Passwort-Generator
Starke Zufallspasswörter mit Stärkeanzeige erstellen – sicher, kostenlos, im Browser.
Die Wörter stammen aus der EFF-Liste mit 7.776 Wörtern, jedes bringt also 12,9 Bit. Leichter zu tippen und zu merken als eine Zufallsfolge gleicher Stärke.
Eine PIN ist nur so sicher wie das Gerät, das die Eingabeversuche begrenzt. Verwenden Sie sie nicht als Passwort.
Passwort-Generator - sichere Zufallspasswörter erstellen
Ein Passwort, das Sie sich selbst ausdenken, ist ein Passwort, das ein Angreifer erraten kann. Menschlich gewählte Passwörter drehen sich um Namen, Daten, Tastaturmuster und bekannte Zeichenersetzungen - genau das, was Cracking-Programme zuerst probieren. Dieser kostenlose Passwort-Generator beseitigt diese Voreingenommenheit: Jedes Zeichen stammt aus der kryptografischen Zufallsquelle Ihres Browsers, das Ergebnis hat also kein ausnutzbares Muster.
Legen Sie die Länge fest, wählen Sie die gewünschten Zeichengruppen und erzeugen Sie ein Passwort oder gleich zehn auf einmal. Über das Menü Modus wechseln Sie zwischen einem zufälligen Passwort, einer merkbaren Passphrase aus echten Wörtern und einer rein numerischen PIN. Eine Stärkeanzeige und die Entropie in Bit aktualisieren sich bei jeder Änderung, und nichts von dem, was Sie erzeugen, wird übertragen, gespeichert oder protokolliert.
Was ein Passwort wirklich stark macht
Stärke misst man in Entropie - also in der Anzahl der Versuche, die ein Angreifer bräuchte. Entropie wächst mit der Größe des Zeichenvorrats, aber sie wächst viel schneller mit der Länge. Ein zusätzliches Zeichen vervielfacht den Suchraum, ein zusätzlicher Sonderzeichentyp erweitert ihn nur geringfügig. Deshalb schlägt ein 16 Zeichen langes Passwort aus Buchstaben und Ziffern ein achtstelliges voller Satzzeichen, und deshalb stellt heute jede ernsthafte Sicherheitsempfehlung die Länge an erste Stelle.
Drei Modi: Passwort, Passphrase und PIN
| Modus | Ergebnis | Entropie in der Standardeinstellung |
|---|---|---|
| Passwort | Eine Zufallsfolge aus 4 bis 128 Zeichen der angehakten Gruppen | 16 Zeichen aus Buchstaben und Ziffern: etwa 95 Bit |
| Passphrase | 3 bis 12 Zufallswörter, durch ein Trennzeichen verbunden | 5 Wörter: etwa 65 Bit |
| PIN | 3 bis 12 Zufallsziffern | 6 Stellen: etwa 20 Bit |
Die Passphrase zieht ihre Wörter aus der EFF Large Wordlist, 7.776 kurzen Wörtern, die bewusst leicht zu tippen und gut zu unterscheiden sind; jedes Wort bringt also 12,9 Bit. Wählen Sie das Trennzeichen (-, ., _ oder ein Leerzeichen) und aktivieren Sie Jedes Wort großschreiben oder Zwei Ziffern anhängen, wenn ein Formular auf einem Großbuchstaben oder einer Zahl beharrt. Die PIN liefert 3 bis 12 Ziffern für eine Handysperre oder einen Türcode, nicht mehr. In jedem Modus nennt die Zeile unter dem Ergebnis die Entropie in Bit: ein Wort aus der Liste ist 12,9 Bit wert, ein 20 Zeichen langes Passwort aus dem vollen Vorrat von 88 Zeichen etwa 129 Bit. Wortliste: EFF Large Wordlist, CC BY 3.0 US.
Wie lang sollte ein Passwort sein?
| Einsatzzweck | Mindestlänge | Hinweis |
|---|---|---|
| Gewöhnliches Website-Konto | 16 Zeichen | Lang genug, um Offline-Angriffe nach einem Datenleck zu überstehen |
| E-Mail, Banking, Cloud-Speicher | 20 Zeichen | Über diese Konten lassen sich alle anderen Passwörter zurücksetzen |
| Datenbank-, Server- oder Root-Zugang | 24 Zeichen oder mehr | Wird ohnehin maschinell eingetragen, Länge kostet also nichts |
| API-Schlüssel und Service-Secrets | 32 Zeichen oder mehr | Wie ein Token behandeln und regelmäßig rotieren |
| WLAN-Schlüssel | 20 Zeichen | Mitgeschnittene Handshakes lassen sich zeitlich unbegrenzt offline angreifen |
Passwort hier erzeugen
- Den Modus wählen: Passwort, Passphrase oder PIN. Die Optionen darunter richten sich nach dieser Wahl.
- Für ein Passwort die Länge mit dem Regler einstellen - zwischen 4 und 128 Zeichen, wobei sechzehn ein guter Ausgangswert ist. Eine Passphrase nutzt stattdessen Wörter (3 bis 12), eine PIN die Stellen (3 bis 12).
- Die benötigten Zeichengruppen anhaken: Großbuchstaben, Kleinbuchstaben, Ziffern und Sonderzeichen.
- Mindestens ein Zeichen jeder Art aktiviert lassen, damit jede angehakte Gruppe im Ergebnis auch wirklich vorkommt.
