Passwort-Generator: sicheres Passwort erstellen

Was macht ein Passwort wirklich sicher?

Zwei Dinge: Länge und echter Zufall. Ein Passwort wie „Sommer2026!“ erfüllt zwar jede Formularregel (Großbuchstabe, Zahl, Sonderzeichen), steht aber in jeder Wörterbuchliste, die Angreifer durchprobieren. Ein Passwort aus 16 zufälligen Zeichen hat dagegen rund 100 Bit Entropie. Das heißt: 2 hoch 100 Möglichkeiten, mehr als eine Nonillion. Selbst wer eine Milliarde Versuche pro Sekunde schafft, braucht dafür länger als das Universum alt ist. Dieser Passwort-Generator nutzt crypto.getRandomValues, den kryptografisch sicheren Zufallsgenerator deines Browsers, nicht Math.random. Das ist der Unterschied zwischen einem Würfel und einem Taschenrechner.

Wie liest du die Stärkeanzeige in Bit?

Die Entropie ergibt sich aus der Länge mal dem Logarithmus der Zeichenanzahl, die zur Auswahl stand. 12 Zeichen aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen (76 Zeichen Pool) ergeben etwa 75 Bit. Unter 40 Bit ist ein Passwort in Minuten geknackt, ab 60 Bit bist du gegen Online-Angriffe sicher, weil Dienste nach wenigen Fehlversuchen sperren. Ab 80 Bit hält es auch Offline-Angriffe auf gestohlene Datenbanken aus. Für Admin-Zugänge, E-Mail-Konten und Passwortmanager empfehlen wir 100 Bit und mehr, also 16 Zeichen mit allen Zeichenarten oder eine Passphrase mit 6 Wörtern plus Zahl.

Wann ist eine Passphrase die bessere Wahl?

Immer dann, wenn du das Passwort im Kopf behalten oder regelmäßig tippen musst. „Birke-Komet-flink-Hafen-Zwerg-47“ hat über 60 Bit und bleibt nach dreimaligem Tippen hängen. Die eingebaute Liste enthält rund 300 harmlose deutsche Wörter: Tiere, Pflanzen, Farben, Alltagsgegenstände, keine Schimpfwörter, keine Markennamen. Mit 5 Wörtern kommst du auf etwa 41 Bit, mit 6 Wörtern plus Zahl auf rund 56 Bit, mit 8 Wörtern auf 66 Bit. Für das Master-Passwort deines Passwortmanagers nimm 7 oder 8 Wörter. Alles andere darf der Manager mit 20 Zeichen Zufall verwalten.

Welche Fehler machen die meisten bei Passwörtern?

Der größte Fehler ist Wiederverwendung. Wird ein einzelner Online-Shop gehackt, probieren Angreifer die Kombination aus E-Mail und Passwort automatisch bei Amazon, PayPal, Google und Microsoft durch. Deshalb braucht jeder Dienst ein eigenes Passwort, und genau dafür ist die Option „mehrere auf einmal“ gedacht: 10 Passwörter generieren, in den Manager kopieren, fertig. Zweiter Fehler: Muster. „Qwertz123“, Geburtsdaten, Vereinsnamen und Tastaturreihen stehen alle in den Listen. Dritter Fehler: regelmäßig erzwungene Wechsel. Die führen zu „Passwort1, Passwort2, Passwort3“. Besser ein starkes Passwort lange behalten und nur nach einem bekannten Leak wechseln.

Wofür ist die Option „ohne ähnliche Zeichen“ gedacht?

Großes I, kleines l und die Ziffer 1 sehen in vielen Schriften gleich aus, ebenso großes O und die Null. Wenn du ein Passwort vorlesen, abschreiben oder auf einen Zettel für das Gäste-WLAN drucken musst, spart diese Option Ärger. Der Pool schrumpft dabei nur um 5 Zeichen, die Entropie sinkt bei 16 Zeichen um weniger als 2 Bit. Für Passwörter, die nur im Manager liegen, lass die Option aus.

Warum kannst du diesem Generator vertrauen?

Weil er nichts weiß. Der komplette Code läuft in deinem Browser, es gibt keine Anfrage an unseren Server mit dem Passwort, kein Protokoll und kein Cookie dafür. Du kannst die Seite laden, offline gehen und erst dann generieren. Das ist derselbe Grundsatz wie bei unseren anderen Webtools: Der Wortzähler und der WhatsApp-Chat-Aufbereiter arbeiten genauso lokal. Für Claude-Nutzer gibt es auf /skills/ außerdem fertige Skills, die wiederkehrende Aufgaben direkt im Chat erledigen.