So nutzt du den Passwort-Generator
- Sobald die Seite lädt, erscheint ein neues Passwort mit 16 Zeichen. Klicke auf Kopieren und füge es dort ein, wo du es brauchst.
- Ziehe den Regler oder gib eine Länge zwischen 4 und 128 Zeichen ein. Jede Änderung erzeugt ein frisches Passwort.
- Wähle die Zeichenarten: Großbuchstaben, Kleinbuchstaben, Ziffern und Sonderzeichen. Der Generator nimmt von jeder gewählten Art immer mindestens ein Zeichen auf, sodass das Passwort auch bei Seiten funktioniert, die „eine Zahl und ein Sonderzeichen“ verlangen.
- Schalte Ähnlich aussehende Zeichen ausschließen ein, wenn du das Passwort vorlesen oder von Hand abtippen musst. Es entfernt I, l, 1, O, 0, o und Anführungszeichen.
- Klicke so oft auf Neu erzeugen, bis dir eines gefällt, und speichere es dann in einem Passwort-Manager.
So werden die Passwörter erzeugt
Jedes Zeichen wird mit crypto.getRandomValues gewählt, dem kryptografisch sicheren Zufallsgenerator des Browsers. Gewöhnliche Funktionen wie Math.random sind vorhersagbar und dürfen nie für Geheimnisse verwendet werden. Damit jedes Zeichen gleich wahrscheinlich ist, nutzt der Generator Rejection Sampling statt eines einfachen Divisionsrests, der manche Zeichen etwas häufiger machen würde. Fehlt einem fertigen Passwort zufällig eine der gewählten Zeichenarten, wird es verworfen und ein neues gezogen. Das Ergebnis: Jedes Passwort, das zu deinen Einstellungen passt, ist genau so wahrscheinlich wie jedes andere. Nichts verlässt dein Gerät.
Passwortstärke und Entropie
Die Stärke wird in Bit Entropie angegeben: dem Logarithmus zur Basis 2 der Zahl verschiedener Passwörter, die deine Einstellungen erzeugen können. Jedes zusätzliche Bit verdoppelt die Zahl der Versuche, die ein Angreifer braucht. Für eine völlig freie Zufallszeichenkette lautet die Lehrbuchformel Länge × log₂(Größe des Zeichenvorrats); mit allen vier Arten hat der Vorrat 89 Zeichen, jedes Zeichen bringt also etwa 6,5 Bit. Weil mindestens ein Zeichen jeder gewählten Art verlangt wird, fallen manche Kombinationen weg, und das Werkzeug zieht das exakt ab. Spürbar ist der Effekt nur bei kurzen Passwörtern: Bei 4 Zeichen sind es 22,1 statt 25,9 Bit, bei 16 Zeichen 103,4 statt 103,6.
- Unter 36 Bit: schwach. Nur für Wegwerf-PINs geeignet.
- 36–59 Bit: mittel. Hält Online-Angriffen stand, bei denen Seiten die Zahl der Anmeldeversuche begrenzen.
- 60–127 Bit: stark. Gut für fast jedes Konto.
- 128 Bit oder mehr: sehr stark, vergleichbar mit einem 128-Bit-Verschlüsselungsschlüssel.
Beispiel: Warum die Länge zählt
Stell dir eine geleakte Passwortdatenbank vor und einen Angreifer, der auf einem Rechner mit Grafikkarten 100 Milliarden Versuche pro Sekunde testet. Im Schnitt findet er ein Passwort, nachdem er die Hälfte aller Kombinationen probiert hat. Bei völlig zufälligen Passwörtern:
- 8 Kleinbuchstaben (37,6 Bit): etwa 1 Sekunde.
- 8 Buchstaben und Zahlen (47,6 Bit): etwa 18 Minuten.
- 12 Buchstaben und Zahlen (71,5 Bit): etwa 500 Jahre.
- 16 Zeichen aller Arten (103,6 Bit): etwa 2,5 Billionen Jahre.
Von 8 auf 16 Zeichen zu gehen brachte weit mehr, als Sonderzeichen je könnten. Deshalb ist die Voreinstellung hier 16; die Passwörter dieses Generators mit 16 Zeichen haben 103,4 Bit, bei dieser Geschwindigkeit rund 2 Billionen Jahre.
Tipps für starke Passwörter
- Nutze für jede Seite ein anderes Passwort. Wird eine Seite gehackt, probieren Angreifer dieselbe E-Mail-Adresse und dasselbe Passwort überall sonst aus.
- Lass sie von einem Passwort-Manager speichern. Bitwarden, 1Password, KeePass und die in Browsern und Smartphones eingebauten Manager speichern und füllen lange Zufallspasswörter für dich aus.
- Aktiviere die Zwei-Faktor-Authentifizierung für E-Mail, Online-Banking und soziale Konten. Auch ein perfektes Passwort kann per Phishing abgegriffen werden.
- Du musst dir eines merken? Nimm für das Master-Passwort deines Managers stattdessen 5–6 zufällige Wörter (eine Passphrase); sie ist lang, stark und leichter zu tippen.
- Vermeide Abwandlungen alter Passwörter. „Sommer2025!“ zu „Sommer2026!“ ist das Erste, was Knack-Tools (Cracking-Software) ausprobieren.
Häufige Fragen
Ist es sicher, einen Online-Passwort-Generator zu nutzen?
Dieser schon: Die Passwörter werden in deinem Browser mit crypto.getRandomValues erzeugt, derselben sicheren Zufallsquelle, die Browser für Verschlüsselungsschlüssel nutzen. Nichts wird an einen Server gesendet oder gespeichert.
Wie lang sollte mein Passwort sein?
Mindestens 12 Zeichen für alltägliche Konten und 16 oder mehr für E-Mail, Online-Banking und das Master-Passwort deines Passwort-Managers. Die Länge bringt mehr Stärke als jede einzelne Regel zu Sonderzeichen.
Soll ich Sonderzeichen verwenden?
Ja, wenn die Seite sie erlaubt. Sonderzeichen vergrößern den Zeichenvorrat, sodass jedes Zeichen mehr Entropie beiträgt. Lehnt eine Seite manche Sonderzeichen ab, schalte sie aus und verlängere das Passwort stattdessen um einige Zeichen.
Was bedeutet „Bit Entropie“?
Es misst, wie viele Versuche ein Angreifer bräuchte: Jedes zusätzliche Bit verdoppelt den Aufwand. Etwa 60 Bit halten Online-Angriffen stand, während 100 Bit oder mehr außerhalb der Reichweite jedes bekannten Offline-Angriffs liegen.