Werkzeug AT-W9REV. 2026-A
Passwort-Generator für sichere Passwörter und Passphrasen
Ein sicheres Passwort ist vor allem lang und zufällig, und es gilt nur für einen einzigen Zugang. Dieser Passwort-Generator erzeugt es in Ihrem Browser: als Passphrase aus vier bis acht Wörtern, als Zufallspasswort mit 8 bis 64 Zeichen, als PIN oder als WLAN-Schlüssel. Übertragen oder gespeichert wird dabei nichts. Zu jedem Vorschlag steht, wie stark er ist, genau in Bit gerechnet.
- kostenlos
- ohne Anmeldung
- bleibt in Ihrem Browser
01 / GENERATOR
Passwort oder Passphrase erzeugen
Generator · fünf Vorschläge je Durchgang
Die Vorschläge entstehen in Ihrem Browser und werden weder übertragen noch gespeichert. Mit dem nächsten Klick oder beim Schließen der Seite sind sie weg. Kopieren Sie den gewählten Vorschlag deshalb direkt in Ihren Passwort-Manager.
02 / SO ENTSTEHT ES
Wie entsteht ein Passwort, das niemand vorhersagen kann?
Der Zufall kommt aus Ihrem Browser. Jeder aktuelle Browser bringt eine Zufallsquelle für Verschlüsselung mit, die Schnittstelle heißt crypto.getRandomValues, und genau die nutzt der Generator. Die gewöhnliche Zufallsfunktion von JavaScript taugt dafür nicht. Sie ist für Spiele und Animationen gebaut, nicht dafür, dass niemand ihre nächste Zahl vorhersagt.
Aus der Quelle kommen Zahlen zwischen null und gut 4,29 Milliarden. Um daraus eines von 94 Zeichen zu machen, ließe sich einfach der Rest einer Division nehmen. Das ist fast gerecht, aber eben nur fast: 4,29 Milliarden geht nicht glatt durch 94 auf, ein paar Zeichen kämen um einen winzigen Bruchteil häufiger vor. Der Generator verwirft deshalb die wenigen Zahlen am oberen Ende, die den Überhang bilden, und zieht neu. Bei den 2.048 Wörtern geht die Rechnung ohnehin glatt auf.
Sollen in einem Zufallspasswort alle gewählten Zeichenarten vorkommen, setzt der Generator nicht einfach aus jeder Art ein Zeichen hinein. Das würde die Verteilung verschieben. Er erzeugt das ganze Passwort neu, bis jede Art dabei ist, und die Stärke-Anzeige rechnet genau diese Bedingung heraus. Deshalb steht dort bei 16 Zeichen etwas weniger als 16 mal 6,6 Bit.
Die Vorschläge entstehen nur auf Ihrem Gerät. Die Seite schickt sie nirgendwohin, legt sie nicht im Browserspeicher ab und vergisst sie mit dem nächsten Klick. Die Wortliste holt der Browser einmal von unserem Server, so wie ein Bild; welche Wörter daraus gezogen werden, erfährt der Server nicht.
Warum es hier kein Feld zum Prüfen gibt
Viele Websites bieten an, ein vorhandenes Passwort auf seine Stärke zu testen. Wir nicht, und zwar mit Absicht. Ihr echtes Passwort gehört in genau zwei Felder: das Anmeldefeld des Dienstes und Ihren Passwort-Manager. Jede andere Seite, unsere eingeschlossen, müsste Sie bitten, ihr zu glauben, dass sie nichts mitschneidet. Von außen prüfen lässt sich das kaum.
Dazu kommt: Bei einem selbst ausgedachten Passwort kann eine Prüfung nur schätzen. Sie zählt Zeichenarten, kennt aber nicht die Muster, nach denen Angreifer zuerst suchen. Wie sehr das Bauchgefühl dabei täuscht, ist gut untersucht Ur 2016Bonneau 2012. Bei einem erzeugten Passwort ist die Stärke dagegen genau bekannt, weil der Zufall sie festlegt. Ob ein gespeichertes Passwort in einem Datenleck aufgetaucht ist, melden die großen Browser und die meisten Passwort-Manager von selbst, ohne das Passwort im Klartext zu versenden.
Aus demselben Grund erzeugt auch unser Zugang für KI-Assistenten (weiter unten) keine Passwörter. Ein Geheimnis, das über einen KI-Dienst entsteht, läuft durch fremde Systeme und deren Protokolle. Der Assistent bekommt nur die Rechnung, wie stark ein Verfahren ist, und den Verweis auf diese Seite.
03 / RICHTWERTE
Wie lang muss ein sicheres Passwort sein?
Entscheidend ist die Zahl der möglichen Kombinationen, angegeben in Bit. Jedes Bit mehr verdoppelt die Arbeit beim Raten, zehn Bit mehr bedeuten gut tausendmal so viel. Ein Wort aus unserer Liste bringt genau 11 Bit, ein Zeichen aus allen 94 druckbaren Zeichen rund 6,6 Bit, eine Ziffer 3,3 Bit.
