⚡ Kurz erklärt
Ein sicheres Passwort ist lang (mindestens 12, besser 16 Zeichen), zufällig und einzigartig pro Dienst. Das BSI empfiehlt entweder 8+ Zeichen aus vier Zeichenarten oder 25+ Zeichen aus zwei Zeichenarten (Passphrase). Passwörter müssen nicht regelmäßig geändert werden – nur bei Verdacht auf Diebstahl.
Was macht ein Passwort 2026 wirklich sicher?
Die meisten Konten werden nicht durch geniale Hacker geknackt, sondern durch Datenlecks und wiederverwendete Passwörter. Wer für jeden Dienst dasselbe Passwort nutzt, verliert mit einem einzigen Leck alle Konten. Die zweitgrößte Gefahr sind kurze, vorhersehbare Passwörter („Sommer2026!“), die Angreifer mit Wörterbuch-Attacken in Sekunden erraten. Ein Passwort-Generator löst beide Probleme: Er erzeugt für jeden Dienst ein einzigartiges, zufälliges Passwort.
Die Empfehlungen des BSI
Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt: mindestens 8 Zeichen mit vier Zeichenarten oder – besser – mindestens 25 Zeichen mit zwei Zeichenarten (z. B. eine Passphrase). Regelmäßige Passwortwechsel ohne Anlass werden nicht mehr empfohlen, wohl aber der sofortige Wechsel nach einem bekannt gewordenen Leck (prüfbar über „Have I Been Pwned“). Und vor allem: Zwei-Faktor-Authentifizierung (2FA) überall aktivieren, wo es geht.
Zufallspasswort oder Passphrase?
| Zufallspasswort (16 Zeichen) | Passphrase (4 Wörter) | |
|---|---|---|
| Beispiel | k7#Qp2!vX9mR$4wL | Kaktus-Regen-Spiegel-Zebra42 |
| Entropie | ca. 105 Bit | ca. 36 Bit (bei 200 Wörtern) – mit 6 Wörtern ca. 50 Bit |
| Merkbar? | nein → Passwort-Manager | ja → ideal als Master-Passwort |
| Eintippen am Handy | mühsam | einfach |
Für die Praxis: Nutzen Sie eine lange Passphrase als Master-Passwort für einen Passwort-Manager und lassen Sie den Manager für alle anderen Dienste 20+-stellige Zufallspasswörter erzeugen und speichern. Die Wortliste dieses Generators ist bewusst klein und ohne Umlaute – wählen Sie für hohe Sicherheit mindestens sechs Wörter oder ergänzen Sie eigene.
Was bedeutet Entropie?
Die Entropie in Bit misst, wie viele Möglichkeiten ein Angreifer durchprobieren müsste. Jedes zusätzliche Bit verdoppelt den Aufwand. Mit Hardware, die 10 Milliarden Passwörter pro Sekunde testet, dauert das Knacken eines 40-Bit-Passworts etwa 2 Minuten, bei 60 Bit rund 4 Jahre und bei 80 Bit über 3 Millionen Jahre. Der Generator zeigt die Entropie zu jeder Einstellung an.
Warum dieser Generator sicher ist
- Die Zufallszahlen stammen aus
crypto.getRandomValues(), dem kryptografisch sicheren Zufallsgenerator Ihres Browsers – nicht ausMath.random(). - Es wird nichts an einen Server gesendet. Sie können die Seite offline nutzen (Internet trennen, Seite neu laden funktioniert dank Cache oft weiterhin).
- Es gibt keine Historie, keine Cookies, keine Analyse der erzeugten Passwörter.
Typische Fehler vermeiden
- Passwörter niemals per E-Mail oder Messenger unverschlüsselt teilen.
- Keine persönlichen Daten (Namen, Geburtsdaten, Haustiere) verwenden – sie stehen in sozialen Netzwerken.
- Sicherheitsfragen („Geburtsname der Mutter“) mit zufälligen Antworten beantworten und im Passwort-Manager notieren.
- Passkeys nutzen, wo verfügbar – sie ersetzen Passwörter durch Kryptografie und sind phishing-resistent.
Wann, wie & warum – Passwort-Generator richtig nutzen
Wie lang muss ein Passwort 2026 sein, damit es nicht geknackt wird?
Mindestens 12 Zeichen mit Groß-/Kleinbuchstaben, Ziffern und Symbolen (rund 79 Bit Entropie); 16 Zeichen gelten als langfristig sicher (105 Bit). Ein 8-Zeichen-Passwort knacken moderne GPU-Cluster offline in Stunden, 12 Zeichen dauern Jahrhunderte. Für Passphrasen gilt: 5–6 zufällige Wörter (z. B. „Kaktus-Wolke-Tresor-Zebra-Ampel“) sind ebenso stark und leichter zu merken.
Wann sollte ich ein Passwort ändern – wirklich alle 90 Tage?
Nein. BSI (seit 2020) und NIST raten von erzwungenen regelmäßigen Wechseln ab, weil dabei schwächere, vorhersehbare Varianten entstehen (Sommer2025!, Sommer2026!). Ändern Sie ein Passwort sofort, wenn ein Dienst gehackt wurde (Prüfung bei haveibeenpwned.com), wenn Sie es auf einem fremden Gerät eingegeben haben, es an mehreren Stellen verwendet wurde oder Sie Phishing vermuten.
Wo speichere ich 50 verschiedene Passwörter sicher?
In einem Passwort-Manager – Bitwarden (Open Source, kostenlos), KeePassXC (lokal, ohne Cloud), 1Password oder dem in iPhone/Android/Browser integrierten Manager. Sie merken sich nur noch ein starkes Master-Passwort (Passphrase mit 25+ Zeichen) und aktivieren dafür Zwei-Faktor-Authentifizierung. Ein Zettel im Portemonnaie ist übrigens sicherer als dasselbe Passwort überall.
Warum ist „Passwort123!“ unsicher, obwohl es Sonderzeichen und Zahlen enthält?
Weil Angreifer keine Buchstaben raten, sondern Wörterbücher, geleakte Passwortlisten (Milliarden Einträge) und typische Muster testen: Wort + Zahl + Ausrufezeichen, Jahreszahlen, Tastaturfolgen (qwertz), Leetspeak (P@ssw0rt). Komplexitätsregeln helfen nur, wenn die Zeichen zufällig sind – genau das erzeugt der Generator mit dem kryptografischen Zufall des Browsers.
Was ist sicherer: Passwort, Passphrase, Passkey oder 2FA?
Am sichersten sind Passkeys (FIDO2): Sie sind nicht phishbar und werden von Google, Apple, Microsoft, PayPal und vielen Banken unterstützt – nutzen Sie sie, wo es geht. Danach: langes zufälliges Passwort plus Zwei-Faktor-Authentifizierung per App (TOTP) oder Hardware-Schlüssel; SMS-Codes sind besser als nichts. Passphrasen sind für Master-Passwörter ideal, weil sie tippbar und merkbar sind.