Extras
Passwortgenerator
Zufällige Passwörter und Passphrasen, die deinen Browser nicht verlassen.
Woraus die Stärke eines Passworts entsteht
Ein Passwort wird nicht „nach Sinn“ geknackt, sondern durch Durchprobieren von Varianten. Je mehr Kombinationen möglich sind, desto länger arbeitet das Knackprogramm. Die Zahl der Varianten misst man in Entropiebits: Jedes Bit verdoppelt den Suchraum.
Der Passwortgenerator hat vier unabhängige Zeichensätze: Kleinbuchstaben (26), Großbuchstaben (26), Ziffern (10) und Sonderzeichen (26). Zusammen sind das 88 Zeichen – fast anderthalbmal so viele wie Buchstaben und Ziffern ohne Sonderzeichen. Entscheidend ist aber das Produkt aus Länge und Alphabetgröße.
Entropie in Bit
Die Formel ist einfach: Länge × log₂(Alphabet). Für eine Passphrase aus Wörtern – Wörter × log₂(Wörterbuch). Unten stehen Richtwerte, um die Größenordnung einzuschätzen.
| Was für ein Passwort | Optionen | Entropie |
|---|---|---|
| 8 Zeichen, Buchstaben und Ziffern | 62⁸ | ≈ 48 Bit |
| 12 Zeichen, Buchstaben und Ziffern | 62¹² | ≈ 71 Bit |
| 16 Zeichen, alle Zeichensätze | 88¹⁶ | ≈ 103 Bit |
| 6 Wörter aus einem Wörterbuch mit 120 Wörtern | 120⁶ | ≈ 41 Bit |
| 8 Wörter aus einem Wörterbuch mit 120 Wörtern | 120⁸ | ≈ 55 Bit |
Passphrase oder Passwort
Ein Passwort aus 16 zufälligen Zeichen kann man sich kaum merken – sein Platz ist der Passwortmanager. Eine Passphrase aus 6–8 kurzen Wörtern merkt sich der Mensch wie ein Bild, und die Entropie ist mit einem 10–12-stelligen Passwort vergleichbar. Für das Master-Passwort eines Managers passt die Phrase besser: Sie lässt sich eintippen, ohne Angst, sie zu vergessen.
Ist das Wörterbuch klein, lässt sich die Passphrase leicht mit einem Wörterbuchangriff knacken. Deshalb werden die Wörter im Generator gleichverteilt aus einer festen Liste gezogen und nicht „nach Motiven“ aus deinem Leben.
Warum man Passwörter nicht wiederverwenden sollte
Ein Leak bei einem Dienst darf nicht die anderen öffnen. Angreifer nehmen Login- und Passwortdatenbanken und setzen sie auf allen beliebten Websites ein – das nennt sich Credential Stuffing. Ein Passwort für zehn Dienste bedeutet: Jeder Leak wird zum Verlust aller zehn Konten auf einmal.
Ein eigenes Problem sind „fast gleiche“ Passwörter wie qwerty2024 und
qwerty2025. Die Regeln für Ziffernersatz sind Knacktools bekannt, deshalb bringen solche Varianten keinen Vorteil. Eine zufällige Zeichenkette aus dem Generator schon.
Was nach der Generierung zu tun ist
- Speichere das Passwort im Passwortmanager, nicht in einem Chat oder einer Notiz auf dem Desktop;
- Schalte die Zwei-Faktor-Authentifizierung ein, wo sie verfügbar ist;
- Schicke das Passwort nicht per Messenger – auch nicht an dich selbst;
- Ändere es, wenn der Dienst einen Leak meldet.