Passwort-Generator: Erstelle starke, zufällige Passwörter direkt in deinem Browser

So lange braucht ein gewöhnlicher Computer, um ein kurzes Passwort mit etwa 8 Zeichen zu knacken. Er probiert einfach Millionen von Kombinationen pro Sekunde durch, bis eine passt. Kurze Passwörter haben heutzutage keine Chance mehr.

Nimm dasselbe kurze Passwort und mach es einfach doppelt so lang. Selbst wenn alle Computer der Welt gemeinsam raten würden, bis die Sonne erlischt, kämen sie nicht durch. Dieser eine Unterschied, von 8 auf 16 Zeichen zu gehen, ist der Unterschied zwischen einem Nachmittag und einem Zeitraum, der länger ist als das Universum existiert.

Ungefähr 2 von 3 Personen verwenden dasselbe Passwort an mehr als einer Stelle. Wenn also eine Website gehackt wird, probieren Kriminelle dieses Passwort still und leise bei deiner E-Mail, deiner Bank und allem anderen aus. Ein anderes Passwort für jedes Konto stoppt das sofort.

Schwerer zu knacken, allein durch das Mischen von Großbuchstaben, Zahlen und Symbolen statt nur Kleinbuchstaben. Jede Zeichenart, die du hinzufügst, vervielfacht die Ratversuche, die ein Angreifer unternehmen muss, und das summiert sich über das gesamte Passwort. Ein guter Mix leistet, was Länge allein nicht kann.

Länge ist der wichtigste Einzelfaktor. Jedes zusätzliche Zeichen multipliziert die Gesamtzahl möglicher Kombinationen. Der Wechsel von 8 auf 16 Zeichen verdoppelt den Suchraum nicht, er quadriert ihn.

Zeichenvielfalt multipliziert den Suchraum. Die Kombination aus Kleinbuchstaben, Großbuchstaben, Ziffern und Sonderzeichen erweitert den Zeichensatz, den ein Angreifer durchsuchen muss, erheblich. Ein Passwort, das nur aus Kleinbuchstaben besteht, hat 26 Möglichkeiten pro Zeichen; werden alle vier Typen hinzugefügt, steigt diese Zahl auf etwa 95.

Vorhersehbare Muster, wie Tastatur-Sequenzen, Namen gefolgt von einem Geburtsjahr oder Lieblingssportteams, tauchen in jedem Angriffswörterbuch auf. Echte Zufälligkeit, erzeugt von einer kryptografischen Quelle, ist gegen Wörterbuch- und regelbasierte Angriffe immun.

Wer ein Passwort für mehrere Konten wiederverwendet, riskiert, dass ein einziges Datenleck alle davon kompromittiert. Jeder Dienst sollte ein eigenes, einzigartiges Passwort haben, damit ein Sicherheitsvorfall stets auf ein einziges Konto begrenzt bleibt.

Meist im Verborgenen. Manchmal zielt das Raten direkt auf die Login-Seite einer Website. Häufiger geschieht es anhand einer Kopie einer geleakten Passwortliste, die Angreifer bereits heruntergeladen haben, wo sie so schnell raten können, wie ihre Maschinen es erlauben, völlig offline und ohne dass jemand zuschaut.

Verwende ein langes, zufälliges, einzigartiges Passwort wie die oben genannten, bewahre es in einem Passwort-Manager auf und aktiviere überall, wo es angeboten wird, die Zwei-Faktor-Anmeldung (ein zweiter Code von deinem Handy oder einer App). Selbst wenn ein Passwort erraten oder geleakt wird, begrenzen dieser zweite Schritt und ein anderes Passwort überall sonst den Schaden.

Verantwortungsvolle Websites bremsen Angreifer aus: Sie sperren ein Konto nach einigen falschen Versuchen, fügen kleine Verzögerungen zwischen Versuchen ein, speichern Passwörter verschlüsselt, damit ein Datenleck nicht sofort lesbar ist, bieten Zwei-Faktor-Anmeldung an und blockieren die Flut automatisierter Ratversuche, die Bots absenden.

Achte auf eine Webadresse, die mit https beginnt, die Möglichkeit, die Zwei-Faktor-Anmeldung zu aktivieren, und eine sinnvolle Sperre nach ein paar falschen Passwörtern. Auch die Bot-Prüfung spielt eine Rolle: Viele beliebte Varianten wie reCAPTCHA und hCaptcha lassen sich von billigen Diensten für einen Bruchteil eines Cents lösen und bremsen einen echten Angreifer daher kaum aus. Neuere, datenschutzfreundliche Optionen wie PrivCaptcha sind ein besseres Zeichen.