Passwort-Generator
Starke zufällige Passwörter und Passphrasen.
Über dieses Tool
Erzeuge zufällige Passwörter aus den Zeichen deiner Wahl oder wortbasierte Passphrasen, die sich leichter tippen lassen. Alles nutzt den kryptografisch sicheren Zufallsgenerator des Browsers, und die geschätzte Stärke wird in Bit angezeigt.
So verwendest du es
- Wähle Zufällige Zeichen oder Passphrase.
- Lege die Länge oder Anzahl der Wörter fest und welche Zeichen enthalten sein sollen.
- Sieh zu, wie sich die geschätzte Stärke in Bit aktualisiert.
- Kopiere ein Passwort oder klicke auf Neu generieren für einen weiteren Satz.
Fragen
- Wie lang sollte ein Passwort sein?
- Peile mindestens 16 zufällige Zeichen an, also rund 100 Bit, oder eine Passphrase aus 10 oder mehr Wörtern aus diesem Tool. Alles über etwa 80 Bit liegt weit jenseits dessen, was sich erraten lässt. Ein Passwortmanager kann es sich für dich merken.
- Was bedeutet Stärke in Bit?
- Der Wert misst, wie viele Versuche ein Angreifer bräuchte: Jedes zusätzliche Bit verdoppelt den Aufwand. Er setzt voraus, dass das Passwort zufällig erzeugt wurde, was hier zutrifft.
- Werden die Passwörter irgendwo gespeichert oder hingeschickt?
- Nein. Sie werden in deinem Browser mit crypto.getRandomValues erzeugt und verschwinden, wenn du die Seite schließt.
- Passphrase oder zufällige Zeichen?
- Passphrasen lassen sich leichter tippen und merken, etwa auf einem Handy oder Fernseher. Zufällige Zeichen packen mehr Stärke in weniger Zeichen. Die Stärkeanzeige zeigt genau, wie viele Bits dir jede Einstellung bringt.
- Warum werden ähnlich aussehende Zeichen weggelassen?
- Zeichen wie l, 1, I, O, 0 und o sind leicht zu verwechseln, wenn ein Passwort vorgelesen, von Papier abgeschrieben oder von einem anderen Bildschirm abgetippt wird. Sie wegzulassen verkleinert den Zeichenvorrat leicht und kostet etwa 0,1 Bit pro Zeichen. Schalte es aus, wenn das Passwort immer nur eingefügt wird.
- Wie erzeuge ich einen zufälligen API-Key oder ein geheimes Token?
- Wähle „Zufällige Zeichen“ mit nur Buchstaben und Ziffern, damit der Key in Headern, URLs und Konfigurationsdateien unproblematisch ist, und stelle die Länge auf 32 oder mehr. Das ergibt weit über 180 Bit. Auf der Kommandozeile erledigt openssl rand -hex 32 denselben Job. Speichere solche Keys gehasht, wenn dein Server sie nur prüfen muss.
- Machen Großbuchstaben und eine Zahl eine Passphrase stärker?
- Jedes Wort großzuschreiben bringt nichts, weil es immer auf dieselbe Weise geschieht. Die Zufallszahl bringt bei einer Phrase aus sechs Wörtern etwa 9 Bit: bis zu 100 Werte an einer von sieben Positionen. Ein weiteres Wort bringt etwa 8,7 Bit, beides hilft also etwa gleich viel, und ein zusätzliches Wort ist oft leichter zu tippen.
Wie wird die Passwortstärke in Bit berechnet?
Bei einem zufällig erzeugten Passwort ist die Stärke die Länge mal log2 der Anzahl möglicher Zeichen. Kleinbuchstaben, Großbuchstaben, Ziffern und die 27 Sonderzeichen hier ergeben 89 Zeichen, also etwa 6,5 Bit pro Zeichen; 20 Zeichen ergeben somit etwa 130 Bit. Das Weglassen ähnlicher Zeichen entfernt sechs Zeichen und kostet etwa 0,1 Bit pro Zeichen. Die Formel gilt nur für zufällige Passwörter, nie für selbst ausgedachte.
Passphrasen funktionieren genauso, nur mit Wörtern. Die Wortliste hier hat 422 kurze Wörter, jedes Wort bringt also etwa 8,7 Bit, und sechs Wörter ergeben etwa 52. Das ist weniger pro Wort als bei der klassischen Diceware-Liste mit 7.776 Wörtern, die je 12,9 Bit bringt, nimm also mehr Wörter, um dieselbe Stärke zu erreichen. Die Anzeige rechnet das für dich aus, während du die Einstellungen änderst.
Warum wird mein generiertes Passwort abgelehnt oder macht Probleme?
Manche Websites begrenzen die Länge auf 16 oder 20 Zeichen oder verweigern bestimmte Sonderzeichen wie Anführungszeichen, Leerzeichen oder spitze Klammern. Reduziere die Länge auf das Limit der Website oder schalte „Sonderzeichen“ aus und mach das Passwort zum Ausgleich ein paar Zeichen länger. Jeder zusätzliche Buchstabe und jede Ziffer bringt knapp 6 Bit, 22 alphanumerische Zeichen schlagen also 20 mit Sonderzeichen.
Sonderzeichen machen auch außerhalb von Websites Ärger. In einer Shell werden $ und ! innerhalb doppelter Anführungszeichen expandiert, setze solche Passwörter also in einfache Anführungszeichen. In einer .env-Datei kann # einen Kommentar einleiten und $ eine Variablenersetzung auslösen. In einer Datenbank-Verbindungs-URL stören @, : und / das Parsing, sofern du sie nicht mit dem URL-Tool prozentkodierst. Nur Buchstaben und Ziffern umgehen all das.
NIST-Passwortrichtlinien: Worauf es wirklich ankommt
NIST SP 800-63B, die Richtlinie der US-Regierung, an der sich viele Unternehmen orientieren, stellt Länge vor Komplexität. Die Überarbeitung von 2025 verlangt mindestens 15 Zeichen, wenn das Passwort der einzige Faktor ist, 8 bei Multi-Faktor-Anmeldung, und Unterstützung für mindestens 64. Außerdem sollen Regeln wie „ein Sonderzeichen und eine Ziffer“ wegfallen, erzwungene regelmäßige Passwortwechsel aufhören und Passwörter aus Leak-Listen blockiert werden.
Die praktische Version: ein eigenes zufälliges Passwort für jedes Konto, verwahrt in einem Passwortmanager, plus ein zweiter Faktor, wo immer er angeboten wird. Nimm eine lange Passphrase für die wenigen Geheimnisse, die du tippen musst, etwa das Master-Passwort des Managers. Baust du das Login selbst, speichere Passwörter mit Argon2id oder bcrypt. Schnelle Hashes wie SHA-256 aus dem Hash-Generator taugen für Prüfsummen, nicht für gespeicherte Passwörter.
Funktioniert etwas nicht, oder sieht ein Ergebnis falsch aus? Ein Problem mit diesem Tool melden