Ein sicheres Passwort ist kein besonders kreatives Wort, sondern schlicht eine Folge, die niemand erraten und keine Maschine in vertretbarer Zeit durchprobieren kann. Genau das erledigt der Passwort-Generator: Er erzeugt Passwörter und merkbare Passphrasen direkt in Ihrem Browser – es wird nichts an einen Server gesendet, nichts protokolliert und nichts gespeichert.
Vorher erzeugt zum Kopieren anklicken
Erzeugt im Browser mit crypto.getRandomValues()
Länge schlägt Sonderzeichen
Die Stärke eines Passworts hängt daran, wie viele Möglichkeiten ein Angreifer durchprobieren muss. Jedes zusätzliche Zeichen vervielfacht diese Zahl – ein angehängtes Ausrufezeichen an ein kurzes Wort tut das nicht. P@ssw0rt! sieht kompliziert aus, steht aber in jeder Angriffsliste, weil die Ersetzungen a→@ und o→0 seit Jahren bekannt sind.
Die Tabelle zeigt, wie lange ein Offline-Angriff mit spezialisierter Hardware im Schnitt braucht – gerechnet mit 100 Milliarden Versuchen pro Sekunde und einem zufälligen Passwort aus allen vier Zeichenarten.
| Länge | Entropie | Zeit bis zum Treffer |
|---|---|---|
| 8 Zeichen | 52 Bit | rund 8 Stunden |
| 10 Zeichen | 66 Bit | rund 9 Jahre |
| 12 Zeichen | 79 Bit | rund 75.000 Jahre |
| 16 Zeichen | 105 Bit | länger als das Universum existiert |
| 20 Zeichen | 131 Bit | praktisch unmöglich |
Empfehlung: 16 Zeichen für normale Konten, 20 und mehr für E-Mail-Postfach, Passwort-Manager und alles, worüber sich andere Konten zurücksetzen lassen.
Zeichenkette oder Passphrase?
Beide Modi des Generators erzeugen echten Zufall, sie unterscheiden sich nur darin, wie gut ein Mensch damit umgehen kann.
Zeichenkette
v7K$qm2Zx#Lp9Ra!
Höchste Sicherheit pro Zeichen. Sinnvoll überall dort, wo der Passwort-Manager das Eintippen übernimmt – also bei den allermeisten Konten.
Passphrase
Anker-Nebel-Turm-Falke-Kran47
Gleiche Sicherheit über mehr Zeichen, dafür merkbar und fehlerfrei tippbar. Die richtige Wahl für die Handvoll Passwörter, die Sie ohne Manager brauchen: Geräte-Anmeldung, Festplattenverschlüsselung, das Master-Passwort selbst.
Die Wortliste des Generators umfasst 1.060 kurze deutsche Substantive. Jedes zufällig gezogene Wort steuert rund 10 Bit bei – fünf Wörter ergeben also etwa 50 Bit, sechs Wörter rund 60. Wichtig dabei: Der Zufall muss von der Maschine kommen. Selbst gewählte „zufällige“ Wörter sind es nie, weil Menschen zu vertrauten Begriffen greifen.
Fünf Fehler, die Passwörter wertlos machen
- Dasselbe Passwort mehrfach. Wird ein Dienst gehackt, probieren Angreifer die Kombination automatisiert bei hundert anderen Diensten. Ein Leck reicht dann für alle Konten.
- Persönliche Daten. Namen, Geburtsdaten, Haustiere, Postleitzahlen – all das steht in sozialen Netzwerken und wird gezielt zuerst geraten.
- Muster statt Zufall. Anfangsbuchstabe groß, Ziffern und Sonderzeichen ans Ende: Genau diese Struktur ist in Angriffswerkzeuge eingebaut.
- Nur eine Ziffer hochzählen. Aus Sommer2024! wird Sommer2025! – für einen Angreifer, der das alte Passwort kennt, ist das kein Hindernis.
- Passwörter per E-Mail oder Chat schicken. Sie bleiben dauerhaft in Postfächern und Verläufen liegen. Nutzen Sie stattdessen einen Link, der nach dem Abruf verfällt: Passwort sicher senden.
Ohne Passwort-Manager geht es nicht
Ein einzigartiges 16-Zeichen-Passwort pro Konto lässt sich nicht merken – das ist kein persönliches Versagen, sondern der Grund, warum es Passwort-Manager gibt. Sie merken sich genau ein starkes Master-Passwort (nehmen Sie dafür eine Passphrase), der Manager erledigt den Rest und füllt Anmeldeformulare nur auf der echten Domain aus – womit nebenbei die meisten Phishing-Versuche auffliegen.
Zwei Dinge gehören dazu: Zwei-Faktor-Authentifizierung überall, wo sie angeboten wird, und ein Blick auf Have I Been Pwned, ob Ihre Adressen bereits in bekannten Datenlecks auftauchen.
Häufige Fragen
Werden die Passwörter übertragen oder gespeichert?
Nein. Der Generator läuft vollständig in Ihrem Browser. Es wird nichts an einen Server gesendet, nichts protokolliert und nichts gespeichert – die zuletzt erzeugten Passwörter verschwinden, sobald Sie die Seite verlassen.
Ist der Zufall wirklich zufällig?
Ja. Der Generator nutzt crypto.getRandomValues(), die kryptografisch sichere Zufallsquelle des Browsers, und wählt Zeichen ohne Modulo-Verzerrung aus. Das verbreitete Math.random() ist dafür ungeeignet, weil sich seine Folge aus wenigen Ausgaben vorhersagen lässt.
Wie lang sollte ein Passwort mindestens sein?
Das BSI empfiehlt mindestens 12 Zeichen mit vier Zeichenarten. Praktisch sind 16 Zeichen die bessere Untergrenze, weil sie auch dann noch reichen, wenn die Rechenleistung der Angreifer in den nächsten Jahren weiter steigt.
Muss ich Passwörter regelmäßig ändern?
Nein. BSI und NIST raten inzwischen ausdrücklich davon ab, weil erzwungene Wechsel zu vorhersehbaren Varianten führen. Ändern Sie ein Passwort, wenn der Dienst ein Datenleck meldet oder Sie einen Missbrauch vermuten – sonst nicht.
Was bedeutet die Bit-Angabe?
Bit Entropie misst den Suchraum: Jedes zusätzliche Bit verdoppelt die Anzahl der Möglichkeiten. Unter 45 Bit ist ein Passwort angreifbar, ab 60 Bit solide, ab 80 Bit auch gegen aufwendige Offline-Angriffe sicher.
Manche Systeme lehnen Sonderzeichen ab – was tun?
Schalten Sie Symbole ab und erhöhen Sie dafür die Länge; vier zusätzliche Zeichen gleichen den Verlust mehr als aus. Wenn Sie ein Passwort von einem Bildschirm abtippen müssen, aktivieren Sie „Verwechselbare Zeichen weglassen“ oder nehmen gleich eine Passphrase.
