Passwortgenerator
Sichere, zufällige Passwörter mit individuellen Regeln erzeugen.
Geschätzte Stärke
–
crypto.getRandomValues) und
niemals an einen Server übertragen.
Wie wird ein sicheres Passwort erzeugt?
Der Generator nutzt den kryptografischen Zufallsgenerator deines Browsers (crypto.getRandomValues), um Zeichen aus dem gewählten Zeichensatz (Groß-/Kleinbuchstaben, Zahlen, Sonderzeichen) zufällig auszuwählen.
So funktioniert es
Aus deinen Häkchen setzt das Tool zuerst einen gemeinsamen Zeichenvorrat zusammen: 26 Großbuchstaben, 26 Kleinbuchstaben, 10 Ziffern und 25 Sonderzeichen (!@#$%^&*()-_=+[], geschweifte Klammern sowie ;:,.<>?). Mit allen vier Zeichenarten sind das 87 Zeichen. Aktivierst du „Mehrdeutige Zeichen ausschließen“, fallen l, 1, I, O und 0 weg und es bleiben 82.
Danach zieht der Generator jede Stelle gleichverteilt aus dem gesamten Vorrat. Dafür fordert er 32-Bit-Zufallszahlen aus crypto.getRandomValues an und verwirft die wenigen Werte, die bei der Rest-Division einzelne Zeichen bevorzugen würden. Fehlt im Ergebnis eine der gewählten Zeichenarten, wird das ganze Passwort verworfen und neu gezogen. So enthält jedes Passwort mindestens ein Zeichen jeder gewählten Art, und alle gültigen Passwörter sind gleich wahrscheinlich.
Die Stärke-Anzeige zählt genau diese gültigen Kombinationen und gibt die Entropie als Zweierlogarithmus davon an. Das ist etwas weniger als die einfache Formel Länge × log2(Zeichenvorrat), weil Kombinationen ohne eine gewählte Zeichenart wegfallen. Der Unterschied liegt bei 16 Zeichen unter einem halben Bit. Eingestuft wird nach dem angezeigten, gerundeten Wert: ab 100 Bit „Sehr stark“, ab 70 Bit „Stark“, ab 45 Bit „Mittel“, darunter „Schwach“.
Beispiel
Ein 16-stelliges Passwort mit allen vier Zeichenarten ergibt rund 103 Bit Entropie (genau 102,8 Bit; die einfache Formel 16 × log2(87) ergäbe 103,1) – das Tool zeigt „Sehr stark“, und ein solches Passwort ist praktisch nicht zu erraten.
Zweites Beispiel
Für ein WLAN-Gastpasswort, das du am Router-Zettel notierst, reicht oft eine kürzere Variante ohne Sonderzeichen: 12 Zeichen aus Groß-/Kleinbuchstaben und Zahlen (62 Zeichen) liegen bei rund 71 Bit Entropie („Stark“) und lassen sich leichter abtippen als ein Passwort mit Symbolen.
Schritt für Schritt
- Stelle mit dem Schieberegler die gewünschte Länge zwischen 4 und 64 Zeichen ein.
- Wähle die Zeichenarten, die der Zieldienst erlaubt. Mindestens eine muss aktiv sein.
- Setze bei Bedarf das Häkchen für mehrdeutige Zeichen, wenn du das Passwort abtippen oder diktieren musst.
- Jede Änderung erzeugt sofort ein neues Passwort; mit „Neues Passwort erzeugen“ würfelst du erneut.
- Prüfe die Stärke-Anzeige, kopiere das Passwort und speichere es direkt im Passwort-Manager.
Entropie nach Länge und Zeichenvorrat
| Zeichenvorrat | 8 Zeichen | 12 Zeichen | 16 Zeichen | 20 Zeichen |
|---|---|---|---|---|
| Nur Ziffern (10) | 27 Bit | 40 Bit | 53 Bit | 66 Bit |
| Kleinbuchstaben (26) | 38 Bit | 56 Bit | 75 Bit | 94 Bit |
| Groß- und Kleinbuchstaben (52) | 46 Bit | 68 Bit | 91 Bit | 114 Bit |
| Buchstaben und Ziffern (62) | 47 Bit | 71 Bit | 95 Bit | 119 Bit |
| Alle vier Arten (87) | 52 Bit | 77 Bit | 103 Bit | 129 Bit |
| Alle vier Arten ohne mehrdeutige (82) | 50 Bit | 76 Bit | 101 Bit | 127 Bit |
Die Werte entsprechen der Anzeige des Tools, also inklusive der garantierten Mindestbelegung jeder Zeichenart. Die Tabelle zeigt: Jedes zusätzliche Zeichen bringt mehr als ein größerer Zeichenvorrat. 20 Kleinbuchstaben sind stärker als 12 Zeichen aus allen vier Arten.
Wann brauchst du einen Passwort-Generator?
