Passwort-Generator
Sichere Passwörter, merkbare Passphrasen und das, was alle anderen vergessen — eine Buchstabiertafel, damit du dein Passwort am Telefon durchgeben kannst, ohne „kleines L, nein, das andere“ zu sagen.
Leertaste: generieren
Ein Passwort, das man wirklich benutzen kann
Die meisten Passwortgeneratoren geben dir sechzehn Zeichen Rauschen und halten die Arbeit damit für getan. Und dann musst du das Ding in einen Fernseher eintippen, einem Kollegen am Telefon vorlesen oder von einem Aufkleber in die Einrichtung eines Routers übertragen — und stellst fest, dass im gelieferten Passwort ein kleines „l“, ein großes „I“ und die Ziffer „1“ direkt nebeneinander stehen. Das Passwort war sicher. Es war zugleich unbenutzbar.
Dieser Generator behandelt Lesbarkeit als Teil der Anforderung und nicht als angenehme Zugabe. Ähnliche Zeichen sind standardmäßig ausgeschlossen, deshalb enthält kein Ergebnis die klassischen Verwechslungspaare. Zu jedem Passwort gehört eine Buchstabiertafel nach dem NATO-Alphabet — damit wird aus einem Telefonat statt „kleines L, nein, das andere“ ein „Lima, Alfa, sieben“. Und die Stärkeanzeige nennt die Entropie in Bit sowie eine Schätzung, wie lange ein Offline-Angriff bräuchte, sodass du siehst, was du tatsächlich bekommen hast.
Vier Arten von Geheimnis
Stark. Zufällige Zeichen aus einem gemischten Alphabet. Die richtige Wahl für alles, was im Passwortmanager liegt und niemals von Hand eingetippt wird. Der einzige Hebel, der hier zählt, ist die Länge.
Merkbare Passphrase. Mehrere zusammenhanglose Wörter hintereinander. Vier zufällige Wörter aus einer großen Liste sind schwerer zu knacken als ein einzelnes verunstaltetes Wort mit Dollarzeichen, und du kannst sie im Kopf behalten. Das ist der Modus für die Handvoll Passwörter, die du ohne Hilfe erinnern musst: die Anmeldung am Gerät und der Passwortmanager selbst.
PIN. Nur Ziffern — für Zahlenschlösser, SIM-Karten und Safes. Von Natur aus kurz, deshalb kommt der Schutz hier nicht von der Länge, sondern von der Sperre nach einigen Fehlversuchen.
Diktierbar. Aus Silben gebaut, in denen sich Konsonanten und Vokale abwechseln, deshalb ist das Ergebnis aussprechbar und damit auch diktierbar. Nimm diesen Modus, wenn das Passwort durch einen echten Menschen hindurch muss.
Was die Bit bedeuten
Die Entropie in Bit ist ein Maß dafür, wie viele Versuche ein Angreifer braucht, und die Skala ist exponentiell: Jedes zusätzliche Bit verdoppelt die Arbeit. Unter 50 Bit kommt ein gut ausgestatteter Angreifer mit gestohlenen Hashes an einem Tag durch. Bei etwa 70 Bit dauert derselbe Angriff Jahre. Jenseits von 90 Bit ist die Zahl kein praktisches Problem mehr, und die Schwachstelle verschiebt sich an eine andere Stelle — zur Mehrfachnutzung desselben Passworts, zum Phishing, zu einem Dienst, der Passwörter schlecht speichert.
Und das sollte man deutlich sagen: Die Länge ist der einzige Regler mit echtem Hebel. Vier Zeichen mehr bringen dir mehr als jede Anordnung von Sonderzeichen, und der klassische Ratschlag, Groß- und Kleinschreibung mit Satzzeichen zu mischen, hat vor allem Passwörter erzeugt, die für Menschen unbequem und für Maschinen kaum schwerer sind.
Nichts verlässt deinen Browser
Das Passwort entsteht auf deinem Gerät über crypto.getRandomValues(). Beim Druck auf den Button
gibt es keine Anfrage an einen Server, kein Protokoll und kein Konto. Du kannst das selbst prüfen: Öffne den
Netzwerk-Tab deines Browsers und generiere — es wird nichts gesendet. Genau diese Eigenschaft ist der Grund,
einen lokalen Generator einem vorzuziehen, der dein Geheimnis dort erzeugt, wo du nicht hinsehen kannst.
Häufige Fragen
Wird das Passwort irgendwohin gesendet?
Nein. Es entsteht in deinem Browser über crypto.getRandomValues() und wird nie übertragen. Öffne den Netzwerk-Tab und drücke den Button — es gibt keine Anfrage. Wir haben kein Kontosystem und keine Protokolle.
Wie lang sollte ein Passwort sein?
Sechzehn zufällige Zeichen für alles, was im Passwortmanager liegt, und vier oder mehr zufällige Wörter für die wenigen, die du ohne Hilfe erinnern musst. Die Länge ist der einzige Hebel mit echter Wirkung: Zeichen hinzuzufügen hilft mehr als Satzzeichen hinzuzufügen.
Sind Wort-Passphrasen wirklich so stark wie zufällige Zeichen?
Vier zusammenhanglose Wörter aus einer großen Liste schlagen ein einzelnes verunstaltetes Wort mit Sonderzeichen, und du kannst sie dir tatsächlich merken. Wichtig ist, dass der Zufall die Wörter auswählt: Eine Phrase, die du selbst erfunden hast, ist viel schwächer, als sie sich anfühlt.
Warum fehlen einige Buchstaben und Ziffern?
Kleines „l“, großes „I“, die Ziffer „1“, großes „O“ und die Ziffer „0“ sind ausgeschlossen, weil Menschen sie beim Lesen und Eintippen verwechseln. Fünf Zeichen weniger kosten den Bruchteil eines Bit Entropie und sparen dir einen Anruf beim Support.
Wofür ist die Buchstabiertafel gut?
Um ein Passwort laut zu diktieren. Jedes Zeichen wird mit einem Wort aus dem NATO-Alphabet wiedergegeben, und aus „kleines L, dann A, dann sieben — nein, klein“ wird „Lima, Alfa, sieben“.
Wie wird die Knackzeit berechnet?
Aus der Entropie, also aus Alphabetgröße und Länge, unter der Annahme eines Offline-Angriffs auf gestohlene Hashes mit den heutigen Geschwindigkeiten handelsüblicher Grafikkarten. Das ist ein Richtwert in der Größenordnung und kein Versprechen, und es sagt nichts über Phishing oder über einen Dienst, der Passwörter im Klartext speichert.