Der Passwortgenerator erstellt zufällige Passwörter aus Klein- und Großbuchstaben, Ziffern und Sonderzeichen. Sie wählen Länge und Zeichenarten, den Rest übernimmt der Generator.
Selbst ausgedachte Passwörter enthalten oft Wörter, Namen oder Datumsangaben, und genau die probieren Angreifer zuerst. Ein zufällig erzeugtes Passwort hat dieses Problem nicht. Dafür nutzt der Generator crypto.getRandomValues(), den kryptografisch sicheren Zufallsgenerator Ihres Browsers.
Wie verwendet man den Passwortgenerator?
- 1 Länge wählen. Stellen Sie mit dem Schieberegler 8 bis 64 Zeichen ein. Jedes zusätzliche Zeichen macht das Passwort schwerer zu erraten.
- 2 Zeichenarten auswählen. Legen Sie fest, welche Zeichen vorkommen dürfen:
- Kleinbuchstaben (a-z)
- Großbuchstaben (A-Z)
- Ziffern (0-9)
- Sonderzeichen (!@#$%^&*(){}[]=<>/,.)
- 3 Mindestanforderungen setzen. Verlangt eine Website etwa mindestens eine Ziffer und ein Sonderzeichen, haken Sie diese Optionen an. Das Passwort enthält dann garantiert je ein solches Zeichen. Jede dieser Optionen erhöht die Mindestlänge um ein Zeichen.
- 4 Mehrdeutige Zeichen vermeiden. Die Option ist voreingestellt und lässt i, l, I, O, 0 und 1 weg, weil man sie beim Abschreiben leicht verwechselt.
- 5 Generieren und kopieren. Jede Änderung an den Einstellungen erzeugt sofort ein neues Passwort, ebenso ein Klick auf "Generieren". Mit "Kopieren" landet es in der Zwischenablage.
Warum sollten Sie einen Passwortgenerator verwenden?
Gegenüber einem selbst ausgedachten Passwort hat ein Generator ein paar handfeste Vorteile:
Keine Muster
Die Zeichen werden zufällig gewählt. Wörter, Namen und Muster, mit denen Wörterbuch-Angriffe beginnen, kommen deshalb nicht vor.
Ein eigenes Passwort pro Konto
Ein neues Passwort kostet nur einen Klick. So fällt es leicht, kein Passwort doppelt zu verwenden.
Keine Speicherung
Das Passwort entsteht in Ihrem Browser und wird nicht an unseren Server geschickt.
Passend zu Vorgaben
Mit Länge, Zeichenarten und Mindestanforderungen passen Sie das Passwort an die Regeln einer Website an.
Regeln für die Erstellung sicherer Passwörter
Auch mit einem Generator lohnt es sich, diese Regeln zu kennen:
- Länge zählt am meisten. Jedes zusätzliche Zeichen vervielfacht die Zahl möglicher Kombinationen, bei 82 möglichen Zeichen um den Faktor 82. Ein längeres Passwort bringt deshalb meist mehr als zusätzliche Zeichenarten.
- Ein Passwort pro Konto. Verwenden Sie kein Passwort für mehrere Dienste. Gelangen Zugangsdaten bei einem Anbieter in falsche Hände, probieren Angreifer sie auch bei anderen Diensten aus.
- Wechseln, wenn es einen Grund gibt. Ein regelmäßiger Wechsel ohne Anlass bringt wenig. Die NIST-Richtlinie SP 800-63B untersagt Diensten sogar, ihn vorzuschreiben. Ändern Sie ein Passwort aber sofort, wenn es in einem Datenleck aufgetaucht ist oder Sie einen Missbrauch vermuten.
- Keine persönlichen Daten. Namen, Geburtsdaten oder der Name des Haustiers lassen sich oft herausfinden und gehören in kein Passwort, auch nicht als Teil davon.
Wie überprüft man die Stärke eines Passworts?
