Die ROBERT-Formel: Wie Du in Minuten knackst, wofür Computer Jahre brauchen würden
Von Robert S. | Dezember 2025
Stell Dir vor, Du stehst vor einem Safe mit 10.000 möglichen Kombinationen. Theoretisch bräuchtest Du Jahre, um alle durchzuprobieren. In der Realität öffnest Du ihn in 20 Sekunden. Warum? Weil der Besitzer nicht „zufällig“ denkt – er denkt wie ein Mensch.
Genau hier setzt die ROBERT-Formel an. Sie ist kein neues Hacking-Tool, sondern ein psychologischer Kompass, der vorhersagt, welche Passwörter, PINs und Wischmuster Menschen wählen – und in welcher Reihenfolge man sie testen sollte.
📋 Kurzfassung: Sicherheit entscheidet nicht die Mathematik, sondern die Psychologie. Die ROBERT-Formel sagt vorher, welche Passwörter, PINs und Wischmuster Menschen wählen — und in welcher Reihenfolge man sie testen würde.
- ROBERT: Rational Observation of Behavioral Entropy in Real-world Tokens
- PINs: die Top 20 decken 27 Prozent aller Nutzer ab
- Wischmuster: die Hälfte aller Nutzer wählt eines aus den Top 100
- Fallstudie „Sabine1987!“: theoretisch 52 Bit Entropie, praktisch rund 1.000 Versuche
Die verrückte Realität der Sicherheit
| Was wir denken | Was wirklich passiert |
|---|---|
| „Meine 4-stellige PIN hat 10.000 Möglichkeiten, die ist sicher!“ | Die Top-20 PINs decken 27% aller Nutzer ab |
| „Mein 8-Zeichen-Passwort? 6,6 Billiarden Kombinationen!“ | „Passwort123!“ ist in den Top-1000 weltweit |
| „Mein Android-Muster? Über 389.000 Möglichkeiten!“ | 50% aller Nutzer wählen Muster aus den Top-100 |
Die bittere Wahrheit: Sicherheit wird nicht von Mathematik definiert, sondern von menschlicher Psychologie.
Die Grundidee: ROBERT entschlüsselt
text
ROBERT = Rational Observation of Behavioral Entropy in Real-world Tokens
Die Formel berechnet einen Score zwischen 0 und 1:
- 0.9+ = Trivial zu knacken (unter 10 Versuche)
- 0.5 = Schwach (100-1.000 Versuche)
- <0.1 = Effektiv sicher (Brute-Force nötig)
Die Magie liegt in den Gewichtungen: Häufigkeit, persönliche Bezüge, kulturelle Muster.
Fallstudie: „Sabine1987!“
Nehmen wir an, wir wollen Sabines Accounts knacken. Sie ist 1987 geboren.
Ihr Passwort ist „Sabine1987!“. Theoretisch: 52 Bit Entropie, Jahre an Brute-Force-Zeit.
ROBERT-Analyse:
- Persönlicher Bezug (0.93/1.0): Ihr Name + Geburtsjahr
- Struktur (0.85/1.0): Klassisches „Großbuchstabe + Zahlen + Sonderzeichen“
- Zeitbezug (0.6/1.0): Geburtsjahr
ROBERT-Score: 0.48 → Geschätzte Versuche: ~1.000
Wir haben ihr Passwort nicht „geknackt“ – wir haben erraten, wie sie denkt.
Die drei Säulen der menschlichen Schwäche
1. Passwörter: Die Illusion der Kreativität
Menschen sind predictable. Wir nutzen:
- Emotionale Wörter: „love“, „baby“, „dragon“ (Score: 0.9/1.0)
- Persönliche Daten: Namen, Geburtsdaten (0.95/1.0)
- Vorhersagbare Muster: „Passwort“ + Jahreszahl + „!“ (0.85/1.0)
Die härteste Waffe gegen Passwörter ist nicht Rechenleistung, sondern Facebook. Ein Blick aufs Profil verrät oft alles: Kinderfotos? → Kindername + Geburtsjahr. Haustierbilder? → Tiername + „123“.
