Analyze password entropy, crack time, and check against known data breaches. Your password never leaves the browser.
All password analysis is performed locally in your browser. The breach check uses k-anonymity: only the first 5 characters of your password's SHA-1 hash are sent to Have I Been Pwned. The full hash never leaves your device.
Password strength is measured in entropy bits — the average number of guesses an attacker must try before hitting the password. This tool derives the charset size N from the character classes present (26 lowercase, 26 uppercase, 10 digits, 33 specials), then computes E = length × log₂(N). Each extra bit doubles the search space. The crack-time estimate divides 2^E by 10 billion guesses per second — an offline GPU brute-force rate — and formats the result as seconds, hours, years, or centuries. It also runs eight policy checks (length, case, digits, repeats, sequences, common-password lists) and a k-anonymity breach lookup against Have I Been Pwned.
Every character class widens the search space; entropy grows linearly with length and logarithmically with charset size.
Maya is rolling out a password manager for her team of ten and uses this tester to pick a safe master password. Every number below is what the tool actually computes.
To test password strength: type a candidate — the checker estimates entropy, offline crack time against GPU rigs, and flags patterns, dictionary words, and reuse risks without ever sending the password anywhere.
FreeToolHub Password Strength Checker is a free browser-based tool that scores password entropy and estimates crack time locally, no signup, no transmission.
Analysieren Sie die Passwortstärke mit Entropieberechnung, geschätzter Knackzeit, 9 Qualitätsprüfungen und umsetzbaren Vorschlägen. 100 % client-seitig.
Dieser Tester analysiert die Passwortstärke mit echter Mathematik anstatt farbiger Balken: er berechnet die Entropie in Bits aus Zeichensatz und Länge, schätzt die Offline-Knackzeit gegen moderne GPU-Angriffsraten und führt neun Qualitätsprüfungen durch, die Länge, Zeichenvielfalt, sich wiederholende Sequenzen, Tastaturmuster, Wörterbuchwörter und häufige Passwortlisten abdecken. Jede Feststellung kommt mit einem umsetzbaren Vorschlag — nicht nur schwach, sondern schwach, weil es ein Wörterbuchwort enthält und durch das Hinzufügen von vier zufälligen Zeichen 26 Bits gewinnen würde. Die Analyse erfolgt vollständig client-seitig: das Passwort wird niemals übertragen, protokolliert oder gespeichert, was das einzige akzeptable Design für ein solches Werkzeug ist.
Nutzer, die Passwörter vor deren Verwendung für wichtige Konten — Banken, E-Mail, das Master-Passwort des Passwortmanagers selbst — prüfen. Teams, die Hygiene in der Sicherheit lehren, zeigen konkret auf, warum P@ssw0rd!1 neun Prüfungen trotz scheinbarer Konformität nicht besteht. Entwickler kalibrieren Passwortrichtlinienregeln an der Entropie-Realität anstelle naiver Komplexitätsregeln, die Nutzer zu vorhersehbaren Mustern führen. Jeder, der ein Master-Passwort für verschlüsselte Archive oder Krypto-Wallets wählt, erhält die Knackzeit-Zahl, die ihm sagt, welchen Spielraum er tatsächlich hat.
(1) Geben Sie ein Kandidatenpasswort ein — die Analyse läuft live pro Tastaturanschlag. (2) Die Entropie berechnet sich als Länge mal dem Log2 des tatsächlich verwendeten Zeichensatzes: ein 12 Zeichen langes Passwort aus allen vier Sätzen hat etwa 78 Bits. (3) Die Knackzeitschätzungen wenden realistische Angriffsdurchsätze an — Hunderte Milliarden Versuche pro Sekunde für schnelle Hashes — und übersetzen Bits in menschengerechte Dauerangaben. (4) Die neun Prüfungen berichten einzeln mit spezifischen Korrekturen; die Gesamtnote berücksichtigt den schwächsten Faktor, weil Angreifer auch den schwächsten Faktor angreifen.