Die Stärke eines zufälligen Passworts wird meist in Bit Entropie angegeben. Sie ergibt sich aus der Länge und der Größe des Zeichenvorrats, und jedes Bit verdoppelt die Zahl der Kombinationen, die ein Angreifer im Extremfall durchprobieren muss. Ein paar Beispiele:
- 8 Zeichen, nur Kleinbuchstaben: rund 38 Bit
- 12 Zeichen aus Buchstaben und Ziffern: rund 71 Bit
- 16 Zeichen aus allen vier Zeichenarten: rund 102 Bit
- 20 Zeichen aus allen vier Zeichenarten: rund 127 Bit
Diese Rechnung gilt nur für zufällig erzeugte Passwörter. Ein Passwort aus Wörtern oder bekannten Mustern ist viel schwächer, als seine Länge vermuten lässt, weil Angreifer solche Kandidaten zuerst testen. Die farbige Leiste unter dem Ergebnis richtet sich übrigens nur nach der eingestellten Länge.
Sichere Aufbewahrung von Passwörtern
Ein starkes Passwort hilft wenig, wenn es ungeschützt herumliegt:
- Nutzen Sie einen Passwort-Manager. Dann müssen Sie sich nur noch ein Master-Passwort merken und können trotzdem für jeden Dienst ein eigenes Passwort verwenden. Genau dafür empfiehlt das BSI solche Programme.
- Schalten Sie die Zwei-Faktor-Authentifizierung ein. Neben dem Passwort ist dann ein zweiter Nachweis nötig, etwa ein Code aus einer App. Laut BSI ist ein Log-in mit zweitem Faktor in jedem Fall sicherer als nur mit Benutzername und Passwort.
- Speichern Sie Passwörter nicht in Textdateien. Eine unverschlüsselte Datei kann jede Schadsoftware auslesen, die Zugriff auf Ihre Dateien hat.
- Geben Sie Passwörter nicht weiter. Das gilt auch für vertraute Personen. Muss ein Zugang geteilt werden, nutzen Sie dafür ein Werkzeug, das für sicheres Teilen gedacht ist.
Häufig gestellte Fragen zum Passwortgenerator
Sind die generierten Passwörter sicher?
Die Zeichen wählt crypto.getRandomValues() aus, der kryptografisch sichere Zufallsgenerator Ihres Browsers. Wie schwer ein Passwort zu erraten ist, hängt dann von Länge und Zeichenauswahl ab: 16 Zeichen aus allen vier Zeichenarten ergeben rund 100 Bit Entropie.
Wird mein Passwort irgendwo gespeichert?
Nein. Das Passwort entsteht in Ihrem Browser und wird nicht an unseren Server übertragen. Sobald Sie ein neues erzeugen oder die Seite schließen, ist das alte weg. Ein kopiertes Passwort bleibt allerdings in der Zwischenablage, bis Sie etwas anderes kopieren.
Wie viele Zeichen sollte ein sicheres Passwort haben?
Das BSI nennt zwei Wege: mindestens 8 Zeichen aus vier Zeichenarten (Groß- und Kleinbuchstaben, Ziffern, Sonderzeichen) oder mindestens 25 Zeichen, wenn das Passwort weniger komplex ist. Die US-Behörde NIST schreibt Diensten in ihrer Richtlinie SP 800-63B vor, für Passwörter ohne zweiten Faktor mindestens 15 Zeichen zu verlangen. Wer einen Passwort-Manager nutzt, muss sich die Länge nicht merken und kann ohne Weiteres 16 Zeichen oder mehr wählen.
Sollte ich Sonderzeichen verwenden?
Sonderzeichen vergrößern den Zeichenvorrat: Buchstaben und Ziffern ergeben 62 mögliche Zeichen, mit den 20 Sonderzeichen dieses Generators sind es 82. Bei 16 Zeichen bringt das ungefähr so viel wie ein zusätzliches Zeichen Länge. Lässt eine Website bestimmte Sonderzeichen nicht zu, schalten Sie sie ab und machen das Passwort etwas länger.
Was bedeutet "Mehrdeutige Zeichen vermeiden"?
Die Zeichen i, l, I, O, 0 und 1 sehen sich in vielen Schriften ähnlich. Mit dieser Option kommen sie im Passwort nicht vor. Das hilft beim Abtippen oder Vorlesen und kostet bei 16 Zeichen weniger als 2 Bit Entropie.