Schwache Passwörter werden vom Formular dann nicht mehr akzeptiert.

Das wäre für mich ein no-go. Nicht nur ist es die Entscheidung dessen*, der das Paßwort vergibt, ob er die Warnungen in den Wind schlägt, auch sind die Vorschriften nur so gut wie die Leute die sich einbilden das einschätzen zu können.

Bis zu wieviel Stellen macht man eine Brute-Force-Attacke nur aus Buchstaben und Zahlen, bis man eine Brute-Force-Attacke auch mit Sonderzeichen macht? Dennoch werden lange Paßwörter ohne Sonderzeichen fast immer als unsicher identifiziert.

* Das gilt nicht unbedingt, wenn an der Paßwortsicherheit mehr dran hängen als nur eigene Belange.