Daraus folgt die wichtigste Regel: Länge bringt mehr als Sonderzeichen. Ein Passwort mit 20 Zeichen nur aus Kleinbuchstaben und Ziffern liegt mit 103,4 Bit deutlich über einem mit 12 Zeichen aus allen vier Zeichenarten (78,1 Bit). Große Studien mit echten Rateverfahren kommen zum selben Schluss Kelley 2012Shay 2016.
| Variante | Zeichen | Bit | Offline-Raten, im Mittel | Einordnung |
|---|---|---|---|---|
| PIN, 6 Ziffern | 6 | 19,9 | unter einer Sekunde | nur mit Sperre |
| Passphrase, 4 Wörter | ≈ 28 | 44 | rund 15 Minuten | schwach |
| Zufallspasswort, 8 Zeichen, alle vier Zeichenarten | 8 | 51,3 | rund 1,6 Tage | mittel |
| Passphrase, 5 Wörter | ≈ 35 | 55 | rund 21 Tage | mittel |
| Passphrase, 6 Wörter (Voreinstellung) | ≈ 42 | 66 | rund 120 Jahre | stark |
| Zufallspasswort, 12 Zeichen, alle vier Zeichenarten | 12 | 78,1 | rund 530.000 Jahre | stark |
| Passphrase, 8 Wörter | ≈ 56 | 88 | rund 490 Millionen Jahre | sehr stark |
| WLAN-Schlüssel, 20 Zeichen | 20 | 100 | mehr als eine Billion Jahre | sehr stark |
| Zufallspasswort, 20 Zeichen, nur Kleinbuchstaben und Ziffern | 20 | 103,4 | mehr als eine Billion Jahre | sehr stark |
| Zufallspasswort, 16 Zeichen, alle vier Zeichenarten (Voreinstellung) | 16 | 104,6 | mehr als eine Billion Jahre | sehr stark |
Die Zeitspalte ist ein Gedankenmodell: Jemand hat die gespeicherten Prüfwerte eines Dienstes erbeutet und probiert offline 10 Milliarden Passwörter pro Sekunde durch. Für schnelle Hashverfahren, die nie für Passwörter gedacht waren, ist das eine realistische Größenordnung. Dienste, die Passwörter mit langsamen Verfahren wie bcrypt, scrypt oder Argon2 speichern, drücken die Rate um viele Zehnerpotenzen. Bei einem Online-Konto, das nach ein paar Fehlversuchen bremst, kommt niemand auch nur in die Nähe. Die Tabelle zeigt also den ungünstigen Fall. Der ist gemeint, denn ob ein Dienst Ihre Daten sauber speichert, sehen Sie von außen nicht.
Für ein gewöhnliches Konto reicht deshalb auch eine Passphrase aus vier Wörtern, solange der Dienst Fehlversuche bremst. Für das Hauptpasswort Ihres Passwort-Managers nehmen Sie sechs Wörter oder mehr: Dessen Datei kann jemand, der sie erbeutet, offline angreifen. Selbst ausgedachte Passwörter liegen übrigens weit unter jeder Zeile dieser Tabelle. Eine Auswertung von fast 70 Millionen Konten kam offline auf etwa 20 Bit Bonneau 2012.
Was BSI und NIST empfehlen
- BSI: mindestens 8 Zeichen aus vier Zeichenarten oder mindestens 25 Zeichen aus zwei. Für WLAN mindestens 20 Zeichen. Als Passphrase nennt das BSI fünf bis sechs zufällig gewählte Wörter. Jedes Passwort gilt nur für einen Zugang.
- BSI zum Wechseln: ändern, wenn es Hinweise gibt, dass jemand Unbefugtes das Passwort kennt, etwa nach einem Datenleck oder nachdem Schadsoftware auf dem Gerät war (dann erst das Gerät bereinigen). Den Wechsel ohne Anlass hat das BSI mit der Edition 2020 aus dem IT-Grundschutz-Kompendium gestrichen. Die Forschung hatte gezeigt, dass Ersatzpasswörter sich oft aus den alten ableiten lassen Zhang 2010.
- NIST SP 800-63B-4 (US-Richtlinie, Juli 2025): Passwörter, die allein schützen, mindestens 15 Zeichen, mit zweitem Faktor mindestens 8. Dienste sollen mindestens 64 Zeichen zulassen, dürfen keine Mischregeln wie „mindestens ein Sonderzeichen" vorschreiben und keinen regelmäßigen Wechsel verlangen. Passwort-Manager müssen funktionieren, Einfügen soll erlaubt sein.
Angaben geprüft am 13. November 2026. Links zu BSI und NIST stehen unten bei den Quellen.
04 / VERGLEICH
Passphrase oder Zufallspasswort: was passt wofür?
