So erstellen Sie ein starkes Passwort
Die Stärke eines Passworts ergibt sich daraus, dass es lang und unvorhersehbar ist. Jedes zusätzliche Zeichen vervielfacht die Zahl der Kombinationen, die ein Angreifer durchprobieren muss — Länge ist daher der wirksamste Hebel. Verwenden Sie mindestens 12 Zeichen für alltägliche Konten und 16 oder mehr für E‑Mail, Banking und Ihren Passwortmanager.
Groß‑ und Kleinbuchstaben, Zahlen und Symbole zu mischen vergrößert den möglichen Zeichenvorrat und erhöht die Entropie jeder Stelle. Ebenso wichtig ist Zufälligkeit: von Menschen gewählte Passwörter folgen Mustern — ein Name und eine Jahreszahl, ein Wort mit @ statt a oder eine Tastaturfolge wie qwertz. Ein Generator auf Basis der Web Crypto API hat diese Verzerrung nicht.
- Meiden Sie Wörterbuchwörter, Namen, Geburtsdaten und aufeinanderfolgende Zeichen.
- Verlassen Sie sich nicht auf vorhersehbare Ersetzungen wie P@ssw0rd.
- Verwenden Sie ein Passwort nie auf mehr als einer Website.
Entropie und Knackzeit
Entropie, gemessen in Bit, drückt aus, wie schwer ein Passwort zu erraten ist. Sie entspricht ungefähr der Passwortlänge multipliziert mit dem Zweierlogarithmus der Größe des Zeichenvorrats. Jedes zusätzliche Bit verdoppelt den Aufwand, das Passwort per Brute Force zu brechen.
- Unter 40 Bit — schwach; kann in Sekunden bis Stunden fallen.
- Etwa 60 Bit — vertretbar für Konten von geringem Wert.
- 75 bis 100 Bit — stark; mit heutiger Hardware praktisch nicht per Brute Force zu knacken.
- Über 100 Bit — ausgezeichnet; geeignet für Master‑Passwörter und Verschlüsselungsschlüssel.
Die angezeigte Knackzeit geht von rund 10 Milliarden Versuchen pro Sekunde aus — ungefähr das, was ein moderner GPU‑Verbund gegen einen schnellen Hash schafft. Die tatsächlichen Werte hängen vom Hash‑Verfahren und den Mitteln des Angreifers ab; nehmen Sie die Zahl als relativen Anhaltspunkt, nicht als Garantie.
Wie Passwörter kompromittiert werden
Ein starkes, einzigartiges Passwort wehrt Angriffe ab, die auf Raten beruhen — aber nicht jeder Angriff funktioniert so:
- Brute‑Force‑ und Masken‑Angriffe probieren jede Kombination oder jede, die einem bekannten Muster entspricht.
- Wörterbuchangriffe arbeiten Wortlisten und Datenbanken mit Passwörtern aus früheren Lecks ab.
- Credential Stuffing nimmt ein bei einer Website gestohlenes Login und probiert es überall sonst — deshalb ist Wiederverwendung so gefährlich.
- Phishing bringt Sie dazu, Ihr Passwort auf einer gefälschten Anmeldeseite einzugeben.
- Schadsoftware und Keylogger zeichnen auf, was Sie tippen — egal wie stark das Passwort ist.
Länge und Zufälligkeit decken die ersten beiden ab. Für den Rest brauchen Sie Zwei‑Faktor‑Authentifizierung und ein gesundes Misstrauen gegenüber unerwarteten Anmeldeaufforderungen.
Bewährte Vorgehensweisen für die Passwortverwaltung
- Ein einzigartiges Passwort pro Konto. Ein Leck bei einem Dienst öffnet dann nicht die anderen.
- Nutzen Sie einen Passwortmanager wie Bitwarden, KeePassXC oder 1Password. Sie merken sich eine starke Master‑Passphrase, er speichert alles Übrige.
- Aktivieren Sie die Zwei‑Faktor‑Authentifizierung, wo immer sie angeboten wird — lieber eine Authenticator‑App oder einen Hardware‑Sicherheitsschlüssel als SMS‑Codes.
- Ändern Sie ein Passwort, wenn es nötig ist — nach einer Leck‑Meldung oder einem Verdacht auf Kompromittierung. Aktuelle Empfehlungen (NIST) raten von erzwungenem regelmäßigem Wechsel ab, der zu schwächeren, gemusterten Passwörtern führt.
- Geben Sie ein Passwort nie per E‑Mail oder Chat weiter und speichern Sie es nie in einer Klartextdatei oder Tabelle.
Passphrasen im Vergleich zu Zufallszeichenfolgen
Eine Passphrase besteht aus mehreren zusammenhanglosen, zufällig gewählten Wörtern, etwa Geige Hafen Nickel Drift. Mit vier bis sechs wirklich zufälligen Wörtern ist sie sehr stark und weit leichter zu tippen und zu merken als eine Zufallszeichenfolge. Ein Passwort aus Zufallszeichen bündelt mehr Entropie pro Zeichen und ist die bessere Wahl, wenn ein Manager es einfügt und Sie es nie von Hand eingeben.
Eine praktische Aufteilung: eine lange Passphrase für das eine Master‑Passwort, das Sie sich merken müssen, und Zufallszeichenfolgen aus diesem Generator für jedes einzelne Konto.
Ist dieser Generator privat und sicher?
Alles geschieht in Ihrem Browser. Die Seite hat kein Backend: Passwörter werden lokal in JavaScript erzeugt und nie über das Netz gesendet. Die Zufälligkeit stammt von crypto.getRandomValues(), dem kryptografisch sicheren Generator des Browsers, nicht vom vorhersehbaren Math.random().
Es gibt keine Cookies, keine Analyse und keine Protokolle. Sie können die Seite öffnen, die Internetverbindung trennen, und sie funktioniert weiter — und Sie können im Netzwerk‑Tab der Entwicklertools prüfen, dass nichts übertragen wird.
Weiterführende Links
- NIST SP 800-63B — Digital Identity Guidelines
- OWASP — Password Storage Cheat Sheet
- Have I Been Pwned — check for breached accounts
Ein starkes Passwort generiert? Sie brauchen einen sicheren Ort, um es aufzubewahren →
Verwandte Begriffe: Entropie · Brute Force · Passphrase · Passwortmanager · CSPRNG