- Verwechselbare Zeichen ausschließen aktivieren, wenn das Passwort vorgelesen oder von Hand getippt wird.
- Auf Generieren für ein Passwort klicken oder auf 10 generieren für eine Auswahl.
- Die Entropie in Bit unter dem Ergebnis ablesen, dann das Passwort kopieren und direkt in den Passwortmanager einfügen.
Wenn eine Seite ein erzeugtes Passwort ablehnt
Viele Anmeldeformulare verlangen mindestens eine Ziffer oder ein Sonderzeichen, und eine rein zufällige Zeichenfolge enthält nicht immer eines davon. Genau dafür gibt es Mindestens ein Zeichen jeder Art, und die Option ist voreingestellt: Sie reserviert ein Zeichen aus jeder angehakten Gruppe, solange die Länge für alle Platz lässt - damit erfüllt schon das erste erzeugte Passwort die Regel, statt Sie einen neuen Versuch zu kosten. Begrenzt das Formular dagegen die Länge, kürzen Sie das Passwort und haken Sonderzeichen an, um etwas Entropie zurückzuholen; verweigert es Sonderzeichen ganz, nehmen Sie den Haken weg und hängen vier Zeichen Länge an.
Warum mehrdeutige Zeichen ausschließen?
In vielen Schriftarten sehen die Ziffer 1, das kleine l und das große I fast gleich aus, ebenso 0 und O. Solange ein Passwortmanager das Feld ausfüllt, ist das egal. Sobald jemand einen WLAN-Schlüssel von einer Karte ablesen oder ein temporäres Kennwort aus einem Ticket abtippen muss, wird es zum Problem. Die Option opfert ein wenig Entropie für deutlich weniger fehlgeschlagene Anmeldungen - gleichen Sie es einfach mit ein paar Zeichen mehr Länge aus.
Wo das Passwort hingehört
Ein generiertes Passwort ist nur dann praktisch, wenn Sie es sich nie merken müssen. Speichern Sie es in einem Passwortmanager, verwenden Sie für jedes Konto ein eigenes Passwort und aktivieren Sie Zwei-Faktor-Authentifizierung, wo immer sie angeboten wird. Die eigentliche Gefahr ist die Wiederverwendung: Aus einer geleakten Seite werden ein Dutzend übernommene Konten, sobald Angreifer dieselben Zugangsdaten anderswo durchprobieren.
Fehler, die gute Passwörter schwächen
- Ein starkes Passwort bei mehreren Diensten wiederverwenden, statt jedes Mal ein neues zu erzeugen.
- Vorhersehbare Ersetzungen wie
P@ssw0rt- solche Muster stehen seit Jahrzehnten in jedem Wörterbuchangriff. - Passwörter aus Geburtstagen, Haustiernamen, Vereinsnamen oder anderem bauen, was auf Ihren öffentlichen Profilen steht.
- Zugangsdaten per Chat oder E-Mail verschicken, wo sie noch lange danach durchsuchbar bleiben.
- Bei erzwungenem Wechsel einfach
2024oder!an das alte Passwort hängen. - Passwörter in einer Tabelle, einer Notizen-App oder im Browser eines gemeinsam genutzten Rechners ablegen.
Was ist mit Passphrasen?
Vier oder fünf zufällige, unzusammenhängende Wörter sind leicht zu merken und wirklich stark - eine gute Wahl für das Hauptpasswort Ihres Passwortmanagers oder für eine Festplattenverschlüsselung, denn genau diese beiden müssen Sie aus dem Kopf eingeben. Stellen Sie den Modus auf Passphrase, dann baut diese Seite eine solche Folge statt einer Zufallszeichenkette. Für alles andere ist eine generierte Zeichenfolge kürzer, schneller einzufügen und muss nie erinnert werden.
Erzeugt privat in Ihrem Browser
Jedes Passwort stammt aus crypto.getRandomValues, der kryptografisch sicheren Zufallsquelle des Browsers, und verlässt die Seite nicht. Es gibt keinen Serverkontakt, kein Protokoll und keine Historie - ein hier erzeugtes Passwort existiert nur dort, wo Sie es einfügen. Der Passphrase-Modus lädt die Wortliste einmal als gewöhnliche statische Datei herunter, aber nichts von dem, was Sie erzeugen, geht jemals den umgekehrten Weg.
Ein zufälliges Passwort in der Kommandozeile erzeugen
Für einen Server, ein Skript oder ein einmaliges Geheimnis wollen Sie vielleicht gar keinen Browser öffnen. openssl rand -base64 24 gibt unter Linux und macOS eine zufällige Zeichenfolge mit 32 Zeichen aus; in PowerShell liefert -join ((33..126) | Get-Random -Count 20 | ForEach-Object { [char]$_ }) 20 druckbare Zeichen. Beide nutzen die sichere Zufallsquelle des Betriebssystems, genau wie diese Seite. Alles, was Sie aufbewahren müssen, gehört trotzdem in einen Passwort-Manager.
Passende Werkzeuge
Sie brauchen andere eindeutige Werte? Kennungen liefert der UUID-Generator, Fingerabdrücke der Hash-Generator, ein Zugriffstoken lesen Sie im JWT Decoder, und einen WLAN-Zugang teilen Sie ohne Diktieren mit dem QR-Code-Generator.