Gleich viele Bit sind gleich stark, egal ob sie aus Wörtern oder aus Zeichen kommen. Der Unterschied liegt im Alltag, und er ist kleiner, als oft behauptet wird. In einer Studie mit fast 1.500 Teilnehmenden waren zugeteilte Passphrasen nicht besser zu merken als gleich starke Zufallspasswörter, und das Eintippen dauerte länger Shay 2012.
Ihren Platz hat die Passphrase trotzdem: überall dort, wo Sie selbst tippen, vorlesen oder diktieren. Dazu gehören das Hauptpasswort des Passwort-Managers, die Anmeldung am Windows-Konto oder am Mac und das Passwort fürs E-Mail-Postfach, über das sich die meisten anderen Konten zurücksetzen lassen. Wörter tippen Sie auf dem Handy ohne Umschalten auf die Zeichentastatur, und am Telefon fragt niemand, ob das ein großes oder ein kleines O war.
Wichtig ist nur, dass der Zufall die Wörter wählt und nicht Sie. Selbst gebildete Wortfolgen folgen der Sprache, oft sind es bekannte Titel oder Redewendungen, und die stehen in jeder Angriffsliste weit oben Bonneau & Shutova 2012.
Für alles, was der Passwort-Manager für Sie ausfüllt, nehmen Sie ein Zufallspasswort. Merken müssen Sie es nie, also darf es kurz und dicht sein: 16 Zeichen aus allen Zeichenarten kommen auf 104,6 Bit und passen auch in Formulare mit Längengrenze.
05 / ABLAGE
Wohin mit den vielen Passwörtern?
Ein eigenes Passwort für jeden Zugang: An dieser Regel scheitern die meisten, verständlicherweise. Wer viele Konten hat, behilft sich mit Wiederverwendung Pearman 2017, und zwischen 42 und 51 Prozent der Nutzer verwenden dasselbe Passwort auf mehreren Seiten Das 2014. Ist es einmal durchgesickert, probieren Angreifer es überall. Eine leichte Abwandlung hilft wenig: Wer das alte kennt, errät das neue oft in wenigen Versuchen Wang 2016. Ein Passwort-Manager löst das. Sie merken sich eines, den Rest merkt er sich.
Eingebaut
Browser oder Gerät
Chrome, Edge, Firefox und Safari speichern Passwörter und füllen sie aus, auf iPhone, iPad und Mac gibt es dafür die App „Passwörter". Das kostet nichts und ist oft schon eingerichtet. Das BSI weist darauf hin, dass Schadsoftware aus Browsern Zugangsdaten vergleichsweise leicht auslesen kann; ein aktuelles System und eine Gerätesperre gehören deshalb dazu.
gut für den Einstieg
Lokal
KeePassXC
Ein freies Programm für Windows, macOS und Linux. Es legt alle Passwörter in einer verschlüsselten Datei auf Ihrem Rechner ab, ein Konto bei einem Anbieter braucht es nicht. Wer die Datei auf mehreren Geräten nutzt, kümmert sich selbst um Abgleich und Sicherung.
gut, wenn die Daten im Haus bleiben sollen
Synchronisiert
Bitwarden
Ein Dienst mit offengelegtem Quellcode, der den verschlüsselten Tresor über die Server des Anbieters auf alle Geräte bringt, samt Apps fürs Handy und Erweiterungen für den Browser. Die Grundfunktionen kosten nichts, für Familien und Teams gibt es Bezahltarife mit gemeinsamen Tresoren.
gut für mehrere Geräte und Personen
Die drei stehen für drei Bauarten, nicht für eine Rangliste; 1Password, Proton Pass und andere arbeiten nach demselben Prinzip. Wichtiger als das Produkt ist, wie Sie es nutzen. Ob ein Manager die Lage verbessert, hängt davon ab, wie man ihn schon beim Anlegen eines Passworts einsetzt Lyastani 2018. Lassen Sie ihn also neue Passwörter erzeugen, statt nur die alten hineinzukopieren.
Das Hauptpasswort und das Notfallblatt
Der Passwort-Manager braucht ein Passwort, das Sie sich wirklich merken: eine Passphrase aus sechs Wörtern oder mehr, die Sie nirgends sonst verwenden. Aufschreiben ist erlaubt, wenn der Zettel unter Verschluss liegt, so das BSI; an den Bildschirm gehört er nicht. Daneben gehören die Wiederherstellungscodes des Passwort-Managers und des E-Mail-Kontos. Geht das Hauptpasswort verloren, sind im schlimmsten Fall alle gespeicherten Zugänge weg.
Damit Ihre Angehörigen im Ernstfall wissen, wo dieser Zettel liegt, hilft das Vorsorgeblatt digitaler Nachlass. Was sonst dazugehört, steht im Ratgeber zum digitalen Nachlass. Und wenn Sie gerade vor einem Konto stehen, in das Sie nicht mehr hineinkommen: Der Ratgeber Passwort vergessen, Zugang verloren geht die Wiederherstellung Schritt für Schritt durch.
Umziehen, ohne sich auszusperren
- Manager einrichten. Mit einer neuen Passphrase als Hauptpasswort, notiert und weggeschlossen. Die Wiederherstellungscodes gleich mit ausdrucken.
