Passwort Generator

Mindestens 16 Zeichen für jedes Konto, das Ihnen wichtig ist. Für E-Mail und Banking: 20+ Zeichen. Für Root-Server-Anmeldedaten oder Verschlüsselungscodes: 24-32 Zeichen. Der Zusammenhang zwischen Länge und Sicherheit ist nicht linear — jedes zusätzliche Zeichen vervielfacht den Suchraum. Ein 20-zeichniges alphanumerisches Passwort (62^20) ist über 14 Milliarden Mal schwerer durch Brute-Force zu knacken als ein 16-zeichniges (62^16). Bei 16 Zeichen mit allen aktivierten Zeichentypen beträgt die Entropie etwa 100 Bits — dies ist mit jeder heute vorstellbaren Technologie rechnerisch nicht zu knacken.

Entropie misst, wie unvorhersehbar ein Passwort in Bits ist. Höhere Entropie = schwerer zu erraten. Sie wird als log2(Zeichenpoolgröße) × Passwortlänge berechnet. Die Verwendung aller vier Zeichentypen (Großbuchstaben + Kleinbuchstaben + Zahlen + Symbole) bietet einen Pool von etwa 94 Zeichen — log2(94) ≈ 6,55 Bits pro Zeichen. Ein 16-zeichniges Passwort mit allen Typen: 16 × 6,55 ≈ 105 Bits Entropie. Zum Vergleich: 80 Bits gelten als stark, 100+ Bits sind für die aktuelle Technologie sehr stark. Der Stärkeindikator im Tool zeigt dies visuell an.

Verwenden Sie alle vier Typen (Großbuchstaben, Kleinbuchstaben, Zahlen, Symbole), wann immer die Website oder das System es zulässt — dies maximiert die Entropie pro Zeichen. Einige Systeme beschränken Zeichen: Linux-Systempasswörter akzeptieren alle Typen. Viele Websites lehnen bestimmte Symbole ab (insbesondere <, >, ", ', \, &), da diese mit HTML oder Query-Syntax kollidieren. Windows-Passwörter akzeptieren die meisten Symbole. Datenbankpasswörter benötigen manchmal Anführungszeichen, wenn sie Sonderzeichen enthalten, die von Connection-String-Parsern verwendet werden. Wenn eine Website Ihr Passwort ablehnt, versuchen Sie das alphanumerische Preset (Großbuchstaben + Kleinbuchstaben + Zahlen) als Fallback.

Zeichen wie der kleine Buchstabe l, der große Buchstabe I und die Ziffer 1 sind in vielen Schriftarten (Serif, Monospace, einige Sans-Serif) visuell identisch. Ähnlich oft werden das große O und die Ziffer 0 verwechselt. Dies ist wichtig, wenn Sie das Passwort von Hand eingeben müssen (Anmeldung auf einem Mobilgerät, System-Wiederherstellungs-Konsole oder ein Gerät, auf dem Sie nicht einfügen können). Den Verzicht auf diese Zeichen bedeutet, dass jedes Zeichen visuell eindeutig ist. Die Entropie kostet minimal: Sie gehen von 94 Zeichen auf etwa 86, wobei Sie weniger als 0,13 Bits pro Zeichen verlieren — die Verbesserung der Benutzerfreundlichkeit ist es absolut wert.

Zufallszeichen-Passwörter (wie dieses Tool sie generiert) enthalten mehr Entropie pro Zeichen, sind aber schwer zu merken. Passphrasen (vier oder mehr zufällige Wörter: "correct-horse-battery-staple") sind merkbarer, aber länger. Eine 6-Wörter-Passphrase aus einer Liste von 7776 Wörtern (Diceware) bietet etwa 77 Bits Entropie — vergleichbar mit einem 12-zeichnigen Zufallspasswort. Für Konten, bei denen Sie das Passwort merken müssen (Master-Passwort für den Passwortmanager, Geräteanmeldung), ist eine Passphrase oft die bessere Wahl. Für alles andere, das in Ihrem Passwortmanager gespeichert wird, ist ein 20-zeichniges Zufallspasswort überlegen.

Wenn eine Website Passwörter auf 8-12 Zeichen begrenzt, ist das ein Sicherheitsrisiko — Daten von Opfern großer Sicherheitsverletzungen zeigen, dass diese Seiten Passwörter oft unsicher speichern. Verwenden Sie die maximal zulässige Länge mit allen erlaubten Zeichentypen. Wenn Symbole abgelehnt werden, verwenden Sie nur alphanumerische Zeichen und kompensieren Sie dies durch die Länge. Verwenden Sie niemals Passwörter über verschiedene Seiten hinweg wieder, unabhängig von deren Qualität, da eine Verletzung bei einer Seite Ihre anderen Konten gefährdet. Speichern Sie alles in einem Passwortmanager (Bitwarden ist kostenlos und Open-Source; 1Password und KeePass sind gute Alternativen).

Nein. Die gesamte Generierung findet im Arbeitsspeicher Ihres Browsers statt. Die Verlaufsliste auf der Seite ist nur für die Sitzung gültig — schließen oder aktualisieren Sie den Tab und sie ist weg. Nichts wird an einen Server gesendet, in localStorage gespeichert oder irgendwo protokolliert. Sie können dies überprüfen, indem Sie die Browser-DevTools öffnen und den Netzwerk-Tab prüfen — Sie werden null Anfragen sehen, wenn Sie auf Generieren klicken.