Passwortgenerator

Zeichenauswahl in ein Zufälliges Passwort mit Hoher Entropie Umwandeln

Ein Passwortgenerator erstellt eine zufällige Zeichenkette aus einer gewählten Mischung von Buchstaben, Zahlen und Symbolen, stark genug, dass Erraten per Brute-Force nicht praktikabel ist. Wählen Sie eine Länge und welche Zeichentypen enthalten sein sollen, und dieser Rechner generiert sofort ein Passwort — mit der kryptografisch sicheren Zufallszahlenquelle Ihres Browsers, nicht der schwächeren allgemeinen Zufälligkeit, auf die sich ein gewöhnliches „Zufallszahl wählen“-Tool verlässt.

Wie beim Zufallszahlengenerator dieser Website ist das Ergebnis hier absichtlich nicht allein aus den Eingaben reproduzierbar — ein geteilter Link stellt Ihre Einstellungen wieder her (Länge und welche Zeichentypen Sie gewählt haben), nicht das Passwort selbst. Ihr generiertes Passwort wird niemals in die URL geschrieben, im Berechnungsverlauf dieser Website gespeichert oder irgendwohin gesendet; es existiert nur in Ihrem eigenen Browser, und der Generator erneut auszuführen soll Ihnen etwas Neues geben.

Die Formel

Die Stärke eines Passworts wird in Bits an Entropie gemessen — wie viele Ja/Nein-Vermutungen ein Angreifer im Durchschnitt benötigen würde, um es per Brute-Force zu finden:

$$\text{Entropie (Bits)} = \vA{\text{Länge}} \times \log_2(\vB{\text{Zeichensatzgröße}})$$

Die Zeichensatzgröße ist die Gesamtzahl aller ausgewählten Zeichentypen — 26 für Großbuchstaben, 26 für Kleinbuchstaben, 10 für Zahlen und etwa 25 gängige Symbole — zusammengezählt. Sowohl ein längeres Passwort als auch eine breitere Mischung von Zeichentypen erhöhen die Entropie, aber die Länge zählt mehr: Eine Verdopplung der Zeichensatzgröße fügt nur 1 Bit pro Zeichen hinzu, während eine Verdopplung der Länge die Bits direkt verdoppelt.

Beispielrechnung

Ein 12-stelliges Passwort mit allen vier Zeichentypen (Großbuchstaben, Kleinbuchstaben, Zahlen und Symbole):

1. Zeichensatzgröße: $26 + 26 + 10 + 25 = \vB{87}$ mögliche Zeichen pro Position.
2. Entropie: $\vA{12} \times \log_2(\vB{87}) \approx 77,3 \text{ Bits}$.
3. Das fällt in die Kategorie „Stark“ dieses Rechners (60–79 Bits) — ein komfortabler Spielraum gegen einen Offline-Brute-Force-Versuch mit aktueller Hardware, wenn auch nicht ganz die Kategorie „Sehr Stark“, die ein längeres Passwort erreichen würde.

Die gleichen vier Zeichentypen auf 16 Zeichen auszuweiten, erhöht die Entropie stattdessen auf etwa 103 Bits — solide im Bereich „Sehr Stark“, da die zusätzlichen 4 Zeichen die Anzahl möglicher Passwörter weit stärker vervielfachen, als ein weiterer Zeichentyp es würde.

