Passwort Generator

Ein sicheres Passwort hat heute mindestens 12 Zeichen, und wenn es der einzige Schutz eines Kontos ist, mindestens 15. Google empfiehlt ab 12, der US-Standard NIST verlangt ab 15 für eine Anmeldung nur mit Passwort. Das BSI nennt als Untergrenze 8 Zeichen aus vier Zeichenarten — oder 8 Zeichen aus drei Zeichenarten plus Zwei-Faktor-Anmeldung.

Die Länge zählt mehr als die Komplexität: Jedes zusätzliche Zeichen vervielfacht die Zahl der Kombinationen, die ein Angreifer durchprobieren muss. Der Generator oben erzeugt standardmäßig 16 Zeichen.

Das Bundesamt für Sicherheit in der Informationstechnik gibt drei Beispiele für sichere Passwörter. Als generell empfehlenswert bezeichnet es die dritte Variante: ein kürzeres Passwort, aber zusätzlich ein zweiter Faktor bei der Anmeldung.

Zeichen eines Passworts sind Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen: ! @ # $ % ^ & * ( ) - _ = + [ ] { } ; : , . ? /. Je mehr Zeichenarten, desto mehr Möglichkeiten pro Stelle: nur Ziffern — 10, Kleinbuchstaben — 26, alle vier Arten — rund 94.

Umlaute und ß lässt du besser weg: Das BSI weist darauf hin, dass ä, ö, ü, ß oder € auf fremden Tastaturen fehlen oder von Diensten falsch kodiert werden können. Ein Google-Konto akzeptiert ohnehin nur Standard-ASCII-Zeichen und kein Leerzeichen am Anfang oder Ende.

Eine Folge aus 5–6 zufälligen Wörtern mit Bindestrichen merkt man sich leichter als eine Zeichenkette und kommt trotzdem auf 30–50 Zeichen — genau die „lange, weniger komplexe“ Variante des BSI. Wichtig: Die Wörter müssen zufällig sein, kein Zitat und keine Liedzeile — solche Sätze stehen in Wörterbüchern für Angriffe.

Der Modus „Phrase aus Wörtern“ oben zieht die Wörter zufällig aus einem ukrainischen Wörterbuch. Mit „In lateinischer Schrift“ entstehen Wörter nur aus lateinischen Buchstaben — so nimmt sie auch ein Google-Konto an.

Anzahl der Kombinationen = (Anzahl möglicher Zeichen) hoch (Länge). Ein Passwort aus 6 Ziffern hat 10⁶ = 1.000.000 Kombinationen — ein Computer probiert sie sofort durch. 12 Zeichen aus Buchstaben, Ziffern und Sonderzeichen ergeben rund 94¹² ≈ 4,8 × 10²³ Kombinationen. Die Skala unter dem Generator zeigt diese Schätzung in Bit und als Zeit zum Knacken.

Gib das Passwort in das Feld „Eigenes Passwort prüfen“ ein — die Bewertung läuft in deinem Browser, das Passwort wird nirgendwohin gesendet. Schwache Merkmale: weniger als 12 Zeichen, ein Wort aus dem Wörterbuch, ein Datum, ein Name, Tastaturmuster wie asdfgh oder 123456, ein wiederholtes Zeichen.

Jedes Konto bekommt ein eigenes Passwort: Dann öffnet ein Datenleck bei einem Dienst nicht alle anderen. Dutzende verschiedene Passwörter kann sich niemand merken — dafür gibt es Passwortmanager im Browser, im Betriebssystem oder als eigene App. Das BSI empfiehlt, den Passwortmanager selbst mit einem starken Passwort zu schützen, das du dir merkst. Für Geschäftskonten kommt ein zweiter Faktor dazu: Ein gestohlenes Passwort allein reicht dann nicht.

Gemeinsam ist beiden: Länge schlägt Komplexität, ein Passwort pro Konto, und für wichtige Konten gehört ein zweiter Faktor dazu.

• Ein Passwort für mehrere Dienste: ein Leck — alle Konten offen.
• Sommer2025 zu Sommer2026 ändern: Solche Varianten probieren Angreifer zuerst.
• Ein einfaches Wort mit Ziffer am Ende oder ! am Anfang — davon rät das BSI ausdrücklich ab.
• Persönliche Daten: Name des Kindes, des Haustiers, Geburtsdatum.
• Das Passwort in einer Notiz auf dem Handy oder im Messenger „an sich selbst“.