- Zuerst das E-Mail-Konto. Neues Zufallspasswort, Zwei-Faktor-Anmeldung einschalten. Über dieses Postfach lassen sich fast alle anderen Konten zurücksetzen, deshalb kommt es zuerst.
- Dann die wichtigen Konten: Bank, Mobilfunkvertrag, Shops mit hinterlegter Zahlung, soziale Netzwerke. Jedes bekommt ein eigenes, im Manager erzeugtes Passwort.
- Den Rest beim nächsten Anmelden. Der Manager bietet an, das alte Passwort zu speichern; tauschen Sie es bei der Gelegenheit gegen ein erzeugtes. Nach ein paar Wochen ist so fast alles umgezogen.
- Alte Listen vernichten. Notizbuch und Textdatei auf dem Desktop: weg damit, sobald alles im Manager steht. Die Datei auch aus dem Papierkorb löschen.
06 / ZWEITER FAKTOR
Was hilft, wenn ein Passwort trotzdem abgegriffen wird?
Gegen eine gefälschte Anmeldeseite hilft das stärkste Passwort nichts: Wer es dort eintippt, gibt es weiter. Deshalb rät das BSI für wichtige Konten, allen voran das E-Mail-Postfach, zu einem zweiten Faktor. Nach dem Passwort fragt der Dienst dann noch nach einer Bestätigung auf Ihrem Handy, einem Code aus einer App oder einem Sicherheitsschlüssel. Wie viel das ausmacht, hat Google an über 350.000 echten Übernahmeversuchen ausgewertet: Eine Bestätigung über ein Gerät des Kontoinhabers hielt mehr als 94 Prozent der Versuche nach Phishing auf und sämtliche automatisierten, Sicherheitsfragen dagegen teils nur jeden zehnten Doerfler 2019. Hardware-gestützte Verfahren stuft das BSI als besonders sicher ein.
Passkeys: anmelden ohne Passwort
Ein Passkey ersetzt das Passwort ganz. Ihr Gerät legt dafür ein Schlüsselpaar an: Der geheime Teil bleibt auf dem Gerät oder im Passwort-Manager, der Dienst bekommt nur den öffentlichen. Bei der Anmeldung bestätigen Sie mit Fingerabdruck, Gesicht oder der Geräte-PIN. Weil der Passkey an die Adresse des Dienstes gebunden ist, funktioniert er auf einer nachgemachten Seite schlicht nicht, und verraten kann man dort nichts. Das BSI nennt Passkeys einen Gewinn an Sicherheit und Bequemlichkeit und rät, eine Rückfallebene einzurichten, etwa einen zweiten Sicherheitsschlüssel.
Bietet Ihnen ein Dienst einen Passkey an, spricht wenig dagegen. In einer großen Laborstudie waren die Teilnehmenden bereit, das Passwort gegen einen Sicherheitsschlüssel zu tauschen, hatten aber auch neue Bedenken Lyastani 2020. Die naheliegende Frage, was bei Verlust des Geräts passiert, beantwortet die Rückfallebene. Bei vielen Diensten bleibt außerdem das alte Passwort als Notzugang bestehen. Es sollte trotzdem stark sein.
Passwörter im Verein und im Büro teilen
Im Verein und im kleinen Büro teilen sich oft mehrere Leute einen Zugang: die Vereinswebsite oder das Kundenkonto beim Großhändler. Solche Zugänge gehören in einen geteilten Tresor eines Passwort-Managers, nicht in eine Chatgruppe und nicht in eine Tabelle auf dem Vereinslaptop. Der Tresor zeigt, wer Zugriff hat, und nimmt ihn mit einem Klick wieder weg.
Gibt jemand das Amt ab oder verlässt die Firma, ändern Sie die Passwörter, die diese Person kannte. Das ist einer der Anlässe, bei denen ein Wechsel wirklich Pflicht ist. Wie das ordentlich abläuft, steht im Ratgeber Mitarbeiter kommt oder geht; was im Verein sonst an IT anfällt, im Ratgeber IT im Verein. Für das Gäste-WLAN im Vereinsheim erzeugen Sie oben einen WLAN-Schlüssel und machen daraus mit dem QR-Code-Generator einen Aushang.
07 / FORSCHUNG
Was die Forschung dazu sagt
Sechs Befunde, auf denen die Voreinstellungen und Ratschläge dieser Seite stehen. Die vollständigen Angaben zu jeder Studie finden Sie unten bei den Quellen.
Selbst ausgedacht
≈ 20 Bit
So viel Schutz boten die selbst gewählten Passwörter von fast 70 Millionen Konten gegen Offline-Raten, online weniger als 10 Bit. Keine Nutzergruppe schnitt deutlich besser ab. Bonneau 2012
Im Generator: Der Zufall wählt, deshalb stimmt die Bit-Zahl.
