Die meisten Kontoübernahmen entstehen nicht dadurch, dass jemand ein starkes Passwort „knackt” — sondern durch wiederverwendete, kurze oder geleakte Passwörter. Hier, was ein Passwort wirklich stark macht, und ein realistischer Weg, sie zu verwalten.
Das Passwort ist zufällig, die Stärke ist nachrechenbare Arithmetik. Unser Passwort-Generator nutzt standardmäßig Länge 16 mit Groß-, Kleinbuchstaben und Ziffern — ein Pool von 62 Zeichen. Entropie = Länge × log₂(Pool), also 16 × log₂(62) ≈ 95 Bit, vom Werkzeug als „Strong” bezeichnet. Die Schwellen stehen fest im Code: unter 45 Bit schwach, unter 75 mittel, darüber stark. Zwei Folgerungen: Symbole heben den Pool auf 87 und bringen nur etwa 8 Bit mehr, vier Zeichen mehr Länge bringen rund 24.
Länge schlägt Komplexität
Die Stärke eines zufälligen Passworts kommt aus seiner Entropie — grob: wie viele Möglichkeiten ein Angreifer durchprobieren muss. Entropie wächst mit der Länge weit schneller als mit ausgefallenen Zeichenregeln. Ein 20-Zeichen-Passwort ist dramatisch schwerer per Brute Force zu knacken als ein 8-Zeichen-Passwort, selbst wenn das kürzere !@#$ enthält.
Erzwungene Komplexitätsregeln („muss Großbuchstaben und Symbol enthalten”) gehen oft nach hinten los: Sie drängen zu vorhersehbaren Mustern wie Password1!. Bevorzuge lang und zufällig statt kurz und trickreich. Ein Passwort-Generator liefert sofort lange, hochentropische Zeichenfolgen.
Unser eigener Generator macht die Arithmetik sichtbar. In den Standardeinstellungen — Länge 16, Groß- plus Kleinbuchstaben plus Ziffern, ein Pool von 62 Zeichen — ist die Entropie Länge × log₂(Pool), also 16 × log₂(62) ≈ 95 Bit, bezeichnet als „Strong”. Vergleiche nun die zwei Verbesserungswege: Symbole zu aktivieren hebt den Pool auf 87 und bringt etwa 8 Bit, vier Zeichen mehr Länge bringen rund 24. Länge gewinnt — und die Zahlen sagen, um wie viel.
Diese Behauptung ist Arithmetik, und unser Passwort-Generator zeigt seine Rechnung. Bei den Seitenvorgaben — Länge 16, nur Buchstaben und Ziffern — ist der Zeichenpool 62 und die Stärkeanzeige Strong, denn 16 × log2(62) sind etwa 95 Bit. Schaltet man den Zeichensatz für Symbole zu, wird der Pool 87: Unsere Symbolliste hat 25 verschiedene Zeichen, also 26 + 26 + 10 + 25. Symbole zu einem 16-Zeichen-Passwort hinzuzufügen bringt etwa fünf Bit; vier Zeichen mehr bringen etwa zwanzig. Das ist das ganze Argument für Länge in einem Vergleich.
Passphrasen: stark und einprägsam
Für die wenigen Passwörter, die du wirklich aus dem Gedächtnis tippen musst (Geräte-Login, Master-Passwort des Passwort-Managers), ist eine Passphrase aus vier oder mehr zufälligen Wörtern zugleich stark und einprägsam — weit besser als eine kurze „komplexe” Zeichenfolge. Das Schlüsselwort ist zufällig: wähle Wörter, die du nicht nach Bedeutung ausgesucht hast.
Die zwei wichtigsten Regeln
- Passwörter nie wiederverwenden. Wird eine Seite geleakt, probieren Angreifer dieses E-Mail/Passwort-Paar überall (Credential Stuffing). Ein eigenes Passwort pro Seite begrenzt den Schaden.
- Nutze einen Passwort-Manager. Du kannst dir keine 100 eigenen 20-Zeichen-Passwörter merken — und solltest es nicht versuchen. Ein Manager erzeugt, speichert und füllt sie aus. Du merkst dir nur eine starke Master-Passphrase.
Zwei-Faktor-Authentifizierung (2FA) ergänzen
Selbst ein perfektes Passwort kann gephisht oder geleakt werden. 2FA fügt einen zweiten Schritt hinzu — einen Code aus einer Authenticator-App oder einen Hardware-Schlüssel — sodass ein gestohlenes Passwort allein nicht reicht. Aktiviere es für E-Mail, Banking und alles Wichtige. App- oder Hardware-2FA ist stärker als SMS.
Kurze Checkliste
- Lang (16+ Zeichen) und zufällig für Site-Logins → einen Generator nutzen.
- Eine einprägsame zufällige Passphrase als Master-Passwort.
- Einzigartig pro Seite, gespeichert in einem Passwort-Manager.
- 2FA bei wichtigen Konten.
- Passwörter nie in Klartext-Notizen, Tabellen oder Chats speichern.
Erzeuge jetzt ein starkes, zufälliges Passwort mit dem kostenlosen Passwort-Generator — er nutzt den kryptografischen Zufall deines Browsers und lädt oder speichert nichts.
Eine Checkliste nützt nur, wenn man sie prüfen kann — hier also die eine prüfbare Zahl. Unser Passwort-Generator meldet Strong bei Länge 16 mit einem Pool von 62 und etwa 95 Bit. Schaltet man jede Zeichenklasse ein, erreicht der Pool 87 (26 + 26 + 10 + 25 Symbole). Nennt ein Generator seine Poolgröße nicht, lässt sich seine Stärkeaussage nicht prüfen — und „Strong” ohne Pool dahinter ist eine Farbe, keine Messung.
Entropie auf einen Blick
Entropie wird in Bit gemessen — jedes zusätzliche Bit verdoppelt die Zahl der nötigen Rateversuche. Die Werte setzen voraus, dass jedes Zeichen bzw. Wort gleichverteilt zufällig gewählt wird; ein von Menschen erdachtes „cleveres” Passwort hat deutlich weniger.
| Passwort | Zusammensetzung | Ungefähre Entropie |
|---|---|---|
| 8 Zeichen | Groß + Klein + Ziffern | ~48 Bit |
| 12 Zeichen | + Symbole (95er-Zeichensatz) | ~79 Bit |
| 16 Zeichen | + Symbole (95er-Zeichensatz) | ~105 Bit |
| 4 zufällige Wörter | aus einer Liste mit 7.776 Wörtern | ~52 Bit |
| 6 zufällige Wörter | aus einer Liste mit 7.776 Wörtern | ~78 Bit |
Unter ~50 Bit ist schwach; ab 75 Bit widersteht ein korrekt gehashtes Passwort dem Offline-Knacken bequem. Eine Sechs-Wort-Passphrase (~78 Bit) kommt einem 12-Zeichen-Symbolbrei gleich und lässt sich viel leichter tippen.
Auch die Schwellen sind keine Meinung, sie stehen fest im Werkzeug: unter 45 Bit schwach, unter 75 mittel, darüber stark. Deshalb landet die Standardlänge von 16 Zeichen bei 95 Bit und liest „Strong” — ganz ohne Symbole.
Ein Vorbehalt zu diesen 95 Bit, denn es ist die Zahl, die am häufigsten falsch zitiert wird: Es ist die Entropie des Generators, nicht die des Passworts. Sie setzt voraus, dass jedes Zeichen unabhängig und gleichverteilt gezogen wurde — für unsere Ausgabe wahr, für alles selbst Erdachte falsch. Ein von Menschen gewähltes 16-Zeichen-Passwort aus zwei Wörterbuchwörtern und einer Jahreszahl hat vielleicht 30 Bit, nicht 95 — die Länge ist identisch, die Entropie nicht. Deshalb ist „wie lang ist es” erst dann eine nützliche Frage, wenn die Antwort auf „wer hat es gewählt” ein Zufallszahlengenerator ist.
Verbreitete Irrtümer
- „Alle 90 Tage wechseln.” Aktuelle Empfehlungen (NIST SP 800-63B) raten von regelmäßigem Ablauf ab — er erzeugt nur
Fruehling2026!→Sommer2026!. Wechsle ein Passwort nur bei Verdacht auf Kompromittierung. - „
P@ssw0rdist stark wegen der Symbole.” Knack-Tools probieren genau diese Buchstaben-zu-Symbol-Ersetzungen zuerst; ein Wörterbuchwort mit naheliegenden Tauschen bringt fast nichts. - „Ein Manager ist ein großer Single Point of Failure.” Sein Tresor ist mit deiner Master-Passphrase verschlüsselt, und er beseitigt das weit größere Risiko: die Wiederverwendung.
Damit ist auch das häufigste Missverständnis erledigt. a durch @ zu ersetzen fügt keine Entropie hinzu, weil es den Pool nicht ändert: Das Wörterbuch des Angreifers enthält beide Schreibweisen längst. Was die Arithmetik ändert, sind Pool und Länge — 62 hoch 16 bei unseren Vorgaben, oder 95 Bit in der lesbaren Schreibweise. Vier zusätzliche Zufallszeichen schlagen jede clevere Ersetzung, die dir einfällt — und das kannst du durch Multiplizieren prüfen.
Wie dein Passwort gespeichert sein sollte
Du kannst es nicht steuern, aber ein guter Dienst speichert dein Passwort nie im Klartext — nur einen gesalzenen Hash aus einem langsamen Verfahren wie bcrypt, scrypt oder Argon2, niemals einfaches MD5. Kann dir eine Seite dein Originalpasswort per E-Mail schicken, ist das ein Warnsignal; warum schnelle Hashes hier versagen, zeigt Ist MD5 sicher?.
Mini-FAQ
Ist SMS-2FA sinnlos? Nein — viel besser als nichts, aber eine Authenticator-App oder ein Hardware-Schlüssel verhindert SIM-Swapping und ist daher vorzuziehen.
Was, wenn eine Seite die Länge begrenzt oder Symbole verbietet? Nutze die maximal erlaubte Länge und halte es einzigartig — ein Passwort-Generator trifft jede Vorgabe und bleibt zufällig.