So erstellen Sie ein sicheres Zufallspasswort (und merken es sich tatsächlich)

Die meisten Passwörter lassen sich nicht durch brillantes Raten knacken. Sie sind kaputt, weil sie kurz sind, wiederverwendet werden oder aus vorhersehbaren Mustern aufgebaut sind. Ein starkes Zufallskennwort beseitigt das Muster vollständig.

Wichtige Erkenntnisse

• Zufälligkeit ist wichtiger als clevere Substitutionsregeln.
• Länge ist der einfachste Weg, um Stärke zu verleihen.
• Verwenden Sie für jedes Konto ein eindeutiges Passwort.
• Speichern Sie Passwörter in einem Passwort-Manager, nicht in Ihrem Speicher oder einer Tabellenkalkulation.
• Aktivieren Sie die Zwei-Faktor-Authentifizierung, wo immer sie verfügbar ist.

Warum von Menschen gewählte Passwörter scheitern

Menschen sind gut darin, Muster zu erkennen, aber schlecht darin, unberechenbar zu sein. Häufige Auswahlmöglichkeiten umfassen Namen, Daten, Sportmannschaften, Tastaturbewegungen und dieselben wenigen Ersetzungen: a wird zu @, o wird zu 0 und am Ende erscheint ein Ausrufezeichen.

Angreifer kennen diese Gewohnheiten. Sie verwenden Wörterbücher mit durchgesickerten Passwörtern, Regeln, die diese Wörterbücher erweitern, und schnelle Hardware. Ein Passwort wie Summer2026! mag komplex erscheinen, aber es folgt einem Muster, das von Tools zum Knacken von Passwörtern erwartet wird.

Die zufällige Generierung vermeidet das Musterproblem. Anstatt eine Person zu bitten, Unvorhersehbarkeit zu erfinden, zieht ein Generator Zeichen aus einer definierten Menge unter Verwendung einer sicheren Zufallsquelle. Das Ergebnis kann schwerer zu merken sein, weshalb ein Passwort-Manager in den Workflow gehört.

Entropie: die Zahl, auf die es ankommt

Die Entropie misst die Unsicherheit in Bits. Wenn ein Passwort einheitlich aus einer Menge von Möglichkeiten ausgewählt wird, ist seine Entropie der Logarithmus zur Basis 2 der Anzahl der Möglichkeiten. Eine vierstellige PIN hat etwa 13 Bit Entropie. Ein zufälliges 16-stelliges Passwort aus 94 druckbaren Zeichen bietet weit mehr.

Entropie ist nicht dasselbe wie Länge. Ein 20-stelliges Passwort, das aus einer vorhersehbaren Phrase besteht, weist möglicherweise eine geringere tatsächliche Entropie auf als ein zufälliges 12-stelliges Passwort. Entscheidend ist, wie viele gleich wahrscheinliche Entscheidungen ein Angreifer in Betracht ziehen muss.

Für die meisten Online-Konten ist ein zufälliges Passwort mit mindestens 16 Zeichen eine sichere Standardeinstellung. Zwanzig oder mehr Zeichen sind besser, wenn der Dienst dies zulässt. Der genaue Schwellenwert hängt vom Bedrohungsmodell und den Ratenbeschränkungen des Dienstes ab, aber längere Zufallszeichenfolgen sind selten eine schlechte Idee.

Länge versus Komplexität

Passwortrichtlinien erfordern häufig Groß- und Kleinschreibung, Zahlen und Symbole. Diese Regeln können hilfreich sein, aber die Länge macht mehr Arbeit. Jedes zusätzliche Zufallszeichen vervielfacht den Suchraum. Auch das Erweitern des Zeichensatzes hilft, aber der Effekt des Hinzufügens eines Zeichens ist in der Regel größer und lässt sich leichter nachvollziehen.