Länge vor Komplexität
16 Zeichen
„Mindestens 16 Zeichen" hielt großen Rateangriffen besser stand als „8 Zeichen mit vier Zeichenarten und Wörterbuchprüfung". Längenregeln waren oft auch leichter zu handhaben. Kelley 2012Shay 2016
Voreinstellung: 16 Zeichen.
Wiederverwendung
42–51 %
der Nutzer verwendeten dasselbe Passwort auf mehreren Seiten. Mit einem durchgesickerten Passwort und ein paar persönlichen Angaben errieten Forscher bei gewöhnlichen Nutzern in über 73 Prozent der Fälle das Passwort binnen 100 Versuchen. Das 2014Wang 2016
Daraus: jedes Passwort nur einmal.
Passphrasen
gleich merkbar
Zugeteilte Passphrasen waren nicht besser zu merken als gleich starke Zufallspasswörter und langsamer einzutippen. Selbst gewählte Wortfolgen sind zu vorhersehbar. Shay 2012Bonneau & Shutova 2012
Im Generator: Wörter nur per Zufall, Passphrase für das, was Sie tippen.
Zwangswechsel
abgeleitet
Ersatzpasswörter nach einem erzwungenen Wechsel ließen sich mit einem eigens entwickelten Suchverfahren aus den alten ableiten. Die Autoren stellen den Zwangswechsel deshalb infrage. Zhang 2010
Rat: nur aus Anlass wechseln.
Zweiter Faktor
> 94 %
der Übernahmeversuche nach Phishing scheiterten an einer Bestätigung über ein Gerät des Kontoinhabers, die automatisierten sogar alle. Doerfler 2019
Rat: zweiter Faktor für E-Mail und Bank.
08 / GRENZEN
Was der Generator nicht leistet
- Er schützt kein Gerät, auf dem schon Schadsoftware läuft. Wer mitliest, sieht auch das beste Passwort. Was dann zu tun ist, steht auf der Seite Viren und Sicherheit.
- Er kennt die Regeln Ihres Dienstes nicht. Lehnt ein Formular einen Vorschlag ab, passen Sie Länge oder Zeichenarten an und erzeugen neu.
- Er merkt sich nichts. Was Sie nicht kopiert haben, ist nach dem nächsten Klick weg. Kopiertes liegt in der Zwischenablage; ist dort ein Verlauf eingeschaltet (unter Windows mit Windows-Taste und V), löschen Sie den Eintrag nach dem Einfügen.
- Die Zeitangaben sind ein Modell. Sie zeigen, wie die Varianten zueinander stehen, nicht, wann ein bestimmtes Konto fällt.
09 / FÜR KI-ASSISTENTEN
Dieses Werkzeug aus einem KI-Assistenten nutzen
Assistenten wie Claude oder ChatGPT, die das Model Context Protocol (MCP) sprechen, können die Rechnung dieser Seite direkt aufrufen, statt sie nachzubauen. Der Server ist öffentlich, braucht keine Anmeldung und speichert nichts. Die Antwort enthält immer den Link auf diese Seite, den Stand der Daten und die Grenzen des Ergebnisses.
- Endpunkt
- https://aureum-tech.com/mcp
- Werkzeug
- werkzeug_passwortstaerke
- Transport
- Streamable HTTP, nur lesend
| Name | Pflicht | Bedeutung |
|---|---|---|
| verfahren | ja | „zeichen“ für ein Zufallspasswort aus einzelnen Zeichen, „woerter“ für eine Passphrase aus zufällig gezogenen Wörtern. |
| zeichenvorrat | nein | Nur bei „zeichen“: Anzahl möglicher Zeichen je Stelle, z. B. 10 (Ziffern), 26 (Kleinbuchstaben), 62 (Buchstaben und Ziffern), 94 (alle druckbaren ASCII-Zeichen). |
| laenge | nein | Nur bei „zeichen“: Anzahl der Zeichen. |
| wortliste | nein | Nur bei „woerter“: Größe der Wortliste, aus der gezogen wird, z. B. 2048 (Liste dieses Generators) oder 7776 (übliche Würfelliste). |
| woerter | nein | Nur bei „woerter“: Anzahl der Wörter. |
| zweck | nein | Wofür das Passwort gedacht ist: Online-Konto, Hauptpasswort eines Passwort-Managers, WLAN-Schlüssel oder PIN. Steuert die Empfehlungen. |
Fragen, bei denen ein Assistent es aufrufen sollte
- „Wie viele Wörter braucht eine sichere Passphrase?"
- „Ist ein Passwort mit 12 Zeichen aus Buchstaben, Ziffern und Sonderzeichen heute noch sicher genug?"
- „Wie lang sollte mein WLAN-Passwort sein?"
- „Wie stark ist eine Passphrase aus fünf Wörtern einer Würfelliste?"
Wie die Anbindung funktioniert und was MCP im eigenen Betrieb leisten kann, steht auf der Seite zu MCP-Integrationen.
10 / HÄUFIGE FRAGEN
Häufige Fragen zu Passwörtern
Wie lang sollte ein sicheres Passwort sein?
