PIN-Generator für zufällige PINs
Eine PIN, die niemand aus Ihrem Geburtsdatum erraten kann, Stelle für Stelle aus der kryptografischen Zufallsquelle Ihres Browsers gezogen.
Die Wörter stammen aus der EFF-Liste mit 7.776 Wörtern, jedes bringt also 12,9 Bit. Leichter zu tippen und zu merken als eine Zufallsfolge gleicher Stärke.
Eine PIN ist nur so sicher wie das Gerät, das die Eingabeversuche begrenzt. Verwenden Sie sie nicht als Passwort.
Eine zufällige PIN erzeugen
Die meisten PINs werden nicht gewählt, sondern von woanders übernommen: ein Geburtsjahr, eine Hausnummer, ein Datum, das etwas bedeutet. Damit ist sie für jeden erratbar, der ein wenig über Sie weiß, und selbst für Fremde vorhersehbar, weil wir alle nach derselben Handvoll Muster greifen. Diese Seite öffnet den Generator im Modus PIN, wo jede Stelle unabhängig von 0 bis 9 mit der kryptografischen Zufallsquelle des Browsers gezogen wird – keine Ihrer Gewohnheiten kommt ins Ergebnis.
Es lohnt sich, deutlich zu sagen, was Ihnen das bringt und was nicht, denn eine PIN ist das Schwächste, was dieses Werkzeug herstellt.
Eine PIN ist für sich allein schwach
| Stellen | Mögliche Codes | Entropie |
|---|---|---|
| 3 | 1.000 | etwa 10 Bit |
| 4 | 10.000 | etwa 13 Bit |
| 6 | 1 Million | etwa 20 Bit |
| 8 | 100 Millionen | etwa 27 Bit |
| 12 | 1 Billion | etwa 40 Bit |
Stellen Sie diese Zahlen neben ein Passwort, und der Abstand ist offensichtlich: sechzehn zufällige Buchstaben und Ziffern sind etwa 95 Bit, und jedes Bit verdoppelt den Aufwand. Eine Maschine, die eine Milliarde Codes pro Sekunde probiert, arbeitet jede mögliche zwölfstellige PIN in weniger als zwanzig Minuten ab und eine vierstellige schneller, als Sie diesen Satz lesen. Der Zufall auf dieser Seite beseitigt die leichten Treffer; die Größe des durchsuchten Raums kann er nicht ändern.
Brauchbar wird eine PIN trotzdem dadurch, dass ein gut gebautes System niemanden frei raten lässt. Die Karte wird nach drei Versuchen eingezogen, das Handy legt eine Wartezeit ein und löscht sich dann selbst, das Türtastenfeld sperrt für eine Minute. Die PIN liefert ein paar Bit; den Rest der Sicherheit liefert das Gerät.
Wo eine PIN genügt und wo nicht
- Genügt: die Displaysperre eines Handys oder Tablets mit Sperre nach mehreren Fehlversuchen, eine Bankkarte, eine SIM-Karte, ein Alarm- oder Türtastenfeld, eine Mailbox, ein Tresor mit Wartezeit zwischen den Versuchen.
- Genügt nicht: alles, was ein Angreifer kopieren und in seinem eigenen Tempo angreifen kann – ein verschlüsseltes Archiv oder eine verschlüsselte Festplatte, eine Website-Anmeldung, die Verwaltungsseite eines Routers, ein WLAN, ein Passwortmanager.
- Niemals: als Passwort für ein Onlinekonto oder als derselbe Code für Handy, Karte und Haustür zugleich. Ein Blick über die Schulter im Laden sollte nicht alles öffnen, was Sie besitzen.
Zum Zufall gehören Ergebnisse, die falsch aussehen
Weil jede Stelle unabhängig ist, kommt bei einer echt zufälligen Ziehung manchmal 1234, 0000 oder eine Folge derselben Ziffer heraus. Das passiert etwa einmal in zehntausend vierstelligen Ziehungen, und diese Ergebnisse herauszufiltern würde die übrigen PINs eher vorhersehbarer machen als weniger. Der Generator lässt die Ausgabe deshalb in Ruhe. Nutzen Sie 10 generieren, lesen Sie die Liste durch und nehmen Sie eine, die weder wie ein Muster aussieht noch zu einem Datum in Ihrem Leben passt.
Schreiben Sie sie sich anfangs an einer sinnvollen Stelle auf. Eine PIN, die Ihnen nicht einfällt, wird meist binnen einer Woche durch Ihr Geburtsjahr ersetzt – und damit ist die ganze Übung zunichte.
Was Sie stattdessen nehmen sollten, und wann
Für ein Konto erzeugen Sie eine lange Zufallsfolge mit dem Generator für starke Passwörter und lassen sie einen Passwortmanager behalten. Für das Geheimnis, das den Manager selbst aufschließt, ist eine Passphrase aus fünf oder sechs Zufallswörtern merkbar und trägt etwa doppelt so viele Bit wie eine zwölfstellige PIN, was den Aufwand für einen Angreifer quadriert. Für ein Heimnetz erzeugt der WLAN-Passwort-Generator etwas Langes, das sich trotzdem mit einer Fernbedienung tippen lässt. Der Leitfaden zu starken Passwörtern legt dar, wie die Teile zusammenpassen, auch warum die Zwei-Faktor-Authentifizierung mehr zählt als jeder Code, den Sie im Kopf behalten können.