Die Komplexitätsregeln, die sich alle gemerkt haben — acht Zeichen, Groß-, Kleinbuchstaben, Zahl, Symbol — stammen aus einer Leitlinie von 2003, deren Autor sich später dafür entschuldigt hat, weil sie für menschliche Vorhersehbarkeit optimieren: P@ssw0rd1 erfüllt jede Regel und fällt augenblicklich. Die forschungsgestützte Verschiebung, formalisiert in NIST SP 800-63B, priorisiert Länge vor Zusammensetzung, verbietet erzwungene periodische Rotation (was Nutzer dazu bringt, Password1 zu Password2 zu inkrementieren) und prüft neue Passwörter gegen bekannte Datenpannenlisten anstelle von Muster-Versuchen. Aktuell beste Praxis: Länge 16 oder ein 4–6 Wörter langes Zufallspasswort, Einzigartigkeit pro Site durch einen Passwortmanager erzwungen, Prüfung auf Datenpannen bei Erstellung, und Multi-Faktor-Authentifizierung trägt das eigentliche Sicherheitsgewicht für wichtige Konten. Die Mathematik erklärt warum: jedes zusätzliche zufällige Zeichen multipliziert den Suchraum um 70–90×, während vorgeschriebene Symbole nur einen kleinen konstanten Faktor hinzufügen — und hauptsächlich nur alle in dieselben Leetspeak-Ersetzungen treiben, die Cracker vor Jahren skriptiert haben. Die Prüfungen dieses Testers kodieren den modernen Regelsatz, also bedeutet stark hier: stark gegen Angriffe, wie sie tatsächlich ablaufen.
Länge schlägt Komplexität: 16+ zufällige Zeichen aus gemischten Sätzen. Ein 12 Zeichen langes zufälliges Passwort hält Offline-Knackversuchen viel länger stand als ein 8 Zeichen langes mit Symbolen und Ersetzungen wie P@ssw0rd, das bereits in Wörterbüchern enthalten ist.
Ein 12 Zeichen langes zufälliges Passwort mit gemischten Zeichen dauert Jahrhunderte gegen typische GPU-Rigs; 8 Zeichen fallen in Stunden. Dieser Prüfer schätzt die Knackzeit aus Zeichensatz und Länge, ohne etwas zu speichern.
Ja, wenn sie aus 4–6 zufälligen Wörtern bestehen — 25+ Zeichen mit einprägsamer Struktur. Vermeiden Sie berühmte Zitate oder von Liedern abgeleitete Phrasen, die in Knackwortlisten erscheinen.
Credential stuffing spielt Datenpannen gegen andere Sites ab. Ein Passwortmanager plus einzigartige Passwörter begrenzen die Sprengkraft jeder einzelnen Panne auf dieses eine Konto.
Es berechnet die Entropie (Bits der Zufälligkeit) basierend auf Zeichensatzgröße und Länge, schätzt dann die Knackzeit gegen Offline-Angriffe: 100 Milliarden Versuche/Sekunde (GPU-Cluster mit hashcat) versus 10.000 Versuche/Sekunde (online gedrosselter Login). Ein 12 Zeichen langes Passwort mit gemischten Groß-/Kleinschreibung und Symbolen hat ~71 Bits Entropie — etwa 34.000 Jahre bei 100 Mrd. Versuchen/Sekunde.
Es markiert Wörterbuchwörter, Tastaturmuster (qwerty, 1qaz2wsx), sich wiederholende Zeichen, aufsteigende Zahlen und übliche Ersetzungen (@ für a, 0 für o). Es prüft auch gegen die Top 100.000 kompromittierten Passwörter aus HaveIBeenPwned-Datensätzen. "P@ssw0rd123" wird als schwach eingestuft, obwohl es typische Komplexitätsregeln erfüllt.
It calculates entropy (bits of randomness) based on character set size and length, then estimates crack time against offline attacks: 100 billion guesses/second (GPU cluster with hashcat) versus 10,000 guesses/second (online throttled login). A 12-character mixed-case password with symbols has ~71 bits of entropy—roughly 34,000 years at 100B guesses/second.
It flags dictionary words, keyboard patterns (qwerty, 1qaz2wsx), repeated characters, sequential numbers, and common substitutions (@ for a, 0 for o). It also checks against the top 100,000 breached passwords from HaveIBeenPwned datasets. "P@ssw0rd123" scores as weak despite meeting typical complexity rules.
What do you call a really smart cookie?
No signups, no data sold. Every tool is free to use — the free tier allows 5 downloads or saves per day, and the optional Pro plan ($7/mo, $59/yr) adds unlimited downloads, batch processing, white-label exports and an ad-free experience.
☕Support me on Ko-fi— support the free tier100% of proceeds go towards hosting & building more free tools.