„Muster2026!" ist kein sicheres Passwort, auch wenn es sich so anfühlt
Ein Großbuchstabe am Anfang, eine Zahl, ein Ausrufezeichen am Ende: fertig ist scheinbar ein starkes Passwort. Genau dieses Muster nutzen aber sehr viele Menschen, und Cracking-Tools kennen es entsprechend gut. Wortlisten mit gängigen Basiswörtern, Jahreszahlen und den üblichen Sonderzeichen-Anhängseln gehören zur Standardausrüstung jedes Passwort-Crackers. Ein Passwort, das einem erkennbaren Muster folgt, ist unabhängig von seiner gefühlten Komplexität deutlich schneller geknackt als eines aus echten Zufallszeichen.
Was der Generator stattdessen macht
Der Generator erzeugt Zeichenfolgen mit der kryptografisch sicheren crypto.getRandomValues-Funktion Ihres Browsers, ohne Muster, ohne Wörterbuch, ohne Bezug zu Datum oder Namen. Sie stellen ein:
- Länge: Wir empfehlen mindestens 16 Zeichen für normale Accounts.
- Zeichensatz: Groß- und Kleinbuchstaben, Ziffern, Sonderzeichen, einzeln zuschaltbar.
- Ausschlussliste: praktisch, wenn ein Formular bestimmte Sonderzeichen ablehnt oder wenn Sie verwechselbare Zeichen wie
0/Ooder1/lvermeiden wollen.
Das Ergebnis erscheint direkt im Browser, ein Klick kopiert es in die Zwischenablage. An unseren Server geht dabei nichts.
Länge schlägt Komplexität
Ein 20 Zeichen langes Passwort nur aus Kleinbuchstaben hat rund 94 Bit Entropie, praktisch nicht brute-forcebar. Ein achtstelliges Passwort mit Sonderzeichen kommt oft nur auf etwa 50 Bit. Müssen Sie zwischen mehr Länge und mehr Zeichenvielfalt wählen, nehmen Sie die Länge.
Passphrasen: die Alternative zum Auswendiglernen
Für ein Master-Passwort, das Sie sich tatsächlich merken müssen, sind reine Zufallszeichen unpraktisch. Hier helfen Passphrasen aus vier bis sechs zufälligen Wörtern, etwa „Korrekt-Pferd-Batterie-Klammer". Die Entropie bleibt hoch, das Tippen wird einfacher. Das xkcd-Prinzip dahinter ist kein Insider-Witz, sondern schlicht richtig gerechnet.
Weitere Stolperfallen im Alltag
- Wiederverwendung: Dasselbe Passwort auf mehreren Diensten bedeutet, dass ein Datenleck bei einem Anbieter alle anderen Konten mitgefährdet (Credential Stuffing). Ein Passwort-Manager wie Bitwarden, 1Password oder KeePassXC nimmt Ihnen das Merken ab.
- Speicherung in Klartext: Excel-Tabellen, Notiz-Apps oder Post-its sind keine sichere Ablage für Passwörter.
- Rotation ohne Anlass: Das NIST rät seit 2017 von erzwungenem Passwortwechsel im Kalendertakt ab. Wechseln Sie ein Passwort, wenn ein Leak bekannt wird, nicht routinemäßig alle 90 Tage.
- Leicht abgewandelte Wiederverwendung nach einem Leak: Aus „Passwort1" wird „Passwort2". Das hilft wenig, weil genau solche Varianten in Wortlisten stehen.
Zwei-Faktor-Authentifizierung als zweite Absicherung
Selbst ein starkes Passwort nützt wenig, wenn es durch Phishing oder ein Datenleck in fremde Hände gerät. Ein zweiter Faktor, per TOTP-App (Aegis, 2FAS, Authy) oder Hardware-Key (YubiKey, Nitrokey), fängt genau diesen Fall auf. Langfristig lösen Passkeys, die auf Public-Key-Kryptografie statt auf einem geteilten Geheimnis basieren, das Passwort-Problem ohnehin ab.
Datenschutz
Die Generierung läuft vollständig im Browser, wir binden dafür keine Skripte von Drittanbietern ein. Weder Eingaben noch erzeugte Passwörter werden an unseren Server gesendet. Nach dem ersten Laden funktioniert das Tool auch offline.