Ein praktischer Ansatz besteht darin, das längste Passwort zu verwenden, das ein Dienst akzeptiert, mit einer Mischung aus Zeichentypen. Wenn eine Site die Länge auf 12 Zeichen begrenzt, verwenden Sie die volle Länge und schließen Sie alle zulässigen Zeichentypen ein. Wenn 64 Zeichen akzeptiert werden, hören Sie nicht bei 12 auf.

Gleichartige Charaktere und Benutzerfreundlichkeit

Zeichen wie 0 und O oder 1, l und I können leicht verwechselt werden, wenn ein Passwort vorgelesen oder auf einem Bildschirm eingegeben wird. Viele Generatoren bieten eine Option zum Ausschließen von Doppelgängern. Dadurch wird der Zeichensatz etwas reduziert, die manuelle Eingabe ist aber weniger fehleranfällig.

Benutzerfreundlichkeit ist Teil der Sicherheit. Ein Passwort, das so schwer einzugeben ist, dass jemand es auf einen Zettel schreibt, hilft nicht weiter. Verwenden Sie einen Passwort-Manager zum Kopieren und Einfügen und reservieren Sie manuell eingegebene Passwörter für die wenigen Stellen, an denen das automatische Ausfüllen nicht verfügbar ist.

Passphrasen für Menschen, zufällige Zeichenfolgen für Maschinen

Eine Passphrase, die aus mehreren zufällig ausgewählten Wörtern besteht, kann sowohl stark als auch einprägsam sein. Fünf bis sieben Wörter aus einer großen Wortliste können für erhebliche Entropie sorgen, insbesondere wenn die Wörter einheitlich ausgewählt werden und die Liste groß ist.

Verwenden Sie eine Passphrase für ein Master-Passwort, die Sie sich merken müssen. Verwenden Sie lange Zufallszeichenfolgen für die einzelnen Konten, die im Passwort-Manager gespeichert sind. Dies verbindet menschliches Gedächtnis mit maschinell erzeugter Einzigartigkeit.

Speicherung, Wiederverwendung und Zwei-Faktor-Authentifizierung

Ein sicheres Passwort ist nur ein Teil der Kontosicherheit:

• Verwenden Sie einen seriösen Passwort-Manager mit einem sicheren Master-Passwort.
• Generieren Sie für jedes Konto ein eindeutiges Passwort.
• Aktivieren Sie die Zwei-Faktor-Authentifizierung, vorzugsweise einen Hardwareschlüssel oder eine Authentifizierungs-App.
• Bewahren Sie Wiederherstellungscodes an einem sicheren und offline Ort auf.
• Ändern Sie sofort ein Passwort, wenn ein Dienst einen Verstoß meldet.

Durch die Wiederverwendung eines Passworts werden aus einem Verstoß mehrere. Ein Passwort-Manager macht eindeutige Passwörter praktisch, da Sie sich nur das Master-Passwort merken müssen.

So funktioniert der Passwortgenerator auf dieser Website

Der Generator verwendet crypto.getRandomValues() und läuft vollständig in Ihrem Browser. Es kombiniert die von Ihnen ausgewählten Zeichensätze, zeichnet einheitlich und schätzt die resultierende Entropie. Das Passwort wird nirgendwohin gesendet.

Dieses Design reduziert die Gefährdung: Es gibt kein serverseitiges Passwortprotokoll und keine Netzwerkanfrage, die das Geheimnis überträgt. Die verbleibenden Risiken sind lokal, beispielsweise durch Malware oder ein kompromittiertes Gerät. Halten Sie Ihr Betriebssystem und Ihren Browser auf dem neuesten Stand und vermeiden Sie die Generierung von Passwörtern auf einem Gerät, dem Sie nicht vertrauen.

Fazit

Ein sicheres Passwort ist lang, zufällig, einzigartig und wird sicher gespeichert. Komplexitätsregeln sind zweitrangig. Generieren Sie mit einer sicheren Quelle, speichern Sie das Ergebnis in einem Passwort-Manager und fügen Sie einen zweiten Faktor hinzu. Diese Gewohnheiten tragen mehr zu Ihrer Sicherheit bei als jeder einzelne clevere Charakteraustausch.