So nutzen Sie den Passwort-Generator
- Wählen Sie mit dem Schieberegler eine Länge. 16 Zeichen sind ein sinnvolles Minimum für wichtige Konten; 20 oder mehr sind besser.
- Legen Sie fest, welche Zeichentypen enthalten sein sollen. Lassen Sie alle vier aktiviert, sofern eine Website nicht einschränkt, welche Zeichen Sie verwenden dürfen.
- Setzen Sie das Häkchen bei Ähnlich aussehende Zeichen ausschließen, wenn Sie das Passwort von Hand ablesen oder eintippen müssen.
- Klicken Sie auf Kopieren und fügen Sie das Passwort direkt in Ihren Passwort-Manager oder das Registrierungsformular ein. Klicken Sie auf die Aktualisieren-Schaltfläche für ein neues Passwort, oder erzeugen Sie gleich eine ganze Liste.
Jedes Passwort wird auf Ihrem Gerät mit dem kryptografisch sicheren Zufallszahlengenerator des Browsers (crypto.getRandomValues) erstellt, mit unverzerrter Auswahl und mindestens einem Zeichen aus jedem gewählten Typ. Nichts wird an unseren Server gesendet, protokolliert oder gespeichert.
Was macht ein Passwort sicher?
Die Stärke beruht auf Unvorhersehbarkeit, gemessen in Bits Entropie: Länge × log₂(Anzahl möglicher Zeichen). Jedes zusätzliche Bit verdoppelt die Anzahl der Rateversuche, die ein Angreifer braucht. Ein zufälliges 20-stelliges Passwort aus einem Vorrat von etwa 90 Zeichen hat rund 130 Bit Entropie – weit mehr, als irgendein Angreifer per Brute Force knacken kann. Ein von Menschen gewähltes Passwort wie Summer2025! hat deutlich weniger echte Entropie, als seine Länge vermuten lässt, weil Angreifer zuerst Wörterbuchwörter, Namen, Daten und gängige Ersetzungen ausprobieren.
| Entropie | Bewertung | Typische Verwendung |
|---|---|---|
| Unter 36 Bit | Schwach | Kurze PINs; offline leicht zu erraten |
| 36–60 Bit | Mittel | Nur dort, wo Anmeldeversuche begrenzt sind |
| 60–80 Bit | Stark | Alltägliche Online-Konten |
| 80+ Bit | Sehr stark | E-Mail, Online-Banking, Master-Passwörter für Passwort-Manager, Verschlüsselungsschlüssel |
Die Schätzung der Knackzeit geht von einem Offline-Angriff mit 100 Milliarden Rateversuchen pro Sekunde gegen einen schnellen Hash aus. Die tatsächlichen Zeiten hängen vom Hash-Algorithmus ab, den die jeweilige Website verwendet.
Bewährte Regeln für Passwörter
- Verwenden Sie für jedes Konto ein eigenes Passwort. Durch wiederverwendete Passwörter wird aus einem Datenleck eine Vielzahl gehackter Konten („Credential Stuffing“).
- Nutzen Sie einen Passwort-Manager, um Passwörter zu erzeugen und zu speichern; dann brauchen Sie sich nur ein starkes Master-Passwort zu merken.
- Aktivieren Sie die Zwei-Faktor-Authentifizierung (eine Authenticator-App oder einen Passkey), wo immer es geht. Sie schützt Sie auch dann, wenn ein Passwort in fremde Hände gerät.
- Bevorzugen Sie Passkeys, wo Websites sie anbieten: Sie sind resistent gegen Phishing und ersetzen Passwörter vollständig.
- Senden Sie Passwörter nie per E-Mail oder Chat und seien Sie misstrauisch bei E-Mails, die Sie auffordern, ein Passwort zu „bestätigen“. Prüfen Sie verdächtige Nachrichten mit unserer Phishing-E-Mail-Analyse.
Entwickler, die Passwörter speichern, sollten nie einen einfachen schnellen Hash verwenden; warum, erfahren Sie im Ratgeber zu unserem Hash-Generator. Sie brauchen zufällige Kennungen statt Geheimnissen? Nutzen Sie den UUID-Generator.
Häufig gestellte Fragen
Ist es sicher, ein Passwort auf einer Website zu erzeugen?
Hier ja: Das Passwort wird per JavaScript in Ihrem Browser erzeugt und nie übertragen. Sie können sogar die Internetverbindung trennen, nachdem die Seite geladen ist, und der Generator funktioniert weiter.
Wie lang sollte mein Passwort sein?
Aktuelle Empfehlungen wie NIST SP 800-63B betonen die Länge statt Komplexitätsregeln. Bei Zufallspasswörtern sind 16+ Zeichen für die meisten Konten stark; verwenden Sie 20+ für Ihr E-Mail-Konto und Ihren Passwort-Manager.
Warum ähnlich aussehende Zeichen ausschließen?
Zeichen wie 0/O und 1/l/I lassen sich leicht verwechseln, wenn man ein Passwort laut vorliest oder von Papier abtippt. Wenn Sie sie ausschließen, sinkt die Entropie leicht; fügen Sie zum Ausgleich ein oder zwei Zeichen hinzu.
Sollte ich meine Passwörter regelmäßig ändern?
Nicht nach festem Zeitplan. Ändern Sie ein Passwort, wenn es Hinweise gibt, dass es kompromittiert sein könnte, zum Beispiel nach einer Benachrichtigung über ein Datenleck.
Aktualisiert