Kostenloses Tool
Passwörter erzeugen
Sichere Passwörter, erzeugt aus der Zufallsquelle Ihres Betriebssystems – direkt in Ihrem Browser. Kein Konto, kein Server, keine Übertragung.
Der Passwort-Generator
Läuft auf Ihrem Gerät. Das Passwort entsteht in Ihrem Browser und wird nirgendwohin gesendet. Bei den meisten Generatoren im Netz rechnet ein fremder Server – wer ihn betreibt und was dort mitgeschrieben wird, steht nirgends.
Ergebnis
— Bit Entropie · —
Einstellungen
Länge schlägt Sonderzeichen. Ein Passwort aus 20 Kleinbuchstaben ist schwerer zu knacken als eines aus 8 Zeichen mit allem Drum und Dran.
Mindestens eine Zeichenart muss ausgewählt sein.
Zum Hintergrund
Was ein Passwort sicher macht
Nicht das Ausrufezeichen am Ende. Sicher wird ein Passwort durch die Zahl der Möglichkeiten, die ein Angreifer durchprobieren müsste – und die wächst mit jeder weiteren Stelle exponentiell. Deshalb steht oben die Entropie in Bit: Jedes Bit verdoppelt den Aufwand. Unter 60 Bit sollte nichts liegen, was Ihnen wichtig ist, ab 80 Bit wird es auch gegen gut ausgestattete Angreifer ruhig.
Die Zeitangabe geht von hundert Milliarden Versuchen pro Sekunde aus – was ein Angreifer schafft, der eine gestohlene Passwortdatenbank offline bearbeitet und dafür Grafikkarten einsetzt. Sie ist eine Größenordnung, keine Garantie: Wurde Ihr Passwort schlecht gespeichert, geht es schneller; steckt es hinter einer guten Verzögerung, dauert es weit länger.
Woher der Zufall kommt
Aus crypto.getRandomValues, der Zufallsquelle Ihres Browsers, die
dieselbe Grundlage nutzt wie Ihr Betriebssystem. Die naheliegende Alternative
Math.random ist dafür ungeeignet: Sie ist vorhersagbar und war nie für
Schlüsselmaterial gedacht. Auch bei der Auswahl der einzelnen Zeichen verwerfen wir
Zufallswerte am oberen Rand des Bereichs, statt einfach den Rest einer Division zu
nehmen – sonst kämen die ersten Zeichen des Alphabets messbar häufiger vor.
Wie lang ist lang genug?
Das hängt daran, wie der Angreifer überhaupt probieren kann. Bei einem Onlinekonto muss er jeden Versuch über das Netz schicken, und der Dienst bremst ihn nach ein paar Fehlversuchen aus – da genügen 12 bis 16 Zeichen bequem. Gefährlich wird es, wenn eine Datenbank gestohlen wird und er die Passwörter auf eigener Hardware durchrechnet. Für alles, was so enden könnte – Zugänge zu Servern, Verschlüsselung von Archiven, das Hauptpasswort Ihres Passwortmanagers – sind 20 Zeichen und mehr angebracht.
Ein WLAN-Schlüssel ist ein Sonderfall: Wer in Reichweite steht, kann den Handschlag mitschneiden und danach in aller Ruhe offline probieren. Kurze, sprechende WLAN-Passwörter sind deshalb die schlechteste Idee überhaupt.
Passphrase oder Zeichensalat?
Vier bis sechs zufällig gewürfelte Wörter ergeben ein Passwort, das man sich merken und diktieren kann und das trotzdem stark ist – entscheidend ist, dass die Wörter wirklich zufällig gezogen wurden und nicht selbst ausgedacht. Selbst gewählte Sätze aus dem eigenen Leben sind schwach, weil Angreifer genau solche Muster zuerst probieren.
Für alles, was Sie sich nicht merken müssen – und das ist mit einem Passwortmanager praktisch alles – ist der Zeichensalat der kürzere Weg zum selben Ziel. Er erreicht dieselbe Stärke mit weniger Zeichen.
Warum Vorschriften wie „mindestens ein Sonderzeichen" schaden
Weil Menschen darauf vorhersagbar reagieren. Aus sommer2024 wird
Sommer2024! – das Ausrufezeichen hinten, der Großbuchstabe vorn. Genau
diese Muster stehen in den Wörterbüchern, mit denen Angreifer arbeiten. Das
Bundesamt für Sicherheit in der Informationstechnik empfiehlt inzwischen selbst,
Länge über Zusammensetzung zu stellen und auf erzwungenen Passwortwechsel ohne Anlass
zu verzichten.
Und danach?
Ein gutes Passwort, das Sie sich merken müssen, ist ein schlechtes Passwort. Benutzen Sie einen Passwortmanager und vergeben Sie für jeden Dienst ein eigenes. Der häufigste Weg in ein Konto ist nicht das Erraten, sondern ein Passwort, das anderswo schon gestohlen wurde.