Passwort-Generator
Ein sicheres Zufallspasswort direkt im Browser erzeugen: Länge von 8 bis 40 Zeichen, Zeichenarten wählen und leicht verwechselbare Zeichen wie 0 und O auf Wunsch weglassen.
Weiteres Tool ausprobieren
Passend zu diesem Tool ausgewähltDer Passwort-Generator erzeugt ein zufälliges Passwort direkt im Browser. Die Länge lässt sich zwischen 8 und 40 Zeichen einstellen, Kleinbuchstaben, Großbuchstaben, Ziffern und Sonderzeichen werden einzeln an- oder abgewählt, und auf Wunsch fallen Zeichen weg, die sich leicht verwechseln lassen, etwa die Null und das große O. Der Zufall stammt aus dem kryptografischen Zufallsgenerator des Browsers, nicht aus Math.random. Das Passwort entsteht auf dem eigenen Gerät, wird nicht übertragen und nicht gespeichert und ist nach dem Neuladen verschwunden.
So funktioniert das Tool
- 01Länge einstellenMit dem Schieberegler 8 bis 40 Zeichen wählen. Voreingestellt sind 16, für wichtige Konten darf es mehr sein.
- 02Zeichenarten wählenKlein- und Großbuchstaben, Ziffern und Sonderzeichen einzeln an- oder abwählen, je nachdem, was das Zielsystem erlaubt.
- 03Kopieren und ablegenDas Passwort kopieren und direkt im Passwortmanager speichern. „Neues Passwort“ erzeugt jederzeit ein anderes.
Wann ist das nützlich?
- Neues Konto mit PasswortmanagerFür Zugänge, die nie von Hand eingetippt werden, ist ein langes Zufallspasswort mit allen Zeichenarten die einfachste sichere Wahl.
- WLAN-Schlüssel und Zugänge zum WeitergebenMuss jemand das Passwort abtippen oder vorgelesen bekommen, helfen mehr Länge ohne Sonderzeichen und der Verzicht auf verwechselbare Zeichen.
- Portale mit VorgabenManche Systeme verlangen Sonderzeichen, andere verbieten sie. Die Zeichenarten lassen sich passend zu solchen Regeln einstellen.
Beispiele
- 16 Zeichen, alle ZeichenartenMit 80 möglichen Zeichen pro Stelle ergibt das rund 101 Bit Zufall, angezeigt als „sehr stark“.
- 12 Zeichen, nur KleinbuchstabenEtwa 56 Bit, die Anzeige lautet „stark“. Mit 16 statt 12 Kleinbuchstaben sind es schon rund 75 Bit.
- 20 Zeichen ohne verwechselbare ZeichenOhne 0, O, o, 1, i, l und I bleiben 73 Zeichen übrig. Bei 20 Stellen sind das immer noch rund 124 Bit, die Sicherheit leidet also kaum.
Tipps für ein besseres Ergebnis
- Für jedes Konto ein eigenes PasswortDer größte Gewinn liegt darin, kein Passwort mehrfach zu verwenden. Ein Passwortmanager macht das im Alltag praktikabel.
- Pflichtziffer fehlt? Neu erzeugenJedes Zeichen wird unabhängig gezogen, deshalb enthält etwa jedes achte Passwort mit 16 Zeichen keine Ziffer. Verlangt ein Portal eine, einfach ein neues erzeugen.
- Zweiten Faktor zusätzlich nutzenWo ein Dienst eine Bestätigung per App oder Sicherheitsschlüssel anbietet, schützt das auch dann, wenn ein Passwort einmal abhandenkommt.
Woher der Zufall kommt
Das Passwort wird mit dem kryptografischen Zufallsgenerator des Browsers (crypto.getRandomValues) erzeugt. Anders als Math.random ist er dafür gebaut, auch dann unvorhersehbar zu bleiben, wenn frühere Werte bekannt sind. Jedes Zeichen wird unabhängig aus der gewählten Zeichenmenge gezogen. Muster wie „Großbuchstabe am Anfang, Ziffer am Ende“, die Menschen beim Ausdenken bevorzugen, entstehen dadurch nicht.
Was das BSI empfiehlt
Das Bundesamt für Sicherheit in der Informationstechnik nennt zwei Wege zu einem sicheren Passwort: kurz und komplex, also mindestens acht Zeichen aus vier Zeichenarten, oder lang und weniger komplex, mit etwa 25 Zeichen aus zwei Zeichenarten, zum Beispiel eine Folge von Wörtern. Für Konten, deren Passwort ohnehin der Passwortmanager einträgt, kostet Länge nichts, dort lohnen sich 16 Zeichen und mehr.
Länge oder Zeichenvielfalt
Die Zahl der möglichen Passwörter ist die Größe der Zeichenmenge hoch die Länge. Weil die Länge im Exponenten steht, holen wenige zusätzliche Zeichen auf, was eine größere Zeichenmenge bringt: 16 Kleinbuchstaben ergeben rund 75 Bit, 12 Zeichen aus allen vier Arten rund 76 Bit. Wo Sonderzeichen stören, ist ein längeres Passwort deshalb ein vollwertiger Ersatz. Die Anzeige der Stärke folgt diesen Bit-Werten: unter 45 „mittel“, unter 75 „stark“, darüber „sehr stark“.
Nichts verlässt den Browser
Erzeugung und Anzeige laufen vollständig auf dem eigenen Gerät. Keine Anfrage trägt das Passwort irgendwohin, und nichts wird gespeichert. Wer die Seite schließt oder neu lädt, verliert das Passwort, deshalb gehört es sofort in den Passwortmanager.
Häufige Fragen
Wie lang sollte ein Passwort sein?
Für wichtige Konten 16 Zeichen oder mehr, bei Zugängen mit Passwortmanager gern so lang, wie das Feld erlaubt. Das BSI hält mindestens acht Zeichen aus vier Zeichenarten oder etwa 25 Zeichen aus zwei Zeichenarten für sicher.
Wird das Passwort an einen Server gesendet?
Nein. Es entsteht im Browser mit dem kryptografischen Zufallsgenerator und wird weder übertragen noch gespeichert.
Warum verwechselbare Zeichen weglassen?
Weil 0 und O oder 1, l und I in vielen Schriften kaum zu unterscheiden sind. Muss ein Passwort vorgelesen, abgetippt oder notiert werden, erspart die Option viele Fehlversuche.
Muss ein Passwort regelmäßig geändert werden?
Nicht ohne Anlass. Das BSI rät zum Wechsel vor allem dann, wenn ein Passwort in fremde Hände geraten sein könnte. Wichtiger sind ein eigenes Passwort pro Konto und, wo möglich, ein zweiter Faktor.
Sind die Passwörter wirklich zufällig?
Ja, so zufällig, wie es der Zufallsgenerator des Browsers erlaubt. Zwei Passwörter hängen nicht voneinander ab, und es gibt keine Liste bereits erzeugter Passwörter.