So bauen Sie ein Passwort, das wirklich standhält
Die meisten von uns haben das Falsche über Passwörter gelernt. Man hat uns gesagt, wir sollten ein "a" durch ein "@" ersetzen, ein Ausrufezeichen anhängen, den ersten Buchstaben großschreiben und das Ganze dann als sicher bezeichnen. Das Problem ist nur: Angreifer kennen diese Tricks ebenfalls. Ein Passwort wie "P@ssw0rd!" sieht für einen Menschen kompliziert aus, ist für ein Knack-Programm aber trivial. Was ein Konto wirklich schützt, ist nicht Cleverness. Es sind Länge, Zufälligkeit und die schlichte Disziplin, dasselbe Passwort niemals zweimal zu verwenden.
Diese Seite erzeugt Passwörter direkt in Ihrem Browser. Sie wählen die Länge und welche Zeichentypen enthalten sein sollen, und das Tool baut auf der Stelle eine frische Zufallszeichenkette. Nichts, was Sie erzeugen, wird irgendwohin gesendet, protokolliert oder gespeichert. Im Folgenden erklären wir, warum die Voreinstellungen so gesetzt sind, wie sie sind, und wie Sie das Beste aus ihnen herausholen.
Länge und Entropie schlagen Komplexitätsregeln
Jedes Passwort hat ein messbares Maß an Unvorhersehbarkeit, das Sicherheitsfachleute Entropie nennen. Je mehr Entropie, desto mehr Versuche muss ein Angreifer unternehmen, bevor er auf Ihres stößt. Zwei Dinge treiben die Entropie nach oben: aus wie vielen möglichen Zeichen Sie schöpfen und wie viele davon Sie aneinanderreihen. Die Länge leistet die Schwerstarbeit. Ein zusätzliches Zeichen vervielfacht die Anzahl möglicher Kombinationen, während ein zusätzlicher Symboltyp sie nur leicht anhebt.
Deshalb ist ein zufälliges Passwort mit 16 Zeichen aus Kleinbuchstaben und Ziffern weit widerstandsfähiger als ein 8-Zeichen-Passwort, das mit Symbolen vollgestopft ist. Moderne Empfehlungen von Organisationen wie CISA und der National Cybersecurity Alliance landen immer wieder bei derselben Zahl: Streben Sie mindestens 16 Zeichen an. Länger ist besser. Wenn eine Seite es zulässt, für wichtige Konten auf 20 oder mehr zu gehen, tun Sie es. Die paar zusätzlichen Sekunden beim Tippen erkaufen Ihnen Jahre an Brute-Force-Widerstand.
Komplexitätsregeln, die Art, die "einen Großbuchstaben, eine Ziffer, ein Symbol" verlangt, existieren vor allem, um Leute davon abzuhalten, "passwort123" zu wählen. Sie machen eine wirklich zufällige Zeichenkette nicht spürbar stärker. Ein echtes Zufallspasswort schlägt diese Regeln bereits, ohne sich anzustrengen. Aktivieren Sie hier also ein paar Zeichentypen zur Kompatibilität mit wählerischen Anmeldeformularen und lassen Sie dann die Länge das Gewicht tragen.
Passphrasen: lang, zufällig und einprägsam
Es gibt einen Fall, in dem Sie sich ein Passwort selbst merken müssen: das Master-Passwort für Ihren Passwort-Manager oder die Anmeldung an Ihrem Computer. Dafür funktioniert eine Passphrase wunderbar. Wählen Sie zufällig vier bis sechs nicht zusammenhängende Wörter, je unsinniger desto besser, und reihen Sie sie aneinander: etwa "kupfer-laterne-niesel-walnuss". Sie ist lang, sie hat reichlich Entropie, und Ihr Gehirn kann sie sich tatsächlich merken.
Das Schlüsselwort ist zufällig. "Correct horse battery staple" ist gerade deshalb berühmt, weil die Wörter keinerlei logischen Zusammenhang haben. Eine Phrase aus einem Songtext oder einem Zitat ist überhaupt nicht zufällig, denn Angreifer füttern genau solche Quellen in ihre Rate-Werkzeuge ein. Für alles andere, die Konten, in die Sie sich ein paar Mal im Jahr einloggen, sollten Sie sich gar nichts merken. Das ist eine Aufgabe für Software.
Warum die Wiederverwendung von Passwörtern die eigentliche Gefahr ist
Hier ist die Statistik, die Ihr Denken verändern sollte: Ein großer Anteil der Datenlecks lässt sich auf wiederverwendete oder schwache Zugangsdaten zurückführen. Der Mechanismus ist brutal einfach. Eine Website, bei der Sie sich vor Jahren angemeldet haben, wird gehackt und gibt ihre Passwortdatenbank preis. Angreifer nehmen diese E-Mail-Passwort-Paare und probieren sie automatisiert, millionenfach, bei Banken, E-Mail-Anbietern und Shopping-Seiten aus. Das nennt man Credential Stuffing, und es funktioniert, weil so viele Menschen überall dasselbe Passwort verwenden.
Die Lösung ist ein eindeutiges Passwort für jedes einzelne Konto. Tun Sie das, und ein Leck bei einem Dienst bleibt auf diesen Dienst beschränkt. Der Haken ist natürlich, dass sich niemand hundert verschiedene Zufallszeichenketten merken kann. Genau dieses Problem lösen Passwort-Manager.
