Die ROBERT-Formel: Wie Du in Minuten knackst, wofür Computer Jahre brauchen würden
Von Robert S. | Dezember 2025
Stell Dir vor, Du stehst vor einem Safe mit 10.000 möglichen Kombinationen. Theoretisch bräuchtest Du Jahre, um alle durchzuprobieren. In der Realität öffnest Du ihn in 20 Sekunden. Warum? Weil der Besitzer nicht „zufällig“ denkt – er denkt wie ein Mensch.
Genau hier setzt die ROBERT-Formel an. Sie ist kein neues Hacking-Tool, sondern ein psychologischer Kompass, der vorhersagt, welche Passwörter, PINs und Wischmuster Menschen wählen – und in welcher Reihenfolge man sie testen sollte.
Die verrückte Realität der Sicherheit
| Was wir denken | Was wirklich passiert |
|---|---|
| „Meine 4-stellige PIN hat 10.000 Möglichkeiten, die ist sicher!“ | Die Top-20 PINs decken 27% aller Nutzer ab |
| „Mein 8-Zeichen-Passwort? 6,6 Billiarden Kombinationen!“ | „Passwort123!“ ist in den Top-1000 weltweit |
| „Mein Android-Muster? Über 389.000 Möglichkeiten!“ | 50% aller Nutzer wählen Muster aus den Top-100 |
Die bittere Wahrheit: Sicherheit wird nicht von Mathematik definiert, sondern von menschlicher Psychologie.
Die Grundidee: ROBERT entschlüsselt
text
ROBERT = Rational Observation of Behavioral Entropy in Real-world Tokens
Die Formel berechnet einen Score zwischen 0 und 1:
- 0.9+ = Trivial zu knacken (unter 10 Versuche)
- 0.5 = Schwach (100-1.000 Versuche)
- <0.1 = Effektiv sicher (Brute-Force nötig)
Die Magie liegt in den Gewichtungen: Häufigkeit, persönliche Bezüge, kulturelle Muster.
Fallstudie: „Sabine1987!“
Nehmen wir an, wir wollen Sabines Accounts knacken. Sie ist 1987 geboren.
Ihr Passwort ist „Sabine1987!“. Theoretisch: 52 Bit Entropie, Jahre an Brute-Force-Zeit.
ROBERT-Analyse:
- Persönlicher Bezug (0.93/1.0): Ihr Name + Geburtsjahr
- Struktur (0.85/1.0): Klassisches „Großbuchstabe + Zahlen + Sonderzeichen“
- Zeitbezug (0.6/1.0): Geburtsjahr
ROBERT-Score: 0.48 → Geschätzte Versuche: ~1.000
Wir haben ihr Passwort nicht „geknackt“ – wir haben erraten, wie sie denkt.
Die drei Säulen der menschlichen Schwäche
1. Passwörter: Die Illusion der Kreativität
Menschen sind predictable. Wir nutzen:
- Emotionale Wörter: „love“, „baby“, „dragon“ (Score: 0.9/1.0)
- Persönliche Daten: Namen, Geburtsdaten (0.95/1.0)
- Vorhersagbare Muster: „Passwort“ + Jahreszahl + „!“ (0.85/1.0)
Die härteste Waffe gegen Passwörter ist nicht Rechenleistung, sondern Facebook. Ein Blick aufs Profil verrät oft alles: Kinderfotos? → Kindername + Geburtsjahr. Haustierbilder? → Tiername + „123“.
2. PINs: Die 20-Sekunden-Lösung
Die Studie von Berry (2012) analysierte 204.508 echte PINs:
- 1234 = 10,7% aller Nutzer
- 1111 = 6,0%
- 0000 = 1,9%
- Top 20 PINs = 27% aller Nutzer
Mit 20 Versuchen knackst Du jeden vierten Account. Die Realität? Die meisten PINs sind:
- Geburtsdaten (TTMM oder JJJJ)
- Tastaturmuster (2580 = gerade Linie runter)
- Aufsteigende Zahlen (1234, 5678)
3. Wischmuster: Die sichtbare Schwäche
Android-Muster sind besonders aufschlussreich:
- 44% starten oben-links (Punkt 1)
- 26% nutzen genau 4 Punkte (das Minimum)
- 35% „zeichnen“ erkennbare Buchstaben (L, Z, N)
Das häufigste Muster? 1-4-7-8-9 – ein simples „L“. Score: 0.80/1.0.
So funktioniert die ROBERT-Formel praktisch
python
# Pseudocode für den Denkprozess
def generate_candidates(person):
candidates = []
# 1. Basisdaten sammeln
names = [person.name, person.partner, person.pet, ...]
dates = [person.birthday, person.anniversary, ...]
numbers = ["123", "1234", person.birth_year, ...]
# 2. Kombinieren und mutieren
for name in names:
candidates.append(name) # "sabine"
candidates.append(name.title() + "123") # "Sabine123"
candidates.append(name.title() + "1987!") # "Sabine1987!"
candidates.append(leet_replace(name)) # "S4b1n3"
# 3. Nach ROBERT-Score sortieren
return sort_by_robert_score(candidates)
Die 5 goldenen Regeln für echte Sicherheit
- Keine persönlichen Bezüge – Wenn’s auf Facebook steht, gehört’s nicht ins Passwort
- Länge schlägt Komplexität – „correct-horse-battery-staple“ ist sicherer als „S4b1n3!“
- Password Manager nutzen – Einziges Master-Passwort merken, Rest generieren lassen
- Zwei-Faktor-Authentifizierung – Macht selbst schwache Passwörter robust
- Regelmäßig prüfen – HaveIBeenPwned.com sagt Dir, ob Deine Daten geleakt wurden
Das Paradoxon der Sicherheit
Die ROBERT-Formel zeigt ein fundamentales Problem: Was für uns einfach zu merken ist, ist auch einfach zu erraten.
Die Lösung ist nicht, „kompliziertere“ Passwörter zu wählen – sondern den Denkprozess vom Erinnern zum Verwalten zu verschieben. Ein Passwort-Manager + 2FA + länge Passphrases bricht die ROBERT-Logik.
Fazit: Du bist nicht paranoid
Die nächste Generation des Hackings braucht keine Supercomputer. Sie braucht Verständnis für menschliche Psychologie. ROBERT ist keine Anleitung zum Hacken – sondern eine Warnung: Dein stärkstes Passwort ist nur so stark wie dein vorhersehbarster Gedanke.
Die Frage ist nicht „Kann es geknackt werden?“ Sondern „Wie viele müssen es vor mir erraten haben?“
