich auf wenige Zeichengruppen beschränken (nur Buchstaben) oder in Wortlisten vorkommen. Das reduziert den Suchraum drastisch und macht das Erraten einfacher. Noch wichtiger: Man unterscheidet Online‑Angriffe (gegen Login‑Formulare, dort helfen Rate‑Limiting/Account‑Sperren) und Offline‑Angriffe (gegen gestohlene Passwort‑Hashes, dort entscheidet die Hash‑Funktion und Passwortstärke über die Angriffszeit).

Passwörter knacken (offline) ≠ „entschlüsseln“

Passwörter werden nicht entschlüsselt, sondern als Hashwerte gespeichert und dann mit Raten + Hashen (Brute Force, Wörterbuch‑/Maskenangriffe) gesucht. Die Rechengeschwindigkeit moderner Hardware liegt im Milliarden‑Bereich pro Sekunde (für schnelle Hashverfahren), weshalb lange und mit langsamen Verfahren (z. B. Argon2, scrypt, PBKDF2, bcrypt) gehashte Passwörter entscheidend sind.

Kombination und Länge des Passworts

Die folgenden Beispiele zeigen den Einfluss von Länge und Zeichenauswahl. Zur Illustration wird mit 2 Milliarden Versuchen pro Sekunde gerechnet (sehr starker Einzelrechner; reale Werte variieren stark je nach Hardware und – im Offline‑Fall – Hashverfahren).

Typische Zeichengruppen:

• Zahlen (10: 0–9)
• Buchstaben (52: A–Z und a–z)
• Sonderzeichen (≈ 32; hängt vom erlaubten Zeichensatz des Dienstes ab)

Die Anzahl möglicher Kombinationen ergibt sich aus:

Mögliche Kombinationen = (Zeichenmenge)^{Passwortlänge}

Wichtig: Die Tabelle zeigt die maximale Suchzeit. Im Durchschnitt liegt die tatsächliche Zeit etwa bei der Hälfte. Außerdem reduzieren Wörterbuch‑, Regel‑ und Maskenangriffe den Suchraum erheblich, während langsame Passwort‑Hashverfahren die effektive Rate drastisch senken.

Fazit: Jedes zusätzliche Zeichen vervielfacht den Suchraum. Länge schlägt Komplexitätsregeln – besonders gegen Offline‑Angriffe – vorausgesetzt, Dienste nutzen geeignete, langsame Hashverfahren mit Salt.

Schutz vor Brute‑Force‑Angriffen

Die wirksamste Benutzer‑Maßnahme ist ein langes, zufälliges Master‑Passwort bzw. eine Passphrase (z. B. mehrere zufällige Wörter) – einzigartig pro Dienst. Password Depot hilft bei der Generierung und zeigt eine geschätzte Angriffszeit an, die neben Länge/Zeichenset auch Wörterbuch‑Schwachstellen berücksichtigt.

• MFA/2FA aktivieren (z. B. TOTP‑App oder Hardware‑Token) – wo möglich sind Passkeys noch besser. Siehe BSI‑Hinweise.
• Kein Passwort‑Recycling. Jedes Konto braucht ein eigenes, starkes Passwort.
• Lange statt Pflicht‑Komplexität. Dienste sollten lange Passwörter/Passphrasen zulassen (mind. 64 Zeichen) und kompromittierte Passwörter blockieren (Blacklist).
• Langsame Hashverfahren serverseitig (z. B. Argon2, scrypt, PBKDF2, bcrypt) mit Salt und angemessenen Work‑Faktoren; schnelle Hashes wie MD5/SHA‑1 sind ungeeignet zur Passwortspeicherung.
• Rate‑Limiting/Throttling & Sperren: Online‑Angriffe müssen durch begrenzte Fehlversuche, progressive Wartezeiten und ggf. CAPTCHA ausgebremst werden.

Zusätzlich erschwert Password Depot Online‑Rate‑Versuche, indem nach falschen Eingaben die Eingabemaske für das Master‑Passwort kurz gesperrt wird – mit zunehmender Wartezeit bei wiederholten Fehlversuchen.

Weiterführende Quellen

• NIST SP 800‑63B (Rev. 4), Appendix: Strength of Passwords – Länge, Passphrasen, Offline‑Angriffe (Milliarden Hashes/Sek.) und Rate‑Limiting‑Konzept.
• NIST SP 800‑63B (Rev. 3) – u. a. Mindestlänge, lange Passwörter zulassen (≥ 64), Blacklists, Paste erlauben; Rate‑Limiting/Throttling mit Begrenzung auf max. 100 aufeinanderfolgende Fehlversuche.
• OWASP Password Storage Cheat Sheet – geeignete Verfahren (Argon2, scrypt, PBKDF2, bcrypt), Salt/Work‑Faktoren.
• OWASP Authentication Cheat Sheet – Richtlinien zu Passwort‑Eingabe, Länge, Blacklists und Sperrmechanismen.
• BSI: Sichere Passwörter erstellen – u. a. lange/komplexe Passwörter und Passphrasen; Praxis‑Tipps.
• BSI‑Presse 31.01.2025 – keine erzwungenen regelmäßigen Passwortwechsel; 2FA/Passkeys bevorzugen.
• distributed.net RC5 / aktueller Proxy‑Status – Anschauungsbeispiel für erschöpfende Suche und verteilte Rechenleistung.