Passwort-Manager und ein zweites Schloss
Ein Passwort-Manager erzeugt und speichert für jedes Ihrer Konten ein eindeutiges Zufallspasswort, trägt es für Sie ein und verlangt, dass Sie sich nur ein einziges Master-Passwort merken. Tools wie Bitwarden, 1Password, Proton Pass und andere verschlüsseln Ihren Tresor so, dass nicht einmal das betreibende Unternehmen Ihre Anmeldedaten lesen kann. Sie erhalten die Sicherheit langer Zufallspasswörter ohne die Gedächtnislast. Für die meisten Menschen ist die Einführung eines solchen Tools das größte einzelne Upgrade, das sie für ihre Online-Sicherheit vornehmen können.
Kombinieren Sie ihn mit Zwei-Faktor-Authentifizierung, oft als 2FA dargestellt, bei jedem Konto, das sie unterstützt. Mit aktivierter 2FA reicht ein gestohlenes Passwort allein nicht zum Einloggen, denn der Angreifer braucht zusätzlich einen Code von Ihrem Telefon oder einen Hardware-Schlüssel. App-basierte Codes und physische Sicherheitsschlüssel sind stärker als SMS-Codes, aber jeder zweite Faktor ist besser als keiner. Passwort plus 2FA ist eine wirklich schwer zu knackende Kombination.
Warum die Erzeugung im Browser sie privat hält
Wenn dieses Tool ein Passwort baut, läuft es vollständig auf Ihrem Gerät und nutzt den in Ihren Browser eingebauten kryptografischen Zufallszahlengenerator, dieselbe Art sicherer Quelle, die Betriebssysteme für Schlüssel verwenden. Das Ergebnis verlässt Ihren Rechner nie. Es gibt keinen Serveraufruf, keinen Analyse-Ping, der den Wert mitführt, nichts, was in ein Protokoll geschrieben wird. Sie können das bestätigen, indem Sie die Seite öffnen, Ihr Netzwerk abschalten und drauflos generieren. Es funktioniert trotzdem, weil alles lokal geschieht.
Das ist wichtig, denn ein Passwort, dessen Erstellung Sie einem entfernten Server anvertrauen müssen, ist ein Passwort, das kurz an einem Ort existiert hat, den Sie nicht kontrollieren. Die lokale Erzeugung entfernt diesen Schritt vollständig. Kopieren Sie Ihr neues Passwort direkt in Ihren Passwort-Manager, und Sie sind fertig. Wenn Sie schon hier sind, werfen Sie einen Blick auf unsere Sammlung aller Generatoren oder holen Sie sich einen zufälligen Bezeichner aus dem UUID-Generator, falls Sie einen für Entwicklungsarbeit brauchen.
Häufig gestellte Fragen
Wie lang sollte mein Passwort sein?
Streben Sie mindestens 16 Zeichen an und gehen Sie für wichtige Konten wie E-Mail und Bank länger. Länge bringt mehr Sicherheit als jede Mischung aus Symbolen. Im Zweifel also lieber länger statt komplizierter.
Sind die Passwörter, die dieses Tool erstellt, wirklich zufällig?
Ja. Sie werden mit dem kryptografisch sicheren Zufallszahlengenerator Ihres Browsers erstellt, derselben Quelle, auf die sich Betriebssysteme für Schlüssel verlassen. Jeder Klick erzeugt ein frisches, unabhängiges Ergebnis ohne vorhersehbares Muster.
Ist es sicher, Passwörter in einem Webbrowser zu erzeugen?
Ja, solange die Erzeugung lokal geschieht. Dieses Tool läuft vollständig auf Ihrem Gerät und sendet das Passwort nie an einen Server. Sie können die Internetverbindung trennen, und es funktioniert weiterhin, was beweist, dass nichts übertragen wird.
Sollte ich eine Passphrase oder ein zufälliges Passwort verwenden?
Verwenden Sie ein langes Zufallspasswort für Konten, die Sie in einem Passwort-Manager speichern, da Sie sich diese nicht merken müssen. Verwenden Sie eine einprägsame Passphrase aus mehreren zufälligen, nicht zusammenhängenden Wörtern für die wenigen Anmeldungen, die Sie aus dem Gedächtnis tippen müssen, etwa Ihr Master-Passwort.
Warum ist die Wiederverwendung desselben Passworts so riskant?
Wird eine Seite gehackt, nehmen Angreifer das geleakte Passwort und probieren es automatisch bei Ihren anderen Konten aus. Ein eindeutiges Passwort pro Konto verhindert, dass sich ein einzelnes Leck ausbreitet. Das ist der Hauptgrund, warum es Passwort-Manager gibt.
Brauche ich trotzdem noch Zwei-Faktor-Authentifizierung?
Ja. Ein starkes, eindeutiges Passwort schützt vor Erraten und Stuffing, aber 2FA fügt ein zweites Schloss hinzu, sodass ein gestohlenes Passwort allein Ihr Konto nicht entsperren kann. Schalten Sie es überall ein, wo es angeboten wird, idealerweise mit einer App oder einem Hardware-Schlüssel statt mit SMS.