So benutzen Sie den Passwort-Generator
- Länge – 8 bis 128 Zeichen. Länger ist sicherer; 16 Zeichen oder mehr sind eine gute Wahl, wenn sich ein Passwortmanager das Passwort merkt.
- Zeichenarten – schalten Sie Sonderzeichen nur ab, wenn eine Website sie nicht akzeptiert, und gleichen Sie das mit mehr Länge aus.
- Verwechselbare Zeichen ausschließen – entfernt I, l, 1, O und 0 für Passwörter, die Sie vorlesen oder von Hand abtippen müssen.
- Klicken Sie auf Neues Passwort erzeugen für ein frisches Passwort (jede Änderung der Einstellungen erzeugt ebenfalls ein neues) und übernehmen Sie es mit der Kopieren-Schaltfläche.
Wie das Passwort entsteht
Die Zeichen stammen aus der Web Crypto API (crypto.getRandomValues), dem kryptografisch sicheren Zufallsgenerator des Browsers – nicht aus Math.random, das nicht auf Unvorhersagbarkeit ausgelegt ist. Jedes Zeichen wird mit der Verwerfungsmethode gewählt: Die wenigen Zufallswerte, die einzelne Zeichen etwas wahrscheinlicher machen würden, werden verworfen und neu gezogen, sodass jedes Zeichen des Vorrats gleich wahrscheinlich ist. Der Generator setzt mindestens ein Zeichen jeder gewählten Art, füllt den Rest aus dem gesamten Vorrat und mischt das Ergebnis.
Nichts wird übertragen oder gespeichert – kopieren Sie das Passwort in Ihren Passwortmanager, bevor Sie die Seite verlassen.
Was Entropie bedeutet
Die Entropie misst in Bit, wie schwer ein Passwort zu erraten ist: Entropie = Länge × log₂(Größe des Zeichenvorrats). Jedes zusätzliche Bit verdoppelt die Zahl der möglichen Passwörter. Mit allen vier Zeichenarten umfasst der Vorrat 89 Zeichen (26 Groß- und 26 Kleinbuchstaben, 10 Ziffern und 27 Sonderzeichen), das sind etwa 6,48 Bit pro Zeichen – ein Passwort mit 16 Zeichen hat also rund 103,6 Bit. Die Formel gilt nur für zufällig erzeugte Passwörter; ein selbst ausgedachtes Passwort hat viel weniger Entropie, als seine Länge vermuten lässt. Deutsche Umlaute und das ß nutzt der Generator bewusst nicht, weil manche Websites und Tastaturen im Ausland damit Probleme haben.
Die Tabelle zeigt, wie lange es dauern würde, alle Kombinationen auszuprobieren – bei angenommenen 100 Milliarden Versuchen pro Sekunde, ein Beispielwert für einen schnellen Offline-Angriff auf eine gestohlene Passwortdatenbank.
| Länge (alle vier Zeichenarten) | Entropie (Bit) | Zeit für alle Kombinationen | Bewertung hier |
|---|---|---|---|
| 8 | 51,8 | 11 Stunden | mittel |
| 10 | 64,8 | 10 Jahre | mittel |
| 12 | 77,7 | 78.267 Jahre | stark |
| 16 | 103,6 | 5 Billionen Jahre | sehr stark |
| 20 | 129,5 | mehr als eine Billiarde Jahre | sehr stark |
Bewertung: unter 50 Bit schwach, 50 bis 64 mittel, 65 bis 89 stark, ab 90 sehr stark.
Passphrasen
Für die wenigen Passwörter, die Sie sich merken müssen – das Hauptpasswort des Passwortmanagers oder die Anmeldung am Computer –, ist eine Passphrase aus zufälligen Wörtern leichter zu merken und zu tippen. Ihre Stärke hängt von der Größe der Wortliste ab. Diceware-Listen umfassen typischerweise 7.776 Wörter, eines für jede Kombination aus fünf Würfeln; jedes zufällig gewählte Wort bringt dann etwa 12,9 Bit. Fünf Wörter ergeben rund 64,6 Bit, sechs Wörter rund 77,5 Bit. Wichtig ist, dass die Wörter wirklich zufällig gewählt werden – mit Würfeln oder einem Generator. Ein selbst ausgedachter Satz, eine Liedzeile oder ein Zitat ist viel leichter zu erraten.
Gewohnheiten, die mehr zählen als ein einzelnes Passwort
- Nie ein Passwort mehrfach verwenden. Wird ein Dienst gehackt, probieren Angreifer dieselbe E-Mail-Adresse und dasselbe Passwort bei anderen Diensten. Ein eigenes Passwort pro Konto begrenzt den Schaden auf dieses Konto.
- Einen Passwortmanager nutzen. Er erzeugt, speichert und füllt für jede Website ein eigenes Passwort aus, sodass Sie sich nur noch eine starke Passphrase merken müssen.
- Zwei-Faktor-Authentisierung einschalten – für E-Mail, Onlinebanking und soziale Netzwerke, am besten mit einer Authenticator-App oder einem Sicherheitsschlüssel statt per SMS.
- Länge schlägt Tricks. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt zwei Wege zu einem guten Passwort: lang und aus wenigen Zeichenarten oder kürzer, dann aber mit allen vier Zeichenarten und mindestens acht Zeichen. Regelmäßige Wechsel ohne Anlass hält das BSI nicht für nötig – ändern Sie ein Passwort, wenn es Hinweise auf einen Missbrauch gibt.
Häufige Fragen
Ist ein Online-Passwort-Generator sicher?
Dieser Generator erzeugt das Passwort in Ihrem Browser mit der Web Crypto API; nichts wird übertragen oder gespeichert. Erzeugen Sie Passwörter trotzdem nur auf einem Gerät, dem Sie vertrauen, und speichern Sie sie direkt im Passwortmanager.
Wie lang sollte mein Passwort sein?
Mit Passwortmanager kostet Länge nichts, 16 bis 20 Zufallszeichen sind eine sinnvolle Wahl. Für ein Passwort, das Sie sich merken müssen, eignet sich eine zufällige Passphrase aus fünf oder sechs Wörtern.
Was bewirkt das Ausschließen verwechselbarer Zeichen?
Es entfernt I, l, 1, O und 0 und verkleinert den Vorrat von 89 auf 84 Zeichen. Ein Passwort mit 16 Zeichen sinkt dadurch von etwa 103,6 auf 102,3 Bit – ein kleiner Preis für ein Passwort, das sich leichter lesen und abtippen lässt.
Was tun, wenn eine Website keine Sonderzeichen erlaubt?
Schalten Sie Sonderzeichen ab und nehmen Sie ein paar Zeichen mehr. 16 Zeichen aus Buchstaben und Ziffern ergeben etwa 95,3 Bit, zwei Zeichen mehr bringen es auf über 107 Bit.
Warum enthält das Passwort keine Umlaute?
Umlaute und ß werden nicht von jedem System gleich verarbeitet und sind auf ausländischen Tastaturen schwer einzugeben. Mehr Sicherheit erreichen Sie einfacher mit zusätzlicher Länge.
Zuletzt aktualisiert: 8. Oktober 2026