Passwort-Generator

Wie lange hält so ein Passwort?

Die einzige Zahl, die bei Passwörtern wirklich zählt, ist der Suchraum: Zeichenvorrat hoch Länge. Das klingt trocken, macht aber den ganzen Unterschied — und erklärt, warum die üblichen Ratschläge oft am Ziel vorbeigehen.

Als Faustregel gilt: Unter 60 Bit ist ein Passwort gegen einen entschlossenen Angreifer mit heutiger Hardware nicht mehr sicher, ab etwa 80 Bit wird Durchprobieren wirtschaftlich sinnlos, und ab 100 Bit spielt es keine Rolle mehr, wie viel Rechenleistung jemand mitbringt.

Der Vergleich der beiden Spalten ist der eigentliche Punkt: 20 Zeichen aus reinen Kleinbuchstaben schlagen 12 Zeichen mit allen Sonderzeichen. Länge wirkt exponentiell, zusätzliche Zeichenarten nur linear. Wer die Wahl hat, verlängert.

Die Stärkeanzeige richtig lesen

Der Balken über den Einstellungen bewertet Länge mal Anzahl der Zeichenarten. Das ist bewusst grob — er misst, wie groß der Suchraum ist, und nicht, ob das Passwort schon einmal geleakt wurde. Ein Passwort kann nach dieser Rechnung „sehr stark" sein und trotzdem wertlos, wenn du es auf drei Seiten wiederverwendest.

Deshalb ist die zweitwichtigste Regel nach der Länge: jedes Konto bekommt ein eigenes Passwort. Der häufigste erfolgreiche Angriff auf Privatkonten ist kein Knacken, sondern Credential Stuffing — geleakte Zugangsdaten aus einem Datenleck werden automatisiert bei hundert anderen Diensten durchprobiert. Gegen diesen Angriff hilft Länge überhaupt nicht, nur Einzigartigkeit.

Wo dieses Tool hingehört — und wo nicht

Ein Generator ist kein Passwortmanager. Er löst das kleinere Problem: ein einzelnes gutes Passwort erzeugen. Das größere Problem — für jedes Konto ein anderes haben und es wiederfinden — löst nur ein Manager.

Nimm diesen Generator, wenn du ein Passwort außerhalb des Managers brauchst: ein WLAN-Schlüssel, den jemand am Telefon vorgelesen bekommt, eine Geräte-PIN, ein einmaliges Passwort für ein Konto, das du gleich wieder löschst, oder ein Startpasswort, das der Nutzer beim ersten Login ohnehin ändert.

Nimm einen Passwortmanager, wenn es um Konten geht, die du regelmäßig nutzt. Fast alle haben einen Generator eingebaut, und dann entfällt der Umweg über eine Website vollständig.

Was viele falsch machen

• Muster statt Zufall. Sommer2026! erfüllt jede Formularregel und steht trotzdem in jeder Angriffsliste. Passwortknacker probieren nicht stumpf alle Kombinationen durch, sondern zuerst die menschlichen Muster: Wort plus Jahreszahl plus Ausrufezeichen, Buchstaben durch Ziffern ersetzt, Tastaturreihen.
• Das gute Passwort per Chat schicken. Ein 20-stelliges Zufallspasswort in einem Messenger-Verlauf ist so sicher wie der Verlauf. Wenn du es weitergeben musst, dann über einen Kanal, der es wieder vergisst — und ändere es danach.
• Sicherheitsfragen ernst nehmen. „Mädchenname der Mutter" ist ein zweites, schwächeres Passwort, das oft öffentlich recherchierbar ist. Trag dort ebenfalls Zufallszeichen ein und leg sie zum Passwort.
• Zwei-Faktor weglassen, weil das Passwort ja stark ist. Ein zweiter Faktor schützt genau in dem Fall, in dem das Passwort trotzdem abhandenkommt — Phishing, Datenleck, Schadsoftware. Das sind die Fälle, die tatsächlich passieren.

Passt dazu

Wenn du dir das Passwort merken musst, ist eine Passphrase aus zufälligen Wörtern die bessere Wahl — gleich stark, aber sprechbar. Und wenn du prüfen willst, wie viele Zeichen ein Passwortfeld überhaupt akzeptiert, zählt der Zeichenzähler sie dir aus. Den vollständigen deutschen Werkzeugkasten findest du unter alle Tools.

Hinweise zum BSI beziehen sich auf den IT-Grundschutz, Baustein ORP.4 (Identitäts- und Berechtigungsmanagement), Stand 2026. Keine Sicherheitsberatung — für Unternehmensrichtlinien gelten eure internen Vorgaben.