Starker Passwort Generator

Was ist ein Passwort Generator und wie arbeitet dieses Tool?

Ein Passwort Generator wählt für Sie eine unvorhersehbare Zeichenfolge. Wer Passwörter selbst erfindet, landet schnell bei Geburtsjahren, Haustiernamen oder Tastaturfolgen. Genau diese Gewohnheiten probieren die Wortlisten der Angreifer zuerst. Der eigentliche Wert liegt also darin, die Wahl einer kryptografischen Zufallsquelle zu überlassen.

Für dieses Tool habe ich mir drei Regeln gesetzt:

• Nur der kryptografische Generator des Browsers: Jedes Zeichen stammt aus crypto.getRandomValues. Die vorhersehbare Funktion Math.random nutzt das Tool nie.
• Kein Modulo Bias: Passt eine 32 Bit Zufallszahl nicht glatt in die Poolgröße, verwirft das Tool den Rest und zieht neu. Somit hat jedes Zeichen exakt dieselbe Chance.
• Nichts erreicht einen Server: Das Passwort entsteht nur auf Ihrem Bildschirm. Auch Link kopieren schreibt lediglich Länge und Typen in die Adresse, niemals das Passwort selbst.

Im Ergebnis erscheinen Ziffern und Symbole in einer anderen Farbe als Buchstaben. Die Farben erleichtern nur das Lesen; der kopierte Text bleibt reiner Text.

Was empfiehlt das BSI zur Passwortlänge?

Das BSI nennt drei Beispiele für ein sicheres Passwort:

• 20 bis 25 Zeichen mit zwei Zeichenarten, etwa eine Folge von Wörtern.
• 8 bis 12 Zeichen mit allen vier Zeichenarten.
• 8 Zeichen mit drei Zeichenarten, zusätzlich geschützt durch einen zweiten Faktor.

Für WLAN mit WPA 2 oder WPA 3 empfiehlt das BSI mindestens 20 Zeichen, weil dort Offline Angriffe möglich sind. Genau diese Länge setzt die Voreinstellung Leicht tippbar.

Die US Behörde NIST geht in SP 800-63B-4 vom August 2025 weiter: Ein Passwort als einziger Faktor braucht mindestens 15 Zeichen. Zudem sollen Systeme mindestens 64 Zeichen erlauben; bis zu dieser Länge erzeugt auch das Tool.

Meine Faustregel lautet deshalb: 16 Zeichen oder mehr im Passwortmanager, 20 oder mehr für Admin und E-Mail Konten. Ein WLAN Passwort teilen Sie danach am bequemsten per WLAN QR Code. Kurz gesagt: Erst die Länge klären, dann die Typen.

Was misst die Entropie in Bit?

Die Entropie beschreibt in Bit, aus wie vielen Möglichkeiten ein Passwort stammt. Konkret verdoppelt jedes zusätzliche Bit die Zahl der Versuche, die ein Angreifer braucht. Daher bedeuten zehn Bit Unterschied zwischen 80 und 90 Bit einen etwa tausendfach größeren Suchraum.

Die Rechenzeile im Tool schreibt das offen aus. Bei der Voreinstellung Standard sehen Sie zum Beispiel 16 × log₂(86) + log₂(0,851) = 102,6 Bit. Der erste Teil kommt aus Pool und Länge, der zweite ist der kleine Preis der Regel für ein Zeichen pro Typ.

Dabei gilt eine wichtige Grenze: Die Zahl ergibt nur für zufällig erzeugte Passwörter Sinn. Ein selbst erdachtes Passwort wie Sommer2024! wirkt lang, trotzdem ist seine echte Entropie winzig. Angreifer raten es nämlich Muster für Muster statt Zeichen für Zeichen. Deshalb bewertet das Tool keine Passwörter, die Sie eintippen; es beurteilt nur, was es selbst erzeugt hat.

Das Etikett zur Stärke folgt derselben Zahl: ab 80 Bit stark, ab 110 Bit sehr stark. Die Karte zur Knackzeit übersetzt die Entropie dann in Zeit. Allerdings schützt keine Zeitangabe ein Passwort, das bei einem Datenleck oder auf einer Phishing Seite gelandet ist.

Warum ist die Regel für ein Zeichen pro Typ voreingestellt?

Viele Registrierungsformulare verlangen noch immer mindestens eine Ziffer oder ein Symbol. Ein rein zufälliges Passwort erfüllt das nicht immer: Bei allen vier Typen enthält ein 16 Zeichen langes Passwort mit etwa 14 Prozent Wahrscheinlichkeit keine einzige Ziffer. Lehnt das Formular es ab, bessern Menschen von Hand nach, meist mit einer 1 am Ende. Genau davon rät auch das BSI ab.

Deshalb habe ich die Regel eingeschaltet gelassen. Das Tool zieht zunächst einen kompletten Kandidaten. Fehlt ein gewählter Typ, verwirft es den ganzen Kandidaten und beginnt neu. Abkürzungen wie das Einsetzen eines fehlenden Zeichens an eine zufällige Stelle nutzt es nicht; so bleibt jedes regelkonforme Passwort gleich wahrscheinlich.