Wichtige Einflussfaktoren

• Ein einzigartiges Passwort für jedes Konto ist genauso wichtig wie ein starkes. Die Wiederverwendung selbst eines sehr starken Passworts über mehrere Websites hinweg bedeutet, dass ein einzelnes Datenleck anderswo jedes Konto offenlegen kann, das dasselbe Passwort verwendet — ein Passwort-Manager macht das Generieren und Speichern eines einzigartigen starken Passworts pro Konto praktikabel, ohne jedes einzelne auswendig lernen zu müssen.
• Länge ist der mit Abstand größte Hebel für Passwortstärke, mehr als Zeichenvielfalt. Da die Entropie linear mit der Zeichensatzgröße, aber exponentiell mit der Länge wächst, kann ein längeres Passwort mit weniger Zeichentypen trotzdem stärker sein als ein kürzeres Passwort mit jedem Typ — die Bevorzugung von Länge, wenn die Regeln einer Website dies zulassen, ist im Allgemeinen der bessere Kompromiss.
• Die Entropie-Schätzung dieses Rechners misst die Widerstandsfähigkeit gegen Brute-Force-Raten, nicht jeden realen Angriff. Phishing, Credential Stuffing (Wiederverwendung eines aus einem anderen Leck durchgesickerten Passworts) und Malware, die Tastatureingaben direkt abgreift, umgehen alle die Passwortstärke vollständig — ein starkes, einzigartiges Passwort ist eine wichtige Sicherheitsebene für ein Konto, keine vollständige Verteidigung für sich allein.
• Die Aktivierung der Zwei-Faktor-Authentifizierung (2FA), wo immer sie angeboten wird, fügt eine bedeutsame Ebene über die reine Passwortstärke hinaus hinzu. Selbst ein sehr starkes Passwort kann durch ein Datenleck oder einen Phishing-Versuch trotzdem offengelegt werden — 2FA (ein Code aus einer App, ein Hardware-Schlüssel usw.) bedeutet, dass ein durchgesickertes Passwort allein üblicherweise nicht ausreicht, um auf ein Konto zuzugreifen.

Häufige Fehler

• Ein Passwort verkürzen, um es sich leichter zu merken, statt einen Passwort-Manager zu verwenden. Länge ist der größte Hebel für Entropie (siehe Beispielrechnung oben) — Länge gegen Merkbarkeit einzutauschen gibt echte Sicherheit für eine Bequemlichkeit auf, die ein Passwort-Manager bereits ohne diesen Kompromiss löst.
• Annehmen, dass die Mindestlängenanforderung einer Website ein gutes Ziel ist, nicht nur ein Minimum. Eine Website, die „mindestens 8 Zeichen” verlangt, gibt ein für ihre eigenen Systeme akzeptables Minimum an, keine Empfehlung — deutlich über dieses Minimum hinaus zu generieren kostet nichts und erhöht die Entropie spürbar.
• Ein starkes generiertes Passwort über mehrere Konten hinweg wiederverwenden. Ein einzelnes starkes Passwort, das überall verwendet wird, ist nur so sicher wie die am wenigsten sichere Website, die es speichert — ein einziges Datenleck irgendwo legt jedes Konto offen, das dieses Passwort teilt, egal wie hoch seine Entropie ist.
• Symbole oder Zahlen weglassen, nur um ein Passwort auf dem Handy leichter eingeben zu können. Das Entfernen eines ganzen Zeichentyps verkleinert den Zeichensatz (und damit die Entropie pro Zeichen) mehr, als die meisten erwarten — wenn Eingabekomfort wichtig ist, gleicht das Hinzufügen einiger weniger Zeichen an Länge diesen Verlust effizienter aus, als einen Zeichentyp wegzulassen.

Gut zu Wissen

• Möchten Sie vor dem Generieren genau sehen, wie sich Entropie und Knackzeit mit Länge und Zeichentypen skalieren? Passwortstärke-Rechner bewertet die Stärke eines beliebigen Passworts, ohne eines zu generieren.
• Benötigen Sie Zufälligkeit für etwas anderes als ein Passwort? Zufallszahlengenerator generiert Zufallszahlen in einem gewählten Bereich — nützlich für alles von Verlosungen bis zu Stichproben, auch wenn es nicht kryptografisch sicher ist wie dieser Generator.
• Richten Sie ein Heimnetzwerk zusammen mit besserer Kontosicherheit ein? IP-Subnetz-Rechner berechnet Subnetzbereiche und nutzbare Hostadressen.