Was ein Passwort sicher macht
Ein sicheres Passwort kann ein Angreifer in keiner praktisch erreichbaren Zeit erraten. Das hängt von zwei Dingen ab: wie lang es ist und wie viele verschiedene Zeichen an jeder Stelle stehen können. Auch der Zufall spielt eine Rolle. Ein selbst ausgedachtes Passwort, etwa der Name des Haustiers mit einer Jahreszahl dahinter, ist viel leichter zu erraten, als seine Länge vermuten lässt, weil Menschen vorhersehbar wählen.
Dieser Passwort Generator wählt jedes Zeichen zufällig aus den Gruppen, die du erlaubst. Dadurch lässt sich seine Stärke leicht messen, und es gibt kein Muster, das ein Angreifer ausnutzen könnte.
So nutzt du den Passwort Generator
- Sobald die Seite geladen ist, erscheint ein neues Passwort unter Dein Passwort.
- Zieh den Regler Länge oder nutze die Minus- und Plus-Schaltflächen, um 4 bis 128 Zeichen zu wählen. Voreingestellt sind 20.
- Schalte unter Zu verwendende Zeichen die Gruppen Großbuchstaben, Kleinbuchstaben, Zahlen und Sonderzeichen ein oder aus.
- Wähl deine Optionen:
- Verwechselbare vermeiden (I l 1 O 0) entfernt Zeichen, die man leicht verwechselt.
- Jede gewählte Gruppe verwenden stellt sicher, dass aus jeder gewählten Gruppe mindestens ein Zeichen vorkommt.
- Klicke auf Neu für ein weiteres Passwort und auf Kopieren, um es zu kopieren.
- Du brauchst mehrere? Wähl eine Zahl unter Wie viele Passwörter. Sie erscheinen unter Alle Passwörter, und Alle kopieren kopiert die ganze Liste.
Unter dem Passwort zeigen ein Balken und eine Bezeichnung die Stärke mit einer Schätzung in Bit.
Stärkestufen
| Bit Entropie | Bezeichnung |
|---|---|
| unter 28 | Sehr schwach |
| 28 bis 44 | Schwach |
| 45 bis 63 | Mittel |
| 64 bis 99 | Stark |
| 100 oder mehr | Sehr stark |
Beispiele
Diese Passwörter und Werte stammen aus Durchläufen des Generators. Verwende sie nicht, denn sie sind jetzt öffentlich.
| Länge | Zeichen | Bit | Bezeichnung | Beispiel |
|---|---|---|---|---|
| 6 | Zahlen | 19,93 | Sehr schwach | 546382 |
| 8 | Kleinbuchstaben | 37,60 | Schwach | orvapcvl |
| 8 | Alle vier Gruppen | 51,93 | Mittel | QpF4b@<V |
| 12 | Alle vier Gruppen | 77,90 | Stark | .y9}g-.ta$rP |
| 16 | Buchstaben und Zahlen | 95,27 | Stark | ydrGkOZ9PrXPB6TL |
| 16 | Alle vier Gruppen | 103,87 | Sehr stark | Aj~oJ-WDTW}8rJu2 |
| 20 | Alle vier Gruppen | 129,84 | Sehr stark | CwEfwEyMg)>w~b-tMx.9 |
| 20 | Alle vier, ohne Verwechselbare | 127,50 | Sehr stark | B;8#]&Dr/*3X8y]fP#-P |
Die Länge bringt mehr als die Vielfalt. Von 8 auf 16 Zeichen mit allen vier Gruppen verdoppeln sich die Bit ungefähr. Die Tabelle zeigt die Bit-Werte mit zwei Nachkommastellen, das Tool rundet sie unter dem Passwort auf ganze Bit ab, etwa „Sehr stark · etwa 129 Bit Entropie.“
So funktioniert es
Die vier Gruppen enthalten 26 Großbuchstaben, 26 Kleinbuchstaben, 10 Ziffern und 28 Sonderzeichen, zusammen 90 Zeichen. Verwechselbare vermeiden (I l 1 O 0) entfernt 7 davon: I, l, 1, den senkrechten Strich, O, 0 und o. Übrig bleiben 83.