2. PINs: Die 20-Sekunden-Lösung
Die Studie von Berry (2012) analysierte 204.508 echte PINs:
- 1234 = 10,7% aller Nutzer
- 1111 = 6,0%
- 0000 = 1,9%
- Top 20 PINs = 27% aller Nutzer
Mit 20 Versuchen knackst Du jeden vierten Account. Die Realität? Die meisten PINs sind:
- Geburtsdaten (TTMM oder JJJJ)
- Tastaturmuster (2580 = gerade Linie runter)
- Aufsteigende Zahlen (1234, 5678)
3. Wischmuster: Die sichtbare Schwäche
Android-Muster sind besonders aufschlussreich:
- 44% starten oben-links (Punkt 1)
- 26% nutzen genau 4 Punkte (das Minimum)
- 35% „zeichnen“ erkennbare Buchstaben (L, Z, N)
Das häufigste Muster? 1-4-7-8-9 – ein simples „L“. Score: 0.80/1.0.
So funktioniert die ROBERT-Formel praktisch
python
# Pseudocode für den Denkprozess
def generate_candidates(person):
candidates = []
# 1. Basisdaten sammeln
names = [person.name, person.partner, person.pet, ...]
dates = [person.birthday, person.anniversary, ...]
numbers = ["123", "1234", person.birth_year, ...]
# 2. Kombinieren und mutieren
for name in names:
candidates.append(name) # "sabine"
candidates.append(name.title() + "123") # "Sabine123"
candidates.append(name.title() + "1987!") # "Sabine1987!"
candidates.append(leet_replace(name)) # "S4b1n3"
# 3. Nach ROBERT-Score sortieren
return sort_by_robert_score(candidates)
Die 5 goldenen Regeln für echte Sicherheit
- Keine persönlichen Bezüge – Wenn’s auf Facebook steht, gehört’s nicht ins Passwort
- Länge schlägt Komplexität – „correct-horse-battery-staple“ ist sicherer als „S4b1n3!“
- Password Manager nutzen – Einziges Master-Passwort merken, Rest generieren lassen
- Zwei-Faktor-Authentifizierung – Macht selbst schwache Passwörter robust
- Regelmäßig prüfen – HaveIBeenPwned.com sagt Dir, ob Deine Daten geleakt wurden
Das Paradoxon der Sicherheit
Die ROBERT-Formel zeigt ein fundamentales Problem: Was für uns einfach zu merken ist, ist auch einfach zu erraten.
Die Lösung ist nicht, „kompliziertere“ Passwörter zu wählen – sondern den Denkprozess vom Erinnern zum Verwalten zu verschieben. Ein Passwort-Manager + 2FA + länge Passphrases bricht die ROBERT-Logik.
Fazit: Du bist nicht paranoid
Die nächste Generation des Hackings braucht keine Supercomputer. Sie braucht Verständnis für menschliche Psychologie. ROBERT ist keine Anleitung zum Hacken – sondern eine Warnung: Dein stärkstes Passwort ist nur so stark wie dein vorhersehbarster Gedanke.
Die Frage ist nicht „Kann es geknackt werden?“ Sondern „Wie viele müssen es vor mir erraten haben?“
Häufige Fragen
Ist die ROBERT-Formel ein Hacking-Werkzeug?
Nein. Sie ist ein psychologischer Kompass, der die Reihenfolge vorgibt, in der man Kandidaten testen würde. Geknackt wird nichts — erraten wird, wie jemand denkt.
Was sagt der ROBERT-Score aus?
Er liegt zwischen 0 und 1. Ab 0,9 ist ein Token in unter zehn Versuchen trivial zu erraten, bei 0,5 braucht es 100 bis 1.000 Versuche, unter 0,1 gilt es als effektiv sicher.
Warum ist „Sabine1987!“ trotz 52 Bit Entropie schwach?
Weil alle drei Bausteine vorhersagbar sind: Vorname, Geburtsjahr und das klassische Muster aus Großbuchstabe, Ziffern und Sonderzeichen am Ende.
1 Kommentar