Wie erstelle ich ein sicheres Passwort?
- 1Wählen Sie zufällige Zeichen oder eine Passphrase aus Wörtern.
- 2Stellen Sie die Länge (oder Anzahl der Wörter) und die benötigten Zeichenarten ein.
- 3Kopieren Sie das Passwort oder wählen Sie einen der fünf weiteren Vorschläge darunter.
- 4Speichern Sie es in einem Passwort-Manager – nutzen Sie für jedes Konto ein anderes Passwort.
Wie wird die Passwortstärke berechnet?
- 01Entropie (Bit) = Länge × log2(Anzahl möglicher Zeichen)
- 02Entropie einer Passphrase = Wörter × log2(Wörter in der Liste)
- 03Mögliche Passwörter = 2^Entropie
- 04Durchschnittliche Zeit zum Knacken = 2^Entropie ÷ 2 ÷ Versuche pro Sekunde
Die Entropie misst, wie viele Versuche ein Angreifer bräuchte. Jedes zufällige Zeichen aus 90 möglichen Zeichen fügt log2(90) ≈ 6,5 Bit hinzu, ein Passwort mit 16 Zeichen hat also etwa 104 Bit – 2^104 mögliche Passwörter. Eine Passphrase funktioniert genauso mit Wörtern: Jedes zufällig aus der Liste dieses Werkzeugs mit etwa 1.500 Wörtern gewählte Wort fügt etwa 10,6 Bit hinzu, und eine zusätzliche Zahl bringt noch ein paar mehr. Ist „Mindestens eines von jeder Art“ aktiv, werden Passwörter, denen eine Art fehlt, verworfen und neu gezogen; der kleine Entropieverlust dadurch wird exakt berücksichtigt.
Jedes Zeichen wird mit dem kryptografisch sicheren Zufallsgenerator Ihres Browsers (crypto.getRandomValues) gewählt. Zufallszahlen außerhalb des letzten vollständigen Blocks werden verworfen, sodass kein Zeichen wahrscheinlicher ist als ein anderes (kein „Modulo-Bias“). Die Zeit zum Knacken geht von einem schnellen Offline-Angriff mit 10 Milliarden Versuchen pro Sekunde auf einen geleakten Passwort-Hash aus; im Schnitt findet ein Angreifer das Passwort, nachdem er die Hälfte aller Möglichkeiten probiert hat. Unter 50 Bit ist schwach, 50–69 mittel, 70–99 stark und ab 100 sehr stark.
Gut zu wissen
- Länge schlägt Komplexität: Ein längeres Passwort bringt weit mehr Sicherheit als ein zusätzliches Sonderzeichen.
- Verwenden Sie ein Passwort nie doppelt. Wird eine Website gehackt, probieren Angreifer dasselbe Passwort überall.
- Speichern Sie Passwörter in einem Passwort-Manager und aktivieren Sie die Zwei-Faktor-Authentifizierung für E-Mail und Online-Banking.
- Passphrasen lassen sich auf Handy oder Fernseher leichter tippen – verwenden Sie mindestens 6 oder 7 zufällige Wörter.
- Aktivieren Sie „Verwechselbare Zeichen vermeiden“, wenn Sie ein Passwort vorlesen oder von Papier abtippen müssen.
Passwort-Generator – häufige Fragen
Wie lang sollte ein Passwort sein?
Das NIST verlangt von Diensten, mindestens 15 Zeichen für Passwörter zu akzeptieren, die allein verwendet werden. Für wichtige Konten sind 16 oder mehr zufällige Zeichen oder eine Passphrase aus 7 oder mehr zufälligen Wörtern eine gute Wahl.
Kann ich diese Passwörter bedenkenlos verwenden?
Ja. Sie werden auf Ihrem Gerät mit dem kryptografisch sicheren Zufallsgenerator des Browsers erzeugt. Nichts wird über das Internet gesendet, gespeichert oder protokolliert, und jedes Mal entsteht ein neuer Satz.
Passwort oder Passphrase – was ist besser?
Beide sind stark, wenn sie lang genug und wirklich zufällig sind. Zufällige Zeichen bringen mehr Stärke pro Zeichen; Passphrasen sind länger, aber leichter zu merken und zu tippen.
Brauche ich in jedem Passwort Sonderzeichen?
Nicht unbedingt. Laut NIST-Richtlinie sollen Dienste keine Zusammensetzungsregeln erzwingen; Länge und Zufälligkeit zählen am meisten. Manche Websites verlangen trotzdem ein Sonderzeichen, deshalb gibt es die Option.
Was bedeutet Entropie?
Die Anzahl der Bits an Zufälligkeit. Jedes zusätzliche Bit verdoppelt die nötigen Versuche eines Angreifers, 80 Bit sind also etwa eine Million Mal schwerer zu erraten als 60 Bit.
Ist die Zeit zum Knacken exakt?
Nein, sie ist eine Schätzung für einen Angreifer, der weiß, wie das Passwort erzeugt wurde, und 10 Milliarden Versuche pro Sekunde schafft. Langsame Passwort-Hashes machen echte Angriffe viel langsamer, Begrenzungen bei Online-Anmeldungen noch mehr.
Quellen
- NIST SP 800-63B – Digital Identity Guidelines: Authentication and Lifecycle Management
- MDN – Crypto.getRandomValues()
- EFF – Passphrasen mit Würfeln erzeugen (Dice-generated passphrases)
Formeln zuletzt geprüft: 30. September 2026 ·So prüfen wir unsere Formeln