Jedes Zeichen wird mit crypto.getRandomValues gezogen, der kryptografischen Zufallsquelle des Browsers. Das Tool ordnet Zufallszahlen mit dem Verwerfungsverfahren statt mit einer einfachen Restrechnung den Zeichen zu, deshalb ist jedes Zeichen im Vorrat genau gleich wahrscheinlich.
Ist Jede gewählte Gruppe verwenden an, wird ein Passwort, dem zufällig eine deiner gewählten Gruppen fehlt, verworfen und neu gezogen. So bleibt das Ergebnis gleichmäßig zufällig.
Die Stärke wird als Länge mal log2 der Größe des Vorrats geschätzt. Für 20 Zeichen aus 90 sind das 20 x 6,49, etwa 129,84 Bit. Das ist eine Obergrenze. Wenn jede Gruppe vorkommen muss, sinkt die Zahl der möglichen Passwörter leicht, bei normalen Längen nur um einen kleinen Betrag.
Umlaute, ß und deutsche Tastaturen
Die Zeichengruppen enthalten nur die 26 Grundbuchstaben und ASCII-Sonderzeichen. Ä, Ö, Ü, ß und § kommen nie vor. Das ist Absicht und für dich ein Vorteil: Viele Websites lehnen solche Zeichen in Passwörtern ab, und auf einer Tastatur ohne Umlaute kannst du sie kaum eintippen, etwa am Laptop im Urlaub.
Auf einer deutschen QWERTZ-Tastatur brauchst du für manche Sonderzeichen die Taste AltGr, zum Beispiel für @, ~, |, [, ], { und }. Außerdem sind Y und Z gegenüber der englischen Tastatur vertauscht. Wenn du ein Passwort oft auf verschiedenen Tastaturen oder auf dem Fernseher eintippen musst, schalte Sonderzeichen aus und mach das Passwort dafür länger.
Datenschutz und Sicherheit
- Nichts verlässt dein Gerät. Es gibt keinen Schritt auf einem Server. Das Passwort existiert nur auf der Seite, bis du es kopierst.
- Nichts wird gespeichert. Lädst du die Seite neu, sind die Passwörter weg. Dieses Tool hat absichtlich keinen Verlauf.
- Leere deine Zwischenablage, nachdem du das Passwort auf einem fremden oder gemeinsam genutzten Computer eingefügt hast.
- Nutze einen Passwort-Manager. Ein Zufallspasswort ist nur nützlich, wenn du es sicher aufbewahren kannst. Manager füllen es für dich aus, die Länge kostet dich also nichts.
- Schalte die Zwei-Faktor-Anmeldung ein, wo es geht. Ein sicheres Passwort hilft nicht, wenn es über eine gefälschte Anmeldeseite gestohlen wird.
Die angezeigten Bit gelten für Passwörter, die wie hier zufällig erzeugt wurden. Für ein selbst ausgedachtes Passwort, das du in einen anderen Prüfer eintippst, gelten sie nicht.
Andere Wege, ein Passwort zu erzeugen
Auf einem Computer mit Python gibt dieser Befehl bei jedem Aufruf ein neues Passwort aus 20 Buchstaben und Ziffern aus:
python -c "import secrets, string; a = string.ascii_letters + string.digits; print(''.join(secrets.choice(a) for _ in range(20)))"Mit installiertem OpenSSL gibt openssl rand -base64 18 24 zufällige Zeichen aus. Die meisten Passwort-Manager haben auch einen eingebauten Generator.
Verwende für Passwörter nicht die Funktion ZUFALLSZAHL in Excel (englisch RAND) und nicht Math.random in JavaScript. Sie sind nicht dafür gebaut, unvorhersehbar zu sein.
Ähnliche Tools
Für eindeutige IDs statt Geheimnissen nimm den UUID Generator. Für Zufallszahlen in einem Bereich nimm den Zufallszahlengenerator. Um eine Prüfsumme einer Datei zu bilden, nimm den MD5 Hash Generator.