Passwort-Generator - Erstelle starke Zufallspasswörter in deinem Browser

Passwort-Entropie ist ein Maß für Unvorhersehbarkeit, ausgedrückt in Bit. Jedes Bit verdoppelt die Anzahl der Versuche, die ein Angreifer im Durchschnitt benötigt: 64 Bit erfordern 2^64 Versuche, 128 Bit erfordern 2^128. Die genaue Entropie eines zufällig generierten Passworts ergibt sich aus log2(Zeichensatzgröße) multipliziert mit der Passwortlänge. Ein 16-Zeichen-Passwort aus einem 95-Zeichen-Satz hat 16 x log2(95) = 105 Bit. Alles über 75 Bit gilt mit aktueller GPU-Hardware als sicher gegen Offline-Brute-Force-Angriffe; 128 Bit sind mit jeder absehbaren Rechentechnologie unknackbar, einschließlich Quantencomputern, die Grovers Algorithmus ausführen.

Angreifer führen Wörterbuchangriffe durch, bei denen Millionen gängiger Wörter, Phrasen und vorhersehbarer Transformationen (Großschreibung, Leet-Ersetzungen wie „a" zu „@", Anhängen von Ziffern oder Jahreszahlen) getestet werden, bevor Brute Force zum Einsatz kommt. Jedes Passwort, das sich ein Mensch leicht merken kann, darunter Phrasen, Namen, Daten oder Sportteams, taucht in Cracking-Wörterbüchern (rockyou.txt, HaveIBeenPwned, benutzerdefinierte Korpus-Dumps) meist innerhalb der ersten paar Millionen Versuche auf. Ein 16-Zeichen-Zufallspasswort aus einem 95-Zeichen-Satz dauert etwa 4 Billiarden Mal länger zu erraten als ein typisches 8-Zeichen-Wort mit einer Ziffer am Ende. Die Lösung: Passwörter generieren, nicht erfinden.

Ja. Ein Passwort-Manager (Bitwarden, 1Password, KeePass, Proton Pass, Apple Passwords) ermöglicht es dir, für jedes Konto ein einzigartiges, zufällig generiertes Passwort zu verwenden, ohne dir eines davon merken zu müssen. Du erinnerst dich nur an ein starkes Master-Passwort. Der Tresor wird lokal mit deinem Master-Passwort verschlüsselt und optional über den Anbieter synchronisiert. Die Alternative, dasselbe Passwort auf mehreren Websites zu verwenden oder Passwörter in einer Textdatei oder im Browser-Autofill ohne Verschlüsselung zu speichern, bedeutet, dass ein einziges Datenleck alle Konten gefährdet. Moderne Manager generieren außerdem Passkeys, überwachen Datenleck-Datenbanken und warnen dich vor wiederverwendeten oder schwachen Einträgen.

Ändere Passwörter nicht nach einem festen Zeitplan. NIST SP 800-63B (2017, in nachfolgenden Überarbeitungen bestätigt) empfiehlt ausdrücklich, auf eine obligatorische regelmäßige Rotation zu verzichten, da sie Nutzer zu vorhersehbaren Mustern verleitet. Das Ändern von „Sommer2024!" zu „Sommer2025!" schwächt die Sicherheit, anstatt sie zu verbessern. Ändere ein Passwort nur bei einem konkreten Anlass: einem bestätigten Datenleck (HaveIBeenPwned-Benachrichtigung, Anbietermeldung), einem gemeinsamen Zugang, der widerrufen werden muss, dem Verdacht auf Phishing oder Gerätekompromittierung oder nach der Nutzung auf einem nicht vertrauenswürdigen Gerät. Mit einem Passwort-Manager und einem einzigartigen Zufallspasswort pro Website bleibt die Auswirkung eines Datenlecks auf das betroffene Konto beschränkt.

Vier Eigenschaften zusammen: Länge, Zufälligkeit, Zeichenvielfalt und Einzigartigkeit. Länge ist am wichtigsten, denn jedes zusätzliche Zeichen aus einem 95-Zeichen-Satz multipliziert die Anzahl der Versuche mit 95. Zufälligkeit schließt Wörterbuchangriffe aus. Vielfalt (Kleinbuchstaben, Großbuchstaben, Ziffern, Sonderzeichen) maximiert den Suchraum pro Zeichen. Einzigartigkeit stellt sicher, dass ein Datenleck nicht auf andere Konten übergreift. Ein 16-Zeichen-Passwort, das von einer kryptografisch sicheren Zufallsquelle aus allen vier Zeichenklassen generiert wurde, hat etwa 105 Bit Entropie und ist derzeit durch Brute Force unknackbar.

Zwölf Zeichen sind das praktische Minimum, sechzehn oder mehr werden empfohlen, und zwanzig oder mehr sind für besonders wichtige Konten (E-Mail, Finanzen, Passwort-Manager-Master) bevorzugt. Bei einem Zeichensatz von 95 Zeichen pro Stelle liefern 12 Zeichen 79 Bit Entropie, 16 Zeichen 105 Bit und 20 Zeichen 131 Bit. Länge ist die günstigste Entropie, die man gewinnen kann, denn jedes zusätzliche Zeichen multipliziert den Aufwand des Angreifers, während Sonderzeichen und Groß-/Kleinschreibung nur marginal hinzufügen. Wenn ein System Passwörter auf 12 bis 16 Zeichen begrenzt, wähle die maximal erlaubte Länge und verwende einen Generator.

Nur wenn sie lang genug sind. Eine Passphrase aus vier Wörtern der EFF-Wortliste (7.776 Wörter) liefert 51 Bit Entropie, was schwächer ist als ein zufälliges Passwort mit 9 Zeichen. Sechs Wörter ergeben 77 Bit, was ungefähr 12 zufälligen Zeichen entspricht. Passphrasen tauschen Entropiedichte gegen Merkbarkeit ein und benötigen daher mehr Zeichen, um dieselbe Sicherheit wie ein zufälliges Passwort zu erreichen. Verwende Passphrasen für Master-Passwörter von Passwort-Tresoren (wo du sie dir merken musst) und generierte Zufallspasswörter für alles andere (wo der Manager sie sich merkt).

Nein. Dieser Generator läuft vollständig in deinem Browser über die WebCrypto-API (window.crypto.getRandomValues), eine kryptografisch sichere Zufallsquelle, die vom Betriebssystem bereitgestellt wird. Das generierte Passwort wird lokal erstellt, nur dir angezeigt und nirgendwo übertragen. Der Server liefert die Seiteninhalte und hat keinen Einblick in das, was generiert wurde. Das macht das Tool sicher, auch für produktive Konten.