Kurz gesagt: Laut der bekannten Tabelle zur Knackzeit dauert es 2026 132 Jahre, ein 8-stelliges Passwort mit allen Zeichenarten per Brute Force zu knacken. Diese Zahl gilt aber nur für ein Passwort, das zufällig ist, nie geleakt wurde und nicht durch 2FA geschützt ist. Echte Passwörter sind meist nicht zufällig, Angreifer probieren zuerst geleakte und gängige, und die fallen fast sofort. Was dich schützt: ein langes, zufälliges Passwort aus einem Passwortmanager, nie wiederverwendet, mit aktivierter 2FA.
Was die Tabelle misst
Hive Systems veröffentlicht jedes Jahr eine Tabelle, wie lange ein Brute-Force-Angriff bräuchte, um ein Passwort zu knacken, nach Länge und nach den enthaltenen Zeichenarten. Die Ausgabe 2026 geht von einem gut ausgestatteten Angreifer aus: 16 × RTX 5090 GPUs gegen Passwörter, die mit bcrypt gehasht sind (Work Factor 10).
- 8 zufällige Kleinbuchstaben: etwa zwei Wochen.
- 8 zufällige Zeichen, alle Arten (Groß- und Kleinbuchstaben, Ziffern, Sonderzeichen): 132 Jahre.
Die Zahl sinkt weiter
Dasselbe 8-stellige Passwort mit allen Zeichenarten brauchte in der Tabelle 2024 noch 225 Jahre, 2025 dann 164 und 2026 132. Hive Systems schätzt, dass es mit besserer Hardware jedes Jahr etwa 20 bis 25 % schneller geht.
Der Haken
Die Tabelle ist der beste Fall. In Hive Systems' eigenen Worten setzen ihre Zahlen voraus, dass Passwörter zufällig generiert sind, dass das Passwort in keinem früheren Datenleck vorkam und dass MFA nicht genutzt oder umgangen wurde.
Ein echtes Passwort verletzt meist mindestens eine dieser Annahmen: Es ist ein Wort, ein Name mit Jahreszahl oder eines, das du anderswo schon benutzt hast und das geleakt wurde. Und Angreifer fangen nicht mit Brute Force an. Sie probieren alle gängigen und geleakten Passwörter, bevor sie sich die Mühe machen, neue zu knacken, also kann ein gängiges, wiederverwendetes oder auf Wörterbuchwörtern basierendes Passwort sofort fallen.
Die Beispielpasswörter im Video (password123, summer2024!, qwerty) dienen der Illustration und stammen nicht aus einer echten Leak-Liste.
Was wirklich hilft
- Lang und zufällig, erzeugt von einem Passwortmanager.
- Nie ein Passwort wiederverwenden. Ein Leak sollte einen Account öffnen, nicht alle.
- 2FA einschalten. Die 132-Jahre-Tabelle geht davon aus, dass du es nicht getan hast.
Quellen
- Hive Systems, Are your passwords in the green? (die Tabelle 2026 und ihre Annahmen)
- Hive Systems, Pressemitteilung, 14. Juli 2026
Das Video ist mit Code animiert, und das Skript entstand mit KI-Unterstützung; jede Zahl oben ist an den Quellen geprüft. Das Video ist auf Englisch. Gemacht mit Shotloop, meiner kostenlosen Mac-App für Erklärvideos aus Code, korrigiert Shot für Shot.