Generator für starke Zufalls-Passwörter

Anleitung

1. Stellen Sie die gewünschte Länge mit dem Schieberegler ein (16+ empfohlen).
2. Markieren Sie die gewünschten Zeichentypen – je mehr Typen, desto sicherer das Passwort.
3. Schließen Sie optional mehrdeutige Zeichen aus, wenn Sie das Passwort manuell eingeben.
4. Klicken Sie auf „Passwort generieren“ (ein neues Passwort wird auch immer dann angezeigt, wenn Sie eine Option ändern).
5. Klicken Sie auf „Kopieren“ und speichern Sie es in einem Passwort-Manager.

Beispiel

Eingabe

Length: 16, all character types enabled

Ausgabe

K7#mQv9!xR2pWz@e

Etwa 105 Bit Entropie – ein moderner GPU-Cluster würde länger als das Alter des Universums benötigen, um dies per Brute-Force-Methode zu knacken.

Was ist dieses Tool?

Ein Passwortgenerator erstellt zufällige Passwörter, die weitaus sicherer sind als alles, was ein Mensch sich ausdenken könnte. Menschen wählen sich leicht zu merkende Muster – Namen, Daten, Tastenfolgen –, und Angreifer kennen jedes einzelne dieser Muster. Ein zufälliges 16-stelliges Passwort aus dem gesamten Zeichensatz weist eine Entropie von etwa 100 Bit auf, was jede realistische Brute-Force-Attacke überfordert.

Dieser Generator nutzt die Web Crypto API (dieselbe sichere Zufallsgenerator-Technologie, die auch Ihr Betriebssystem für Verschlüsselungsschlüssel verwendet), garantiert mindestens ein Zeichen aus jeder von Ihnen ausgewählten Zeichengruppe und zeigt eine entropiebasierte Sicherheitsbewertung an, sodass Sie die Auswirkungen der einzelnen Optionen erkennen können.

Die NIST-Passwortrichtlinie SP 800-63B bestätigt das: Sie empfiehlt, lange Passwörter zu unterstützen (mindestens bis 64 Zeichen), Kandidaten gegen bekannte Leak-Listen zu prüfen und auf erzwungene Zusammensetzungsregeln sowie planmäßige Passwortwechsel zu verzichten – denn Länge und Zufälligkeit, nicht vorgeschriebene Sonderzeichen, bestimmen die tatsächliche Stärke.

Praktische Tipps

• Länge schlägt Raffinesse: Ein 20-stelliges Passwort, das nur aus Kleinbuchstaben und Ziffern besteht, ist sicherer als ein 10-stelliges Passwort, das alle Sonderzeichen enthält – beobachten Sie die Entropieanzeige, während Sie den Schieberegler verschieben, um sich selbst davon zu überzeugen.
• Manche Websites begrenzen die Länge oder verbieten bestimmte Zeichen (Banken sind dafür bekannt). Passen Sie Ihre Eingabe über die Auswahlfelder an die jeweiligen Regeln an, anstatt das Passwort manuell zu bearbeiten – manuelle Änderungen machen das Passwort genau an den Stellen vorhersehbar, an denen Sie sie vorgenommen haben.
• Erstellen Sie für jede Website ein neues Passwort. Die Stärke eines Passworts spielt keine Rolle mehr, sobald es auf einer Website wiederverwendet wird, die gehackt wurde.
• Bei einem Passwort, das Sie sich merken müssen (Laptop-Anmeldung, Master-Passwort für den Passwort-Manager), ist eine Länge von mindestens 20 Zeichen ohne Sonderzeichen oft einfacher einzugeben und genauso sicher.

Wie stark ist stark? Ein Vergleich

Konkrete Zahlen zum Vergleich: Ein 8-stelliger gemischter Code (~52 Bit) lässt sich von einem modernen GPU-System innerhalb weniger Stunden knacken, wenn der Hash der Website bekannt wird. Ein 12-stelliger Code (~78 Bit) hält jahrelang stand. Ein 16-stelliger Code (~105 Bit) überdauert sogar die Hardware, mit der er angegriffen würde. Online-Rate-Attacken sind weitaus langsamer als diese Offline-Werte – Ratenbeschränkungen begrenzen Angreifer auf Tausende von Versuchen, nicht auf Billionen –, aber man hat keinen Einfluss darauf, welche Art von Sicherheitslücke auftritt; generieren Sie daher Passwörter für den Offline-Fall.

Das ist auch der Grund, warum Passwortmanager die Spielregeln verändert haben: Wenn man sich nichts mehr merken muss, kann jedes Passwort aus mindestens 16 zufälligen Zeichen bestehen, und ein einziger Sicherheitsverstoß hat keine Auswirkungen mehr auf Ihre anderen Konten.

→ Zufallszahlengenerator · MD5-Generator

Passwortlänge und geschätzte Zeit bis zum Knacken

Die folgenden Schätzungen gehen von einem Offline-Angriff auf einen gestohlenen Passwort-Hash mit moderner GPU-Hardware aus und dienen der Orientierung – die tatsächliche Zeit hängt vom Hash-Algorithmus und der Angreifer-Hardware ab.

Häufige Anwendungsfälle

• Einrichtung eines neuen Kontos auf einer Website, die bestimmte Passwortrichtlinien vorschreibt (Mindestlänge, muss Sonderzeichen enthalten) – legen Sie hier die entsprechenden Optionen fest, anstatt das Passwort manuell so anzupassen, dass es den Anforderungen entspricht.
• Erstellen einer Reihe einzigartiger Passwörter bei der Einrichtung mehrerer Konten oder Testbenutzer auf einmal.
• Ersetzen eines wiederverwendeten Passworts nach einer Benachrichtigung über einen Datenverstoß; ein eindeutiges Passwort pro betroffenem Konto.
• Erstellen eines WLAN-Router-Passworts oder eines Passworts für ein gemeinsam genutztes Gerät, das sicher ist, aber keine mehrdeutigen Zeichen enthält, damit es von jedem, der es von einer ausgedruckten Karte abtippen muss, problemlos eingegeben werden kann.

Warum sollte man es nutzen?

Sie eröffnen ein neues Online-Banking-Konto und das Passwortfeld verlangt mindestens 12 Zeichen mit Sonderzeichen und Ziffer? Generieren Sie hier eins, das die Vorgabe mit einem Klick erfüllt, statt selbst etwas zu erfinden.

Die IT-Abteilung schreibt vor, dass das WLAN-Passwort im Büro nicht erratbar sein darf, aber Kolleginnen und Kollegen es noch von einer ausgedruckten Karte abtippen müssen sollen – aktivieren Sie „Mehrdeutige Zeichen ausschließen“ und behalten trotzdem hohe Entropie.

Nach einer Datenschutzverletzung bei einem Onlineshop haben Sie festgestellt, dass Sie dasselbe Passwort auch bei Ihrem E-Mail-Konto verwenden – generieren Sie für jedes betroffene Konto sofort ein eigenes, einzigartiges Passwort.

Sie richten fünf Testaccounts für ein Staging-System ein und brauchen fünf verschiedene, sichere Passwörter in wenigen Sekunden, statt sie einzeln zu erfinden.

Weil die Generierung per Web Crypto API vollständig lokal im Browser läuft und nichts an einen Server übertragen wird, dürfen Sie dieses Tool auch für Zugänge nutzen, die dem DSGVO-Datenschutz unterliegen – es entsteht kein Auftragsverarbeitungsverhältnis mit einem Drittanbieter.

Sie müssen das Master-Passwort für Ihren Passwort-Manager einmalig auf Papier notieren und im Tresor hinterlegen – wählen Sie hier eine hohe Länge ohne Sonderzeichen, damit es sich fehlerfrei abschreiben und im Ernstfall wieder eintippen lässt.

Häufig gestellte Fragen