Beim Anlegen eines neuen Online-Kontos, wenn dir kein sinnvolles eigenes Passwort einfällt. Nach einem bekannt gewordenen Datenleck, wenn du betroffene Zugänge schnell durch neue, unabhängige Passwörter ersetzen willst. Für WLAN- oder Geräte-Passwörter, die selten eingegeben, aber lange gültig sein sollen. Oder als Startpunkt für einen Passwort-Manager, der sich ohnehin jedes generierte Passwort merkt.
Häufige Fehler und Grenzen
- Mindestens ein Zeichen pro Art – mehr nicht: Jede gewählte Zeichenart kommt garantiert vor. Verlangt ein Dienst aber zum Beispiel zwei Ziffern oder verbietet er Wiederholungen, musst du das Ergebnis selbst prüfen.
- Abgelehnte Sonderzeichen: Manche Dienste akzeptieren nicht alle Symbole. Lass Sonderzeichen dann weg und gleiche das mit ein paar Zeichen mehr Länge aus.
- Mehrdeutige Zeichen: Der Filter entfernt nur
l,1,I,Ound0. Zeichen wieooder Satzzeichen bleiben erhalten. - Stärke gilt nur für Zufallspasswörter: Die Anzeige bewertet das Erzeugungsverfahren. Veränderst du das Passwort von Hand, etwa durch ein angehängtes Wort, stimmt der Wert nicht mehr.
- Wiederverwendung: Ein einzelnes, noch so starkes Passwort schützt nicht vor Wiederverwendung: Wird es bei einem Anbieter durch ein Datenleck offengelegt, ist es bei jedem anderen Dienst mit demselben Passwort ebenfalls kompromittiert. Nutze für jeden Dienst ein eigenes Passwort.
- Datenschutz: Die Erzeugung läuft vollständig im Browser; das Skript sendet nichts an einen Server. Nach dem Kopieren liegt das Passwort aber in deiner Zwischenablage – auf fremden oder geteilten Geräten solltest du sie anschließend überschreiben.
Passende Tools
Ein bestehendes Passwort bewertest du mit Passwortstärke prüfen. Für Zugangsschlüssel in Software eignet sich der API-Key-Generator, und Prüfsummen erzeugst du mit dem Hash-Generator.
Häufige Fragen
Wie sicher sind die generierten Passwörter?
Sehr sicher: Sie werden mit einem kryptografisch sicheren Zufallsgenerator erzeugt, nicht mit einem vorhersagbaren Pseudozufallsverfahren.
Was bedeutet die Stärke-Anzeige (Bit Entropie)?
Die Entropie beschreibt, wie viele Kombinationen ein Angreifer durchprobieren müsste. Mehr Bit bedeuten exponentiell mehr mögliche Passwörter und damit höhere Sicherheit.
Werden meine Passwörter gespeichert oder übertragen?
Nein. Die Erzeugung erfolgt vollständig lokal in deinem Browser, es wird nichts an einen Server gesendet oder gespeichert.
Warum sollte ich mehrdeutige Zeichen ausschließen?
Zeichen wie l, 1, I, O und 0 sehen sich in manchen Schriftarten sehr ähnlich. Wenn du ein Passwort von Hand abtippst, etwa von einem ausgedruckten Zettel, verringert der Ausschluss Tippfehler.
Wie lang sollte ein Passwort mindestens sein?
Für die meisten Online-Konten gelten 12 bis 16 Zeichen mit gemischten Zeichenarten als guter Kompromiss aus Sicherheit und Handhabbarkeit; für besonders schützenswerte Zugänge sind auch 20 Zeichen und mehr sinnvoll.
Enthält jedes Passwort garantiert alle gewählten Zeichenarten?
Ja. Fehlt in einem gezogenen Passwort eine der gewählten Zeichenarten, verwirft der Generator es und zieht neu. Deshalb steckt in jedem Ergebnis mindestens ein Zeichen jeder gewählten Art, auch bei nur vier Stellen. Die Entropie sinkt dadurch nur minimal, und die Anzeige berücksichtigt das bereits.
Wie viel Sicherheit kostet der Ausschluss mehrdeutiger Zeichen?
Sehr wenig. Mit allen Zeichenarten schrumpft der Vorrat von 87 auf 82 Zeichen, bei 16 Stellen sinkt die Entropie dadurch nur von etwa 103 auf 101 Bit. Ein einziges zusätzliches Zeichen gleicht das mehr als aus.
Ist ein längeres Passwort oder mehr Sonderzeichen wichtiger?
Die Länge wirkt stärker. Jede zusätzliche Stelle multipliziert die Zahl der Möglichkeiten mit der Größe des Zeichenvorrats, während Sonderzeichen den Vorrat nur von 62 auf 87 Zeichen vergrößern. 20 Kleinbuchstaben kommen deshalb auf rund 94 Bit, 12 Zeichen aus allen vier Arten nur auf etwa 77 Bit.