Die Regel kostet etwas, allerdings wenig:

• 16 Zeichen, alle vier Typen: von 102,8 auf 102,6 Bit.
• 8 Zeichen, alle vier Typen: von 51,4 auf 50,4 Bit.
• Bei nur einem Typ ändert sich nichts.

NIST rät Systemen von solchen Kompositionsregeln ab. Trotzdem können Sie das Formular vor sich nicht ändern; Ihr Passwort muss durchgehen. Nimmt eine Seite gar keine Symbole an, entfernen Sie den Haken bei Symbole und verlängern Sie das Passwort um ein paar Zeichen.

Wann lohnen sich Leicht tippbar und das Ausschließen verwechselbarer Zeichen?

Nicht jedes Passwort landet per Kopieren und Einfügen im Feld. Am Smart TV, an der Spielkonsole, am Drucker oder im Gäste WLAN tippen Sie es Buchstabe für Buchstabe über eine Bildschirmtastatur. Manchmal lesen Sie es sogar am Telefon vor. Dann verwechselt man leicht l und 1, I und l oder O und 0, und ein falsches Zeichen kostet Minuten.

Leicht tippbar ist genau dafür gedacht:

• Die Voreinstellung setzt 20 Zeichen.
• Sie nutzt nur Buchstaben und Ziffern und schaltet Symbole ab.
• Sie entfernt die verwechselbaren Zeichen (l, 1, I, O, 0); übrig bleibt ein Pool aus 57 Zeichen mit 116,6 Bit.

Das Entfernen kostet wenig. Bei 16 Zeichen mit allen vier Typen schrumpft der Pool von 86 auf 81 Zeichen. Die Entropie sinkt dann von 102,6 auf 101,1 Bit, ein Verlust von etwa 1,4 Prozent.

Andererseits schadet es nicht, die Option bei Konten auszulassen, in die Sie nur einfügen. Die Schrift mit fester Zeichenbreite und die Farben im Ergebnis helfen zudem, ähnliche Zeichen zu unterscheiden. Teilen Sie ein WLAN Passwort außerdem als QR Code, verschwinden Tippfehler ganz.

Wo speichern Sie ein Passwort aus dem Passwort Generator?

Ein starkes Passwort ist in dem Moment am schwächsten, in dem es den Bildschirm verlässt. Landet es in einer E-Mail, einem Chat oder einer Notizdatei auf dem Desktop, war alle Mühe umsonst. Mein Rat zielt deshalb auf einen einzigen Ort: den Passwortmanager.

• Passwortmanager: der einzige dauerhafte Weg zu einem eigenen, langen Passwort für jedes Konto. Sie merken sich dann nur das Hauptpasswort.
• Zwei Faktor Authentifizierung: schützt das Konto auch nach einem Leck. Aktivieren Sie sie vor allem für Ihr E-Mail Postfach, denn dorthin gehen die Links zum Zurücksetzen aller anderen Konten.
• Ein Passwort pro Konto: Ein Leck auf einer Seite darf nie die anderen öffnen.

Im Unternehmen liegt das Problem oft nicht im Passwort, sondern darin, wer es hat. Wie Sie Eigentum und Zugriff für Domains, Hosting, Werbe und Social Media Konten ordnen, erkläre ich im Beitrag über digitale Assets verwalten. Bei Projekten im Webdesign empfehle ich zudem, das Adminpasswort am Übergabetag gemeinsam mit dem Kunden zu erneuern und im Passwortmanager des Kunden abzulegen. So verliert das Passwort aus der Entwicklungsphase nach dem Livegang seine Gültigkeit.

Wie legt ein Unternehmen eine Passwortrichtlinie fest?

Für eine Person reicht ein gutes Passwort; ein Unternehmen braucht eine Richtlinie. Die NIST Vorgaben liefern dafür eine brauchbare Checkliste:

• Jedes neue Passwort mit einer Sperrliste bekannter, geleakter und naheliegender Passwörter abgleichen.
• Passwortmanager, automatisches Ausfüllen und Einfügen erlauben.
• Keinen Wechsel nach festem Kalender erzwingen, aber bei Hinweisen auf eine Kompromittierung sofort.
• Einen zweiten Faktor anbieten und Fehlversuche bei der Anmeldung begrenzen.

Die DSGVO verlangt in Artikel 32 angemessene technische und organisatorische Maßnahmen; eine klare Passwortrichtlinie gehört in der Praxis dazu. Stimmen Sie die endgültige Fassung also mit IT und Datenschutz ab und prüfen Sie bei kritischen Vorgängen die aktuelle Rechtslage.

Auf der Website ist die Frage, wie Sie Passwörter speichern und übertragen, ein eigenes Thema. Das behandle ich im Leitfaden zu Datensicherheit und Verschlüsselung auf der Firmenwebsite. Betreiben Sie Formulare oder Kundenkonten, ergänzt außerdem der Beitrag zur datenschutzkonformen Website Ihre Checkliste.