# Liste häufiger Passwörter

`common-passwords.txt` wird von der Registrierung und vom Passwort-Reset genutzt
(KTO-01 Kriterium 3, Spec #1 § 5.6). Die Liste wird nur im Client geprüft; es
gibt keinen Abgleich mit externen Diensten (kein HIBP).

## Format

- Eine Zeile je Eintrag, UTF-8, LF, Kleinschreibung, ohne Leerraum am Rand.
- Nur Einträge mit mindestens 10 Zeichen (kürzere fängt die Längenregel).
- Einmalig, nach Häufigkeit sortiert (deutsche Einträge zuerst).
- 10.000 Einträge, ca. 118 KB.
- Der Vergleich in der App erfolgt ohne Groß-/Kleinschreibung und nach Trim.

## Quelle und Lizenz

SecLists von Daniel Miessler, Lizenz MIT (Volltext in `app/THIRD_PARTY.md`),
Commit `68bcd12457978649d41ae4f56e3b5d2db2b72560`, Verzeichnis
`Passwords/Common-Credentials/`:

| Datei | Verwendung |
|---|---|
| `Language-Specific/German_common-password-list-top-100000.txt` | die ersten 4.000 Einträge mit mindestens 10 Zeichen |
| `xato-net-10-million-passwords-1000000.txt` | die ersten 6.000 weiteren Einträge mit mindestens 10 Zeichen |

**Offene Lizenzfrage:** Die MIT-Lizenz gilt für das SecLists-Repository. Die
einzelnen Listen stammen aus Datenlecks bzw. Sammlungen Dritter (die xato-Liste
von Mark Burnett); eine eigene Lizenz je Liste nennt SecLists nicht. Die Spec
(§ 5.6) nennt SecLists (MIT) als Kandidaten. Die abschließende Freigabe liegt
bei Chris. Die Liste enthält ausschließlich Passwörter, keine Konten oder
E-Mail-Adressen.

## Neu erzeugen

```bash
python3 scripts/build-common-passwords.py <xato-1000000.txt> <german-top-100000.txt> app/assets/security/common-passwords.txt
```

Das Skript liegt unter `scripts/build-common-passwords.py` (Filter, Reihenfolge
und Grenzen stehen im Kopf der Datei).