Für Konten, die nur mit dem Passwort geschützt sind, verlangt die US-Richtlinie NIST SP 800-63B mindestens 15 Zeichen. Das BSI nennt zwei Wege: mindestens 8 Zeichen aus vier Zeichenarten oder mindestens 25 Zeichen aus zwei. Ein erzeugtes Zufallspasswort mit 16 Zeichen kommt auf rund 104 Bit, eine Passphrase aus sechs Wörtern unserer Liste auf 66 Bit. Entscheidend ist, dass der Zufall wählt.
Sind die Passwörter aus diesem Generator sicher?
Sie entstehen auf Ihrem Gerät mit der kryptografischen Zufallsquelle des Browsers (crypto.getRandomValues). Überzählige Zufallszahlen werden verworfen, damit jedes Zeichen und jedes Wort exakt gleich wahrscheinlich ist. Die Seite überträgt und speichert nichts. Sicher bleibt ein Passwort aber nur, wenn es für genau einen Zugang gilt und in einem Passwort-Manager liegt statt auf einem Zettel am Bildschirm.
Was ist eine Passphrase?
Eine Folge zufällig gezogener Wörter, etwa sechs Wörter mit Bindestrich dazwischen. Jedes Wort aus unserer Liste mit 2.048 Wörtern bringt genau 11 Bit, sechs Wörter also 66 Bit. Wichtig ist, dass der Zufall die Wörter auswählt: Ein selbst gebildeter Satz folgt der Sprache und ist dadurch viel leichter zu erraten. Passphrasen eignen sich für alles, was Sie selbst eintippen.
Muss ich meine Passwörter regelmäßig ändern?
Nein, nicht ohne Anlass. Das BSI hat den Wechsel ohne Anlass 2020 aus dem IT-Grundschutz gestrichen, und die US-Richtlinie NIST SP 800-63B verbietet Diensten, ihn zu verlangen. Ändern sollten Sie ein Passwort nach einem gemeldeten Datenleck, nachdem Schadsoftware auf dem Gerät war (erst bereinigen, dann ändern) oder wenn jemand es kennt, der es nicht mehr kennen soll.
Warum kann ich hier mein eigenes Passwort nicht prüfen?
Weil Sie Ihr echtes Passwort in keine fremde Website tippen sollten, auch nicht in unsere. Ob eine Seite die Eingabe mitschneidet, lässt sich von außen kaum feststellen. Außerdem kann eine Prüfung bei einem ausgedachten Passwort nur schätzen, weil sie die Muster nicht kennt, nach denen Angreifer zuerst suchen. Bei einem erzeugten Passwort ist die Stärke exakt bekannt.
Was ist ein Passkey?
Ein Anmeldeverfahren ohne Passwort. Ihr Gerät erzeugt ein Schlüsselpaar: Der geheime Schlüssel bleibt auf dem Gerät oder im Passwort-Manager, der Dienst speichert nur den öffentlichen. Sie bestätigen mit Fingerabdruck, Gesicht oder Geräte-PIN. Weil der Passkey an die Adresse des Dienstes gebunden ist, läuft er auf einer gefälschten Seite ins Leere. Das BSI rät, eine Rückfallebene einzurichten, etwa einen zweiten Sicherheitsschlüssel.
Wie lang sollte das WLAN-Passwort sein?
WPA2 und WPA3 erlauben 8 bis 63 Zeichen, das BSI empfiehlt mindestens 20. Der Generator nimmt dafür Kleinbuchstaben und Ziffern ohne verwechselbare Zeichen wie l und 1. Das sind genau 5 Bit je Zeichen, bei 20 Zeichen also 100 Bit. Für Gäste machen Sie aus dem Schlüssel mit unserem QR-Code-Generator einen Aushang zum Scannen.
11 / STUDIEN UND QUELLEN
Worauf sich das Werkzeug stützt
Die Richtwerte und Hinweise oben beruhen auf diesen 13 wissenschaftlichen Arbeiten. Jede ist über ihren DOI bzw. die Seite des Verlags geprüft (zuletzt am 13. November 2026): Es gibt sie, sie ist nicht zurückgezogen, und ihr Befund trägt für die Frage heute noch.
Bonneau, J. (2012): The Science of Guessing: Analyzing an Anonymized Corpus of 70 Million Passwords. IEEE Symposium on Security and Privacy 2012, S. 538–552
Befund Selbst gewählte Passwörter von fast 70 Millionen Yahoo-Konten bieten gegen Offline-Raten nur etwa so viel Schutz wie 20 zufällige Bit, gegen Online-Raten weniger als 10 Bit. Keine Nutzergruppe schnitt deutlich besser ab, auch grafische Stärke-Anzeigen änderten wenig.
Im Werkzeug Darum lässt der Generator den Zufall wählen und nicht den Menschen; nur dann stimmt die angezeigte Bit-Zahl.
doi.org/10.1109/SP.2012.49 · Konferenzbeitrag
Kelley, P. G.; Komanduri, S.; Mazurek, M. L. u. a. (2012): Guess Again (and Again and Again): Measuring Password Strength by Simulating Password-Cracking Algorithms. IEEE Symposium on Security and Privacy 2012, S. 523–537
Befund Bei 12.000 Passwörtern unter sieben Regeln hielt „mindestens 16 Zeichen“ großen Rateangriffen am besten stand, besser als „8 Zeichen mit vier Zeichenarten und Wörterbuchprüfung“. Geschätzte Entropie taugt für selbst gewählte Passwörter nur als grobe Faustregel.
Im Werkzeug Voreinstellung 16 Zeichen für Zufallspasswörter; die Bit-Rechnung gilt ausdrücklich nur für erzeugte Passwörter.
doi.org/10.1109/SP.2012.38 · Konferenzbeitrag
Shay, R.; Komanduri, S.; Durity, A. L. u. a. (2016): Designing Password Policies for Strength and Usability. ACM Transactions on Information and System Security 18 (4), S. 1–34
Befund Zwei Online-Studien mit über 20.000 Teilnehmenden zu 15 Passwortregeln: Regeln, die auf Länge statt auf Zeichenarten setzen, können zugleich sicherer und leichter zu handhaben sein.
Im Werkzeug Der Text empfiehlt Länge vor Komplexität; Zeichenarten sind im Generator nur Mittel, um Formularregeln zu erfüllen.
doi.org/10.1145/2891411 · Fachzeitschrift
Shay, R.; Kelley, P. G.; Komanduri, S. u. a. (2012): Correct horse battery staple: exploring the usability of system-assigned passphrases. Proceedings of the Eighth Symposium on Usable Privacy and Security (SOUPS 2012), ACM, S. 1–20
Befund In einer Online-Studie mit 1.476 Teilnehmenden waren zugeteilte Passphrasen aus drei oder vier Wörtern nicht besser zu merken als gleich starke Zufallspasswörter; die Eingabe dauerte länger und brauchte öfter Korrekturen.
Im Werkzeug Die Seite verspricht deshalb kein müheloses Merken, sondern empfiehlt Passphrasen nur dort, wo Sie selbst tippen.
doi.org/10.1145/2335356.2335366 · Konferenzbeitrag
Bonneau, J.; Shutova, E. (2012): Linguistic Properties of Multi-word Passphrases. Financial Cryptography and Data Security (FC 2012 Workshops), LNCS, Springer, S. 1–12
Befund Selbst gewählte Wortfolgen in einem Passphrasen-System von Amazon waren alles andere als zufällig: bevorzugt gängige Paare aus zwei Nomen, oft Film- oder Buchtitel. Auch drei- oder vierteilige Phrasen aus natürlicher Sprache reichten nicht gegen Offline-Raten.
Im Werkzeug Die Wörter der Passphrase zieht der Generator aus einer festen Liste per Zufall, nie aus einem Satz.
doi.org/10.1007/978-3-642-34638-5_1 · Konferenzbeitrag
Ur, B.; Bees, J.; Segreti, S. M. u. a. (2016): Do Users' Perceptions of Password Security Match Reality?. CHI 2016, ACM, S. 3748–3760
Befund Die 165 Teilnehmenden irrten sich deutlich, wie viel bekannte Redewendungen, angehängte Ziffern und Tastaturmuster an Sicherheit bringen.
Im Werkzeug Ein Grund mehr, kein Prüffeld für eigene Passwörter anzubieten: Das Bauchgefühl täuscht, eine Schätzung auch.
doi.org/10.1145/2858036.2858546 · Konferenzbeitrag
Das, A.; Bonneau, J.; Caesar, M. u. a. (2014): The Tangled Web of Password Reuse. Network and Distributed System Security Symposium (NDSS) 2014, Internet Society
Befund 42 bis 51 Prozent der untersuchten Nutzer verwendeten dasselbe Passwort auf mehreren Websites. Wer es abwandelt, folgt wenigen Mustern, die Angreifern das Raten stark erleichtern.
Im Werkzeug Der Text stellt „jedes Passwort nur für einen Zugang“ vor jede Längenregel.
doi.org/10.14722/ndss.2014.23357 · Konferenzbeitrag
Wang, D.; Zhang, Z.; Wang, P. u. a. (2016): Targeted Online Password Guessing: An Underestimated Threat. ACM CCS 2016, S. 1242–1254
Befund Kennt ein Angreifer ein anderes, durchgesickertes Passwort derselben Person und einige persönliche Angaben, errät er bei gewöhnlichen Nutzern in über 73 Prozent der Fälle das Passwort binnen 100 Versuchen.
Im Werkzeug Erklärt, warum die Online-Sperre allein nicht schützt, wenn ein Passwort mehrfach oder abgewandelt im Einsatz ist.
doi.org/10.1145/2976749.2978339 · Konferenzbeitrag
Pearman, S.; Thomas, J.; Naeini, P. E. u. a. (2017): Let's Go in for a Closer Look: Observing Passwords in Their Natural Habitat. ACM CCS 2017, S. 295–310
Befund Messung auf den Rechnern von 154 Personen über im Mittel 147 Tage: Wiederverwendung ist häufiger als angenommen, vor allem teilweise. Wer viele Passwörter verwalten muss, behilft sich damit; Passwort-Manager zeigten dabei womöglich keinen Einfluss auf Wiederverwendung oder Stärke.
Im Werkzeug Die Umzugsanleitung sagt: Den Manager neue Passwörter erzeugen lassen, nicht alte hineinkopieren.
doi.org/10.1145/3133956.3133973 · Konferenzbeitrag
Ghorbani Lyastani, S.; Schilling, M.; Fahl, S. u. a. (2018): Better managed than memorized? Studying the Impact of Managers on Password Strength and Reuse. 27th USENIX Security Symposium 2018, S. 203–220
Befund Umfrage mit 476 und Browser-Messung bei 170 Personen: Passwort-Manager verändern die Sicherheit der Passwörter, zum Guten oder Schlechten, je nachdem, wie sie schon beim Anlegen eines Passworts genutzt werden.
Im Werkzeug Begründet, warum die Seite den Generator mit dem Manager verbindet statt den Manager allein zu empfehlen.
www.usenix.org/conference/usenixsecurity18/presentation/lyastani · Konferenzbeitrag
Zhang, Y.; Monrose, F.; Reiter, M. K. (2010): The security of modern password expiration: an algorithmic framework and empirical analysis. ACM CCS 2010, S. 176–186
Befund An über 7.700 Konten: Wer ein abgelaufenes Passwort ersetzen muss, wählt oft etwas, das sich aus dem alten ableiten lässt. Die Autoren stellen den Zwangswechsel deshalb grundsätzlich infrage.
Im Werkzeug Trägt die Aussage, Passwörter nur aus Anlass zu wechseln, gemeinsam mit BSI und NIST.
doi.org/10.1145/1866307.1866328 · Konferenzbeitrag
Doerfler, P.; Thomas, K.; Marincenko, M. u. a. (2019): Evaluating Login Challenges as a Defense Against Account Takeover. The World Wide Web Conference (WWW 2019), ACM, S. 372–382
Befund Über 350.000 echte Übernahmeversuche bei Google: Abfragen über ein Gerät des Kontoinhabers stoppten über 94 Prozent der Versuche nach Phishing und alle automatisierten; Wissensfragen hielten bei Phishing teils nur 10 Prozent auf.
Im Werkzeug Belegt den Abschnitt zum zweiten Faktor: Ein Gerät als zweiter Faktor schützt dort, wo das Passwort schon verraten ist.
doi.org/10.1145/3308558.3313481 · Konferenzbeitrag
Ghorbani Lyastani, S.; Schilling, M.; Neumayr, M. u. a. (2020): Is FIDO2 the Kingslayer of User Authentication? A Comparative Usability Study of FIDO2 Passwordless Authentication. IEEE Symposium on Security and Privacy 2020, S. 268–285
Befund In einer großen Laborstudie waren die Teilnehmenden bereit, das Passwort durch einen Sicherheitsschlüssel (FIDO2) zu ersetzen, nannten aber neue Bedenken, die die Verbreitung bremsen können.
Im Werkzeug Stützt den Rat, Passkeys anzunehmen und dabei eine Rückfallebene einzurichten.
doi.org/10.1109/SP40000.2020.00047 · Konferenzbeitrag
Normen, Behörden und Herstellerangaben
12 / WEITERE WERKZEUGE
Weitere kostenlose Werkzeuge
- AT-W2 · Privat & Betriebe
Windows-10-Check
Bekommt dieser PC noch Sicherheitsupdates, und was ist bis Oktober 2027 zu tun? - AT-W3 · Privat & Betriebe
WLAN-Planer
Wie viele Access Points oder Mesh-Punkte braucht Ihr Haus, Büro oder Ihre Halle? - AT-W4 · Betriebe
IT-Notfall-Check
Wie schnell wäre Ihr Betrieb nach einem Ausfall wieder arbeitsfähig? - AT-W5 · Betriebe
E-Mail-Check
Landen Ihre E-Mails im Spam? SPF, DKIM und DMARC Ihrer Domain im Klartext. - AT-W6 · Betriebe
USV-Rechner
Welche USV hält Server, Router und Kasse bei einem Stromausfall lange genug am Laufen? - AT-W7 · Privat
Vorsorgeblatt digitaler Nachlass
Welche Konten, Geräte und Verträge sollen Ihre Angehörigen kennen?
Den Passwort-Manager richten wir Ihnen ein, auch für Familie oder Büro, und ziehen die vorhandenen Zugänge mit Ihnen um. Das geht meist per Fernwartung.
+49 3744 4399760[email protected]Mo–Fr 8–17 Uhr · Straße der Jugend 5, 08228 Rodewisch