„Sommer2024!“ fühlt sich sicher an, ist es aber nicht. Solche Muster stehen ganz oben auf den Listen, mit denen Angreifer Passwörter durchprobieren. Ein Passwort Generator nimmt dir das Ausdenken ab und erzeugt Zeichenfolgen, die keinem Muster folgen.
Drei Varianten stehen zur Wahl: ein klassisches Zufallspasswort, eine Passphrase aus deutschen Wörtern, die man sich leichter merken kann, und eine Zahlen-PIN. Alle werden mit dem kryptografischen Zufallsgenerator deines Browsers erzeugt und verlassen dein Gerät nicht.
Was ein sicheres Passwort ausmacht
Entscheidend ist vor allem die Länge. Jedes zusätzliche Zeichen vervielfacht die Zahl der möglichen Kombinationen. Ein zufälliges Passwort aus 16 Zeichen mit Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen hat über 100 Bit Entropie – das ist mit heutiger Technik nicht durch Ausprobieren zu knacken.
Fast genauso wichtig ist, dass jedes Passwort nur einmal verwendet wird. Die meisten Konten werden nicht geknackt, sondern mit Passwörtern übernommen, die bei einem anderen Dienst geleakt sind. Ein Passwortmanager hilft dabei, für jedes Konto ein eigenes Passwort zu haben, ohne sich alle merken zu müssen.
16 zufällige Zeichen oder 5 zufällige Wörter sind besser als 8 Zeichen voller Sonderzeichen.
Keine Namen, Geburtstage, Lieblingsvereine oder Tastaturmuster wie „qwertz“.
Für jedes Konto ein eigenes Passwort – vor allem für E-Mail und Online-Banking.
Wo möglich zusätzlich die Zwei-Faktor-Anmeldung aktivieren.
Passwort oder Passphrase?
Ein Zufallspasswort wie k7#Qm2!vXp9@Lr4s ist ideal für alles, was ein Passwortmanager für dich speichert. Für die wenigen Passwörter, die du tatsächlich im Kopf behalten musst – etwa das Master-Passwort des Passwortmanagers oder die Anmeldung am Computer – ist eine Passphrase praktischer: Kran-Tulpe-Hafen-Igel-Zucker-42.
Fünf zufällige Wörter aus einer Liste von rund 260 bieten etwa 40 Bit Entropie, mit der Zahl am Ende etwas mehr. Wer es noch sicherer möchte, nimmt sechs oder sieben Wörter. Wichtig ist, dass der Generator die Wörter auswählt – selbst ausgedachte Wortketten sind deutlich leichter zu erraten.
Die Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) gehen in dieselbe Richtung: lieber lange Passwörter oder Passphrasen, für jedes Konto ein anderes, und Zwei-Faktor-Authentisierung, wo es geht.
Wie sicher ist dieser Generator?
Die Zeichen werden mit crypto.getRandomValues() ausgewählt, dem kryptografischen Zufallsgenerator des Browsers, ohne die Verzerrung, die bei einfacher Modulo-Rechnung entsteht. Das erzeugte Passwort wird nicht gespeichert und nicht übertragen. Nur deine Einstellungen wie Länge und Zeichenarten merkt sich der Browser.
Trotzdem gilt wie bei jedem Online-Werkzeug: Für hochsensible Zugänge ist der eingebaute Generator deines Passwortmanagers die bequemste Lösung, weil das Passwort dann gar nicht erst durch die Zwischenablage wandert.
Für zufällige Zahlen in anderen Zusammenhängen gibt es den Zufallszahlen Generator.