Mindestens eine Zeichenart wählen
Passwörter werden auf deinem Gerät erzeugt und nirgendwohin gesendet, also speichere die verwendeten in einem Passwort-Manager.
Zufällige PINs mit 4 bis 12 Ziffern, jede Ziffer ohne Verzerrung gezogen. Eine 4-stellige PIN hat 10.000 Kombinationen, eine 6-stellige 1.000.000. Nimm die längste, die Karte oder Handy erlauben, und meide Geburtstage und Folgen wie 1234.
Anleitung
- Passwort, Passphrase oder PIN wählen.
- Länge mit dem Regler einstellen oder eine Zahl eingeben. Bei Passwörtern festlegen, welche Zeichen vorkommen.
- Auf das große Ergebnis tippen, um es zu kopieren. „Neu erzeugen“ (oder R) liefert ein frisches.
- Darunter stehen weitere Vorschläge: Antippen kopiert den jeweiligen Vorschlag.
- Die Anzeige zeigt die Stärke in Bit und wie lange ein Angreifer zum Erraten bräuchte.
- Alles entsteht im Browser mit crypto.getRandomValues und Rejection Sampling, jedes Zeichen ist also gleich wahrscheinlich. Passwörter werden nie gesendet oder gespeichert; nur deine Einstellungen bleiben erhalten.
- Die Knackzeit geht von einem Offline-Angriff auf einen schnellen Hash mit 10 Milliarden Versuchen pro Sekunde aus. Für wichtige Konten 80 Bit oder mehr anstreben.
- „Jede Art“ garantiert mindestens ein Zeichen aus jeder gewählten Gruppe, wie es viele Websites verlangen. „Ohne Ähnliche“ entfernt I, l, 1, O, 0 und o.
- Passphrasen nutzen die EFF Large Wordlist (7.776 englische Wörter, rund 12,9 Bit pro Wort) der Electronic Frontier Foundation, Lizenz CC BY 3.0 US. Sechs Wörter ergeben 77 Bit und lassen sich gut merken.
- Für jedes Konto ein eigenes Passwort verwenden und alle in einem Passwort-Manager speichern.
So wird die Stärke berechnet
Stärke ist Entropie: Länge × log2(Größe des Zeichenvorrats). Mit Groß- und Kleinbuchstaben, Ziffern und den 25 angebotenen Sonderzeichen umfasst der Vorrat 87 Zeichen, rund 6,44 Bit pro Zeichen. 12 Zeichen ergeben 77 Bit, 16 Zeichen 103 Bit und die voreingestellten 20 Zeichen 129 Bit.
Die Knackzeit geht von einem Offline-Angreifer aus, der 10 Milliarden Versuche pro Sekunde gegen einen schnellen Hash schafft. So dauern 80 Bit Millionen Jahre, 40 Bit dagegen unter zwei Minuten. Für E-Mail, Bank und das Master-Passwort des Passwortmanagers sollten es mindestens 80 Bit sein.
Passwort, Passphrase oder PIN
Zufällige Zeichen bringen die meiste Stärke auf wenig Platz und passen zu einem Passwortmanager. Passphrasen nutzen die große EFF-Wortliste mit 7.776 Wörtern, rund 12,9 Bit pro Wort: Sechs Wörter ergeben 77 Bit und lassen sich auch am Handy bequem tippen. PINs sind für Geräte und Karten gedacht, die nur Ziffern annehmen; eine 6-stellige PIN hat 1.000.000 Kombinationen und verlässt sich auf die Sperre nach wenigen Fehlversuchen.
Häufige Fehler
Das größte Risiko ist dasselbe Passwort auf mehreren Websites, denn ein einziges Datenleck öffnet dann alle Konten. Vorhersehbare Änderungen wie Sommer2025! zu Sommer2026! bringen fast nichts. Länge schlägt Komplexitätsregeln, und Ohne Ähnliche (ohne I, l, 1, O, 0, o) hilft nur, wenn du ein Passwort vorlesen oder abtippen musst.
Häufige Fragen
Wie lang sollte ein Passwort sein?
Für wichtige Konten mindestens 16 zufällige Zeichen oder eine Passphrase aus 6 Wörtern. Beides ergibt rund 80 Bit oder mehr. Begrenzt eine Website die Länge, nutze das Maximum.
Ist es sicher, Passwörter online zu erzeugen?
Hier ja: Die Passwörter entstehen im Browser mit crypto.getRandomValues und werden weder übertragen noch gespeichert. Nur deine Einstellungen wie Länge und Zeichenarten werden gemerkt.
Ist eine Passphrase so sicher wie ein Zufallspasswort?
Pro Zeichen ist sie schwächer, bei gleicher Bitzahl aber gleich sicher. Sechs zufällige Wörter aus der EFF-Liste mit 7.776 Wörtern ergeben etwa 77 Bit, fast so viel wie 12 Zufallszeichen, und sind viel leichter zu merken.
Was bewirkt Jede Art?
Es sorgt für mindestens ein Zeichen aus jeder gewählten Gruppe, etwa eine Ziffer und ein Sonderzeichen, wie es viele Registrierungsformulare verlangen. Die übrigen Zeichen bleiben zufällig.
Wie sicher ist eine 4-stellige PIN?
Sie hat nur 10.000 Kombinationen, rund 13 Bit, und ist daher nur sicher, wenn das Gerät nach wenigen Fehlversuchen sperrt. Nimm wenn möglich 6 Stellen oder mehr und meide Geburtsdaten und Wiederholungen.
Muss ich Passwörter regelmäßig ändern?
Nicht nach festem Zeitplan. Aktuelle Empfehlungen wie NIST SP 800-63B und das BSI raten zum Wechsel, wenn ein Passwort kompromittiert sein könnte, und ansonsten zu langen, einzigartigen Passwörtern in einem Passwortmanager.