Was ein starkes Passwort ausmacht, in einfachen Zahlen

Ein starkes Passwort ist lang und zufällig, und der Zufall muss von einem Generator stammen, nicht von dir. Jedes zufällige Zeichen und jedes zufällige Wort vervielfacht die Zahl der Versuche, die ein Angreifer braucht. Deshalb bringt Länge mehr als Tricks wie das Ersetzen von Buchstaben durch Sonderzeichen. Erstelle für jedes Konto ein eigenes Passwort, speichere es in einem Passwort-Manager und verwende es nirgendwo sonst.

Passwort-GeneratorIch brauche ein starkes PasswortKostenlos loslegen

Warum clevere Tricks scheitern

Angreifer probieren selten von Hand ein Konto nach dem anderen durch. Sie laufen Listen gängiger Passwörter und Wörterbuchbegriffe durch bekannte Muster, etwa @ statt a, 0 statt o und ein Sonderzeichen am Ende. Diese Varianten werden zuerst getestet, weil viele Menschen ihre Passwörter nach denselben Mustern bilden. Ein Passwort wie P@ssw0rd! wirkt für Menschen kompliziert, steht aber auf der Liste der Angreifer ganz vorne. Die sichtbare Komplexität sagt wenig darüber aus, wie schwer es zu erraten ist.

Entropie in einfachen Worten

Entropie misst, aus wie vielen gleich wahrscheinlichen Möglichkeiten ein Passwort stammen könnte, angegeben in Bit. Jedes zusätzliche Bit verdoppelt die Zahl der nötigen Versuche. Entscheidend ist: Entropie beschreibt den Vorgang, mit dem das Passwort entstanden ist, nicht, wie es aussieht. Eine zufällige Zeichenfolge und eine einprägsame Phrase können gleich ungewöhnlich wirken und trotzdem eine sehr unterschiedliche Entropie haben. Auch eine zufällige Kennung ist kein Passwort, denn sie ist für Eindeutigkeit gebaut, nicht für Geheimhaltung. UUID v4 oder v7 erklärt den Unterschied.

Für ein Passwort aus zufälligen Zeichen gilt:

Bit = Länge × log2(Größe des Zeichensatzes)

Für eine Passphrase aus zufälligen Wörtern gilt:

Bit = Anzahl der Wörter × log2(Größe der Wortliste)

Die Tabelle zeigt Rechenbeispiele. Jede Zeile setzt voraus, dass jede Auswahl zufällig und gleich wahrscheinlich war.

So erstellt	Möglichkeiten	Bit
8 zufällige Kleinbuchstaben	26^8	37,6
12 zufällige Buchstaben und Ziffern	62^12	71,5
20 zufällige Zeichen aus 94 druckbaren Sonderzeichen	94^20	131,1
4 zufällige Wörter aus einer Liste mit 7.776 Wörtern	7.776^4	51,7
5 zufällige Wörter aus einer Liste mit 1.024 Wörtern	1.024^5	50,0
6 zufällige Wörter aus einer Liste mit 7.776 Wörtern	7.776^6	77,5

Die erste Zeile zeigt, warum kurze zufällige Zeichenfolgen schwach sind: 38 Bit lassen für ein wichtiges Konto kaum Reserve. Die dritte Zeile zeigt, was Länge bringt. Ein selbst ausgedachtes Passwort wie Sunset!2026 hat deutlich weniger echte Möglichkeiten, als seine Länge vermuten lässt, weil du es aus einer kleinen Auswahl vertrauter Muster gebildet hast.

Passphrasen, die du tippen kannst

Wenn du ein Passwort eintippen musst, etwa für die Anmeldung am Laptop oder das Master-Passwort eines Passwort-Managers, ist eine Passphrase aus zufälligen Wörtern die praktische Wahl. Sechs zufällige Wörter aus einer Liste mit 7.776 Wörtern ergeben etwa 77,5 Bit, und Wörter lassen sich viel leichter merken als eine zufällige Zeichenfolge aus Sonderzeichen. Die Wörter müssen tatsächlich zufällig sein. Vier selbst gewählte Wörter bringen viel weniger, als ihre Anzahl vermuten lässt, weil Menschen vertraute Wörter in vertrauten Paaren wählen. Deshalb werden für diesen Zweck oft Wortlisten verwendet, die auf Würfeln beruhen: Die Würfel treffen die Auswahl, nicht deine Gewohnheiten. Der Passwort-Generator erstellt eine Passphrase auf diese Weise, mit einem Trennzeichen deiner Wahl und optional einem Großbuchstaben und einer Ziffer.

Wiederverwendung ist das größere Risiko

Länge ist wichtig, aber Wiederverwendung sorgt meist dafür, dass aus einem Datenleck viele werden. Wenn eine Website gehackt wird, werden ihre E-Mail-Passwort-Kombinationen häufig auf anderen beliebten Websites ausprobiert. Das nennt man Credential Stuffing. Ein Passwort, das auf dem Papier stark ist, versagt vollständig, sobald du es auch anderswo verwendest.

Ein Passwort-Manager löst das Problem. Er erstellt für jedes Konto ein eigenes Passwort, speichert es und fügt es ein, sodass du dir nur ein starkes Master-Passwort merken musst. Browser und Betriebssysteme haben Manager eingebaut, außerdem gibt es eigenständige Apps. Welchen du auch nutzt: Aktiviere zuerst die Zwei-Faktor-Authentifizierung für dein E-Mail-Konto und dein Bankkonto, denn dein E-Mail-Konto ist der Schlüssel, mit dem du alle anderen zurücksetzen kannst.

Das NIST, die US-amerikanische Normungsbehörde, setzt auf Länge statt auf Komplexitätsregeln wie erzwungene Sonderzeichen, und es verzichtet auf erzwungene regelmäßige Wechsel, solange es keine Anzeichen für eine Kompromittierung gibt. Eine Website, die dich alle paar Monate zum Wechseln zwingt oder lange Passwörter oder das Einfügen verweigert, folgt veralteten Gewohnheiten. Das ist eine Schwäche der Website und kein Grund, ein schwächeres Passwort zu wählen.

Eine kurze Checkliste

• Lass Passwörter generieren, statt sie dir selbst auszudenken.
• Strebe für Konten, die du nicht leicht wiederherstellen kannst, mindestens 16 zufällige Zeichen oder sechs zufällige Wörter an.
• Verwende für jedes Konto ein eigenes Passwort und bewahre sie in einem Manager auf.
• Aktiviere die Zwei-Faktor-Authentifizierung überall, wo sie angeboten wird.
• Ändere ein Passwort sofort, wenn ein Dienst, den du nutzt, einen Datenverlust meldet.

Wenn das Passwort für deinen Router gedacht ist, zeigt Das WLAN per QR-Code teilen, wie du es weitergibst, ohne es laut vorzulesen.

So geht's mit fixmint

1. Öffne den Passwort-Generator und lass Zufallszeichen ausgewählt.
2. Stelle Länge auf mindestens 16 ein, bei einem wichtigen Konto auf 20 oder mehr. Der Standardwert ist 20, mit allen vier aktivierten Zeichengruppen.
3. Lies Geschätzte Stärke ab. Das Tool bewertet unter 50 Bit als schwach, 50 bis 69 als ausreichend, 70 bis 99 als stark und 100 oder mehr als sehr stark.
4. Drücke auf Neu generieren für einen neuen Satz von fünf Passwörtern und kopiere eines davon in deinen Passwort-Manager. Verwende es nirgendwo sonst.
5. Für ein Master-Passwort, das du eintippen musst, wähle Passphrase, stelle Wörter auf sechs und behalte ein Trennzeichen, das du leicht tippen kannst.

Kurze Antworten

Brauche ich Sonderzeichen für ein starkes Passwort?

Nein. Zufällige Sonderzeichen bringen etwas Entropie, Länge bringt aber mehr, und eine lange zufällige Zeichenfolge aus Buchstaben und Ziffern ist stark.

Wie viele Wörter ergeben eine starke Passphrase?

Sechs zufällige Wörter aus einer Liste mit 7.776 Wörtern ergeben etwa 77,5 Bit. Das ist für die meisten Konten ein solides Ziel.

Ist es sicher, wenn mein Browser generierte Passwörter speichert?

Für die meisten Menschen ist das eine vernünftige Wahl, sofern das Gerät eine Bildschirmsperre hat und das Browserprofil geschützt ist. Das größte Risiko ist das Gerät, nicht das Passwort.