Passwort-Generator
Kostenloser Passwort-Generator: sichere Zufallspasswörter mit 4 bis 128 Zeichen direkt im Browser erstellen. Nichts wird gespeichert oder gesendet.
Geschätzte Entropie: –
Wählen Sie mindestens eine Zeichengruppe aus.
So verwenden Sie den Passwort-Generator
- Stellen Sie die Länge ein, zwischen 4 und 128 Zeichen. Für die meisten Konten sind 16 Zeichen oder mehr eine gute Wahl.
- Wählen Sie die Zeichengruppen aus: Großbuchstaben, Kleinbuchstaben, Ziffern und Sonderzeichen.
- Müssen Sie das Passwort jemals ablesen oder von Hand eintippen, aktivieren Sie Verwechselbare Zeichen ausschließen. Dann entfallen ähnlich aussehende Zeichen wie
0 O o 1 l I |. - Lassen Sie Mindestens ein Zeichen aus jeder Gruppe verwenden aktiviert, wenn eine Website bestimmte Zeichenarten vorschreibt.
- Legen Sie die Anzahl der Passwörter fest (bis zu 50), prüfen Sie die geschätzte Entropie und die Stärkebewertung und kopieren Sie das gewünschte Passwort in Ihren Passwortmanager.
Wie das Tool Passwörter erzeugt
Jedes Zeichen wird mit dem kryptografisch sicheren Zufallszahlengenerator des Browsers ausgewählt, crypto.getRandomValues, einem Teil der Web Crypto API. Im Gegensatz zu Math.random() ist seine Ausgabe so gestaltet, dass sie nicht vorhersagbar ist – selbst dann nicht, wenn jemand frühere Werte kennt.
Zeichen wirklich gleichmäßig auszuwählen ist schwieriger, als es aussieht. Der naive Ansatz, eine Zufallszahl modulo der Größe des Zeichenvorrats zu nehmen, führt zu einem Modulo-Bias: Manche Zeichen kommen etwas häufiger vor als andere. Dieses Tool vermeidet den Modulo-Bias vollständig, sodass jedes erlaubte Zeichen exakt dieselbe Wahrscheinlichkeit hat.
Alles geschieht auf Ihrem Gerät. Die Passwörter werden nie über das Netzwerk gesendet, nie gespeichert und nie protokolliert. Sobald Sie die Seite schließen oder neu laden, sind sie weg.
Die Entropie-Schätzung verstehen
Die Entropie, gemessen in Bit, gibt an, wie viele Versuche ein Angreifer im ungünstigsten Fall bräuchte. Bei einem zufällig erzeugten Passwort berechnet sie sich als Länge mal log₂ der Anzahl möglicher Zeichen. Jedes zusätzliche Bit verdoppelt den Aufwand für den Angreifer.
- Ein 12-stelliges Passwort nur aus Kleinbuchstaben (26 Zeichen) hat etwa 56 Bit.
- Ein 16-stelliges Passwort mit allen vier Gruppen (rund 90 Zeichen oder mehr) hat etwa 104 Bit.
- Ein 20-stelliges Passwort mit denselben Gruppen liegt über 130 Bit.
Als grobe Orientierung: Unter 50 Bit ist ein Passwort für ein Online-Konto schwach, 60 bis 80 Bit sind ausreichend, ab 100 Bit ist es sehr stark – selbst gegen das Offline-Knacken einer gestohlenen Passwortdatenbank. Das Ausschließen verwechselbarer Zeichen verkleinert den Zeichenvorrat etwas, die Schätzung sinkt also leicht; gleichen Sie das mit ein oder zwei zusätzlichen Zeichen aus. Die Schätzung gilt nur für hier zufällig erzeugte Passwörter, nicht für selbst ausgedachte, die meist viel schwächer sind, als ihre Länge vermuten lässt.
Passworttipps, die wirklich helfen
- Länge schlägt Komplexität. Zusätzliche Zeichen erhöhen die Entropie schneller als zusätzliche Zeichenarten. Aktuelle Empfehlungen wie NIST SP 800-63B betonen die Länge und raten von willkürlichen Zusammensetzungsregeln und erzwungenen regelmäßigen Wechseln ab.
- Nutzen Sie einen Passwortmanager. Er speichert für jede Website ein langes, zufälliges, eigenes Passwort, und Sie müssen sich nur eine starke Master-Passphrase merken.
- Verwenden Sie Passwörter nie mehrfach. Wird eine Website gehackt, probieren Angreifer dieselbe E-Mail-Adresse und dasselbe Passwort überall sonst aus. Einzigartige Passwörter stoppen dieses Credential Stuffing sofort.
- Aktivieren Sie die Zwei-Faktor-Authentifizierung, wo immer es geht, am besten mit einer Authenticator-App, einem Sicherheitsschlüssel oder einem Passkey statt per SMS.
- Ändern Sie ein Passwort, wenn es einen Grund gibt, etwa nach einem Datenleck, nicht nach einem willkürlichen Zeitplan.
Häufige Fragen
Wie lang sollte mein Passwort sein?
Für Konten, deren Passwörter ein Passwortmanager verwaltet, reichen 16 bis 20 zufällige Zeichen völlig aus. Müssen Sie es oft eintippen, ist eine längere Passphrase aus mehreren Zufallswörtern oft handlicher; bei Passwörtern aus zufälligen Zeichen sollten es mindestens 14 bis 16 Zeichen sein.
Ist es sicher, Passwörter im Browser zu erzeugen?
Mit diesem Tool ja: Die Passwörter entstehen lokal mit dem kryptografischen Zufallsgenerator des Browsers und verlassen Ihr Gerät nie. Wie bei jedem Passwort sollte Ihr Gerät selbst frei von Schadsoftware sein; kopieren Sie das Ergebnis direkt in Ihren Passwortmanager.
Warum verwechselbare Zeichen ausschließen?
Zeichen wie 0 und O oder 1, l, I und | sind in vielen Schriftarten leicht zu verwechseln. Sie auszuschließen hilft, wenn Sie ein Passwort vorlesen oder von einem anderen Bildschirm abtippen müssen – auf Kosten eines etwas kleineren Zeichenvorrats.
Macht die Pflicht zu einem Zeichen aus jeder Gruppe das Passwort schwächer?
Nur in vernachlässigbarem Maß. Sie schließt einen kleinen Teil möglicher Passwörter aus, etwa solche nur aus Buchstaben, sorgt aber dafür, dass Websites mit Pflicht zu Ziffern oder Sonderzeichen das Ergebnis akzeptieren.
Warum lehnt eine Website mein erzeugtes Passwort ab?
Manche Websites begrenzen die maximale Länge oder erlauben nur bestimmte Sonderzeichen. Verringern Sie die Länge oder deaktivieren Sie die Sonderzeichen, erzeugen Sie ein neues Passwort und gleichen Sie das nach Möglichkeit mit zusätzlicher Länge aus.
Werden die erzeugten Passwörter irgendwo gespeichert?
Nein. Nichts wird gespeichert, protokolliert oder an einen Server gesendet. Schließen Sie die Seite, ohne ein Passwort zu kopieren, lässt es sich nicht wiederherstellen.