Passwort-Generator

0
Passwortlänge
16chars
64
Enthaltene Zeichensätze
Stapelgenerierung

Kostenloser Online-Passwort-Generator mit CSPRNG von Web Crypto für starke Zufallspasswörter, Passphrasen und PINs. Stärkeerkennung, mehrdeutige Zeichen ausschließen, Stapel-Export. Browser-lokal generiert.

Ähnliche Tools

PBKDF2-Schlüsselableitung

MD5 Hash

SHA-256-Hash

Passwortstärke-Prüfer

AES verschlüsseln und entschlüsseln

Was ist ein sicherer Passwort-Generator?

Ein Passwort-Generator erstellt zufällige, unvorhersehbare Passwörter. Im Gegensatz zu von Menschen gewählten Passwörtern verwendet ein echter Generator einen Kryptografisch Sicheren Pseudo-Zufallszahlengenerator (CSPRNG), um Zeichen zufällig aus einem bestimmten Pool auszuwählen, wobei vorhersehbare menschliche Muster vermieden werden (Name+Geburtstag, Tastatursequenzen wie qwerty, Firma+Jahr), was das Risiko von Wörterbuchangriffen und Credential Stuffing drastisch reduziert.

**Warum nicht Math.random()?** Allgemeine PRNGs haben einen internen Zustand, der aus kleinen Ausgaben rückwärtsentwickelt werden kann, sodass Angreifer zukünftige «zufällige» Zahlen vorhersagen können. Dieses Tool verwendet die Web Crypto API des Browsers — gestützt durch betriebssystemeigene CSPRNGs (Linux getrandom, macOS SecRandomCopyBytes, Windows BCryptGenRandom), die kryptografische Zufälligkeitstests bestehen.

**Entropie ist der Kern der Passwortstärke**: Entropie = log₂(N^L) Bit, wobei N = Zeichengummegröße und L = Länge ist. Ein 16-stelliges Passwort aus 94 druckbaren ASCII-Zeichen hat ~104 Bit — durchschnittlich 2¹⁰³ Versuche zum Knacken, oder etwa 200 Milliarden Jahre bei 1 Billion Versuchen/Sek.

**Passphrasen** aus mehreren zufällig gewählten Wörtern (wie Brave-Cloud-Star42) sehen «einfacher» aus, erreichen aber über 60 Bit, wenn die Wörter wirklich zufällig sind — genug für die meisten Szenarien und viel einfacher zu merken als Zufallszeichen-Passwörter. Das ist der Diceware / XKCD #936 Ansatz.

Alle Passwörter werden lokal in Ihrem Browser generiert, null Upload. Das Tool bietet außerdem Stärkeerkennung: Entropieberechnung, Brute-Force-Zeitschätzung und Erkennung schwacher Muster (wiederholte Zeichen, sequentielle Ziffern/Buchstaben, Abgleich mit gängigen Passwörtern).

Anwendungsfälle

  • Generieren Sie starke Zufallspasswörter für neue Konten, prüfen Sie Entropie und Crack-Zeit
  • Generieren Sie stapelweise temporäre Anmeldedaten für Teams oder Testumgebungen
  • Generieren Sie einprägsame Passphrasen für Wi-Fi- oder Gerätepasswörter
  • Richten Sie Geräte-PINs ein, initialisieren Sie Admin-Konten oder setzen Sie Passwörter zurück
  • Ersetzen Sie schwache, von Menschen erstellte Passwörter durch starke zufällige

Anleitung

  1. Modus wählen: Zufällig, Passphrase oder PIN
  2. Länge und Zeichenoptionen einstellen (16+ empfohlen), optional mehrdeutige Zeichen ausschließen
  3. Stärke prüfen: Entropie, Crack-Zeit-Schätzung, Erkennung schwacher Passwörter
  4. Kopieren oder stapelweise als TXT exportieren für Registrierung/Zurücksetzen/Verteilung

Funktionen

  • CSPRNG-Generierung: Verwendet Web Crypto des Browsers (crypto.getRandomValues) für kryptografisch sichere Zufälligkeit
  • Drei Modi: Zufälliges Passwort, Einprägsame Passphrase (Wortkombination), Numerische PIN
  • Vollständiger Stärkemesser: Zeichengummegröße, Entropie, Erkennung schwacher Passwörter, Risiko sequentieller/wiederholter Zeichen, Brute-Force-Zeitschätzung
  • Mehrdeutige ausschließen: Optional 0/O/1/l/I überspringen für manuelle Eingabeszenarien
  • Stapelgenerierung: Generieren Sie 5/10/20 Passwörter auf einmal mit TXT-Download
  • Nur lokal: Alle Generierung und Analyse erfolgt im Browser, keine Daten werden hochgeladen

Zufälliges Passwort vs Einprägsame Passphrase vs Numerische PIN: Welches wählen?

Jeder der drei Passwort-Modi hat Vor- und Nachteile. Die falsche Wahl führt entweder dazu, dass Sie es sich nicht merken können, es leicht gestohlen wird oder es schlicht nicht zum Szenario passt. Entscheiden Sie nach (wer merkt es sich, wer gibt es ein, wer speichert es), um typische Fehler zu vermeiden.

ModusTypische Frage zur WahlSicherheitsstärkeBenutzerfreundlichkeitTypischer Benutzer
Zufälliges Passwort(Ich tippe es nie manuell, mein Passwort-Manager füllt es automatisch aus)Hoch (16 Zeichen erreichen ~104 Bit)Schlecht (nicht merkfähig, Manager erforderlich)Haupt-E-Mail, Bank, Social-Media-Konten, API-Schlüssel
Einprägsame Passphrase(Ich möchte es aussprechen, tippen können und trotzdem sicher sein)Mittel-Hoch (5-6 Diceware-Wörter ~64-77 Bit)Gut (menschenlesbar, aussprechbar)Master-Passwort, Wi-Fi, geräteübergreifende Passwörter
Numerische PIN(Nur 0-9 erlaubt, gerätebedingt eingeschränkt)Niedrig (6 Stellen nur ~20 Bit, 10 Stellen ~33 Bit)Gut (Ziffernblock reicht)Geräte-Sperrbildschirm, Bankkarten-PIN, Einmal-Codes

Best Practices

Generierte Passwörter sofort im Manager speichern, nicht lange auf dem Bildschirm lassen

Ein frisch generiertes starkes Passwort liegt im Klartext vor; Verweilen in der Zwischenablage, auf dem Bildschirm oder im Browser-Verlauf sind alles Risikopunkte. Generieren, sofort in die Zielseite einfügen, Zwischenablage leeren. Fügen Sie keine andere Arbeit zwischen diese drei Schritte ein. **Niemals** einen Screenshot des generierten Passworts in der Galerie speichern, und niemals das Passwort auf Papier schreiben und ein Foto davon an andere schicken. Dieses Tool speichert Passwörter nur in der aktuellen Seite; sie gehen beim Aktualisieren oder Schließen verloren, also bereiten Sie den Speicherort vor, bevor Sie auf Generieren klicken.

Werden generierte Passwörter an einen Server hochgeladen?

**Lange einprägsame Passphrase** für das Master-Passwort, 16-20 Zeichen Zufallspasswörter für den Rest

Schichtstrategie: Das Master-Passwort (zum Entsperren des Passwort-Managers) muss für Menschen merkbar und ausreichend stark sein - wählen Sie eine 5-6-Wörter-Diceware-Passphrase. Für die anderen 99% der Websites/Dienste verwenden Sie 16-20 Zeichen Zufallspasswörter mit Auto-Ausfüllen des Passwort-Managers. **Niemals** für jede Website eine einprägsame Passphrase verwenden (nicht zu merken, leicht zu schwächen) und **niemals** das Master-Passwort als Zufallspasswort (Sie werden es aufschreiben, Sicherheit geht gegen null). Dies ist die zentrale Schichtidee des Passwort-Managements.

Wie lang sollte ein Passwort sein, um sicher zu sein?Zufälliges Passwort oder einprägsame Passphrase?

Mehrdeutige Zeichen nur ausschließen, wenn manuelle Eingabe erforderlich ist

Das Ausschließen von 0/O/1/l/I und anderen mehrdeutigen Zeichen reduziