Was ein Passwort sicher macht
Ein Passwort ist nur so stark wie die Zahl der Versuche, die ein Angreifer braucht. Diese Zahl bestimmen Länge und echter Zufall, nicht clevere Ersetzungen wie ein @ statt a.
Entropie: Versuche zählen
Passwortstärke wird in Bit Entropie gemessen. Ein Passwort, das zufällig aus N Möglichkeiten gewählt wird, hat log2(N) Bit, und jedes zusätzliche Bit verdoppelt die Arbeit eines Angreifers. Ein zufälliges Passwort mit 12 Zeichen aus 94 druckbaren Zeichen hat etwa 79 Bit. Der Haken ist das Wort zufällig: Ein von Menschen gewähltes Passwort wie ein Name mit Jahreszahl und Ausrufezeichen hat viel weniger Bit, als seine Länge vermuten lässt, weil Angreifer solche Muster zuerst probieren.
Diceware und Passphrasen
1995 veröffentlichte Arnold Reinhold Diceware: Würfle mit fünf Würfeln, um ein Wort aus einer Liste von 7776 zu wählen, und wiederhole das. Jedes Wort bringt etwa 12,9 Bit, sechs Wörter also etwa 77 Bit, und sie bleiben leicht zu tippen. Die Electronic Frontier Foundation veröffentlichte 2016 verbesserte Wortlisten, und dieser Generator nutzt ihre große Liste. Berühmt wurde die Idee 2011 durch den Comic, der correct horse battery staple mit dem schwer zu merkenden, aber schwachen Tr0ub4dor&3 verglich.
Was die Richtlinien sagen
Die NIST Digital Identity Guidelines (SP 800-63B) setzen auf Länge statt Zusammensetzungsregeln: lange Passwörter und Passphrasen zulassen, neue Passwörter gegen Listen geleakter Passwörter prüfen und keine regelmäßigen Wechsel ohne Grund erzwingen. Erzwungene Komplexitätsregeln führen meist zu vorhersehbaren Mustern. Länge mit echtem Zufall und ein eigenes Passwort für jede Website zählen viel mehr.
Wie schnell Angreifer raten
Wird eine Website gehackt, raten Angreifer offline gegen die gestohlenen Hashes. Mit schnellen Hashes und modernen Grafikkarten sind das Milliarden Versuche pro Sekunde, und davon geht die hier gezeigte Knackzeit aus. Langsame Hashes wie bcrypt oder Argon2 senken diese Rate stark, aber du weißt nicht, was eine Website nutzt. Ziele auf mindestens 70 bis 80 Bit, nutze für jede Website ein eigenes Passwort, einen Passwortmanager und Zwei-Faktor-Authentifizierung.
Häufig gestellte Fragen
Wie lang sollte ein Passwort sein?
Bei einem zufälligen Passwort mit Buchstaben, Ziffern und Sonderzeichen ergeben 16 Zeichen oder mehr über 100 Bit. Bei einer Passphrase nimm mindestens 5 oder 6 zufällige Wörter. Länge ist der einfachste Weg zu mehr Stärke.
Sind Ersetzungen wie P@ssw0rd sicher?
Nein. Angreifer kennen gängige Ersetzungen und probieren sie automatisch, daher bringen sie sehr wenig. Echter Zufall macht ein Passwort stark.
Sollte ich Passwörter regelmäßig ändern?
Aktuelle Empfehlungen sagen nein, außer es gibt einen Grund wie ein Datenleck. Häufige erzwungene Wechsel führen eher zu schwächeren, vorhersehbaren Passwörtern. Nutze eindeutige Passwörter und ändere eines, wenn es geleakt sein könnte.
Verwandte Tools
Passwort-Generator
Kostenloser Passwort-Generator: starke Zufallspasswörter und Passphrasen aus crypto.getRandomValues, mit Länge, Zeichensätzen, Ausschluss verwechselbarer Zeichen, Massengenerierung, Entropie, Stärkeanzeige und Knackzeit. Nichts wird gespeichert oder gesendet.
Lorem-ipsum-Generator
Kostenloser Lorem-ipsum-Generator: Platzhaltertext als Absätze, Sätze, Wörter, Listenpunkte oder Bytes, in klassischem Latein, im Cicero-Original oder mit Themen-Wörtern, mit HTML-Ausgabe, Überschriften und reproduzierbarem Seed.
Text-Schreibweisen-Konverter
Kostenloser Text-Schreibweisen-Konverter: GROSS, klein, Titelschreibweise mit Sprachregeln, Satzschreibweise, camelCase, PascalCase, snake_case, kebab-case, CONSTANT_CASE, dot.case und URL-Slugs, dazu Aufräumen von Leerzeichen, Umbrüchen, Aufzählungszeichen und Emojis.
JSON-Formatierer
Kostenloser JSON-Formatierer und Validator: JSON verschönern oder minimieren, Zeile und Spalte eines Fehlers finden, Schlüssel sortieren, einen Baum durchsuchen, Pfade kopieren und Arrays in CSV umwandeln, alles im Browser.
Die Geschichte hinter Lorem ipsum
Woher Lorem ipsum kommt: eine Passage aus Ciceros De finibus bonorum et malorum von 45 v. Chr., verfremdet zu Blindtext und verbreitet durch Letraset-Bögen in den 1960er-Jahren und Desktop-Publishing-Software wie Aldus PageMaker.
Bereit, es auszuprobieren?
Öffnen Sie PictorX in Ihrem Browser – keine Installation, zum Starten ist keine Kreditkarte erforderlich.
Passwort-Generator öffnen