🔐 Passwort-Generator

Wie stark ist stark genug? Passwortstärke wird in Entropie-Bits gemessen — jedes Bit verdoppelt die Anzahl möglicher Kombinationen. Die folgende Tabelle ordnet gängige Passwortlängen und Zeichensätze ihrer Entropie und der geschätzten Knackzeit auf einem modernen GPU-Cluster (10 Milliarden Versuche/Sekunde) zu. Das National Institute of Standards and Technology (NIST SP 800-63B) empfiehlt ein Minimum von 8 Zeichen für vom Benutzer gewählte Passwörter, aber maschinengenerierte Passwörter von 16+ Zeichen mit vollständigen Symbolsätzen sind exponentiell schwerer zu knacken. Weitere Ressourcen zur Cybersicherheit finden Sie im Leitfaden CISA Secure Our World.

Jedes zusätzliche Zeichen Länge fügt etwa 1,7 Bits (Kleinbuchstaben) bis 6,6 Bits (voller Zeichensatz) Entropie hinzu. Ein 12-stelliges Passwort mit allen vier Zeichensätzen ist bereits stärker als ein 18-stelliges Passwort nur mit Kleinbuchstaben. Fazit: Länge + Zeichenvielfalt = exponentielle Stärke.

1. Stellen Sie die gewünschte Passwortlänge per Schieberegler oder Eingabefeld ein – für maximale Sicherheit empfehlen wir mindestens 16 Zeichen.
2. Wählen Sie aus, welche Zeichentypen einbezogen werden sollen: Kleinbuchstaben, Großbuchstaben, Zahlen und Symbole. Geben Sie alle vier an, um die stärksten Passwörter zu erhalten.
3. Schließen Sie optional mehrdeutige Zeichen (wie l, 1, I, O, 0) aus, wenn die Lesbarkeit wichtig ist.
4. Klicken Sie auf die Schaltfläche „Generieren“, um ein neues zufälliges Passwort zu erstellen.
5. Kopieren Sie das Passwort und fügen Sie es direkt in Ihre Kontoeinstellungen oder Ihren Passwort-Manager ein. Generieren Sie für jedes Konto ein neues Passwort – verwenden Sie Passwörter niemals für mehrere Dienste wieder, da ein einziger Verstoß sonst alle gefährden würde.

Warum sind zufällige Passwörter besser als einprägsame Passwörter?

Von Menschen erstellte Passwörter folgen vorhersehbaren Mustern: Namen, Daten, Wörterbuchwörter, Tastatureingaben (qwertz) und häufige Ersetzungen (a→@, e→3). Hacker nutzen diese Muster mithilfe von Wörterbuchangriffen und regelbasierten Cracking-Tools aus. Ein wirklich zufälliges Passwort hat kein ausnutzbares Muster, daher ist die einzige Möglichkeit, es zu knacken, rohe Gewalt – das Ausprobieren jeder möglichen Kombination, die mit zunehmender Länge rechnerisch nicht mehr durchführbar ist. Ein 16-stelliges Zufallspasswort mit Symbolen würde mit aktueller Hardware Billionen von Jahren brauchen, um es zu knacken.

Sollte ich einen Passwort-Manager verwenden?

Ja, absolut. Passwortmanager wie Bitwarden, 1Password, LastPass und Dashlane speichern alle Ihre Passwörter in einem verschlüsselten Tresor, der durch ein einziges Master-Passwort geschützt ist. Dadurch können Sie für jedes Konto ein eindeutiges, zufällig generiertes Passwort verwenden, ohne sich eines davon zu merken. Die meisten Manager verfügen über integrierte Passwortgeneratoren, automatisch ausgefüllte Anmeldeformulare und warnen Sie vor wiederverwendeten oder gehackten Passwörtern. Die geringfügigen Unannehmlichkeiten bei der Einrichtung werden durch den Sicherheitsvorteil bei weitem aufgewogen.

Was empfiehlt NIST?

Das US-amerikanische National Institute of Standards and Technology (NIST) hat seine Passwortrichtlinien im Jahr 2017 (Sonderpublikation 800-63B) mit mehreren wichtigen Änderungen aktualisiert: Geben Sie der Passwortlänge Vorrang vor der Komplexität, eliminieren Sie obligatorische regelmäßige Passwortänderungen (sie führen zu schwächeren Passwörtern), ermöglichen Sie die Einfügefunktion zur Unterstützung von Passwort-Managern und prüfen Sie neue Passwörter anhand von Listen häufig verwendeter oder verletzter Passwörter. Die Länge gilt mittlerweile als wichtigster Faktor für die Passwortstärke.

Wie stellt dieser Generator Zufälligkeit sicher?

Dieses Tool verwendet die Kryptografie-API Ihres Browsers (crypto.getRandomValues), die kryptografisch sichere Zufallszahlen bereitstellt, die aus dem Entropiepool des Betriebssystems stammen. Dies unterscheidet sich grundlegend von Math.random(), das einen Pseudozufallsalgorithmus verwendet, der vorhersehbar und aus Sicherheitsgründen ungeeignet ist.

Was ist Passwort-Entropie?

Entropie misst die Zufälligkeit eines Passworts in Bits. Jedes Bit verdoppelt die Anzahl möglicher Kombinationen, daher hat ein 50-Bit-Passwort 2 hoch 50, etwa 1 Billiarde Möglichkeiten. Ein 12-stelliges Passwort, das alle Zeichentypen verwendet, hat etwa 71 Bits Entropie – genug, um Brute-Force-Angriffen jahrhundertelang zu widerstehen. Entropie steigt mit Länge und Zeichenvielfalt: Das Hinzufügen von Symbolen zu einem 12-stelligen alphanumerischen Passwort springt von 71 auf 79 Bits und macht es etwa 250-mal schwerer zu knacken.

Wie lang sollte mein Passwort sein?

Für die meisten persönlichen Konten empfiehlt NIST ein Minimum von 8 Zeichen, aber 12 bis 16 Zeichen sind der Sweet Spot für starke Sicherheit. Mit allen vier Zeichensätzen aktiviert (Großbuchstaben, Kleinbuchstaben, Zahlen, Symbole) hat ein 16-stelliges Passwort 95,3 Bits Entropie – praktisch unknackbar durch Brute Force. Für hochsensible Konten (Banking, E-Mail) sollten Sie 20+ Zeichen in Betracht ziehen. Passwortmanager machen lange Passwörter mühelos, da Sie sich nur ein Master-Passwort merken müssen.

Sind Passphrasen besser als Passwörter?

Passphrasen – Sequenzen aus 3 bis 5 zufälligen Wörtern wie „purple-elephant-cartoon-window“ – können stärker und leichter zu merken sein als kurze komplexe Passwörter. Eine 4-Wort-Passphrase aus einer Liste von 7.776 Wörtern hat etwa 51 Bits Entropie, vergleichbar mit einem 9-stelligen Passwort mit gemischter Groß-/Kleinschreibung. Ein zufällig generiertes 16-stelliges Passwort hat jedoch eine höhere Entropie (95+ Bits). Verwenden Sie Passphrasen, wenn Sie sich etwas merken müssen; verwenden Sie generierte Passwörter für alles andere.

Ist es sicher, Passwörter online zu generieren?

Dieser Passwortgenerator läuft vollständig in Ihrem Browser und verwendet den kryptografisch sicheren Zufallszahlengenerator (CSPRNG) der Web Crypto API. Kein Passwort verlässt jemals Ihr Gerät – es gibt keine serverseitige Verarbeitung, keine Protokollierung und keine Netzwerkübertragung. Der Code ist offen und in den Entwicklertools Ihres Browsers überprüfbar. Für maximale Sicherheit generieren Sie Passwörter offline und speichern Sie diese in einem vertrauenswürdigen Passwortmanager wie Bitwarden, 1Password oder KeePassXC.

Die Länge ist der wichtigste Faktor für die Passwortstärke – ein 16-stelliges Passwort mit nur Kleinbuchstaben (Entropie ≈ 75 Bit) ist stärker als ein 8-stelliges Passwort mit allen Symboltypen (Entropie ≈ 52 Bit). Entscheiden Sie sich nach Möglichkeit immer für längere Passwörter. Verwenden Sie einen Passwort-Manager, um Ihre generierten Passwörter zu speichern, damit Sie sich nie komplexe Zeichenfolgen merken müssen. Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA) für jedes Konto, das diese unterstützt, da sie eine wichtige zweite Schutzebene bietet, selbst wenn Ihr Passwort kompromittiert wird. Verwenden Sie Passwörter niemals kontoübergreifend wieder – Credential-Stuffing-Angriffe nutzen dies aus, indem sie durchgesickerte Passwörter von einem Dienst auf viele andere übertragen. Vermeiden Sie persönliche Informationen in Passwörtern vollständig: keine Namen, Geburtstage, Kosenamen oder Lieblingsmannschaften. Wenn Sie ein einprägsames Passwort erstellen müssen, verwenden Sie eine Passphrase aus vier oder mehr zufälligen Wörtern (richtige Pferdebatterie), die eine hohe Entropie bietet und gleichzeitig einprägsam bleibt. Überprüfen Sie Ihre Konten regelmäßig mithilfe eines Dienstes wie „Have I Been Pwned“, um zu überprüfen, ob eines Ihrer Passwörter bei bekannten Datenverstößen aufgetaucht ist.

Best Practices für die Passwortsicherheit finden Sie imCISA-Tipps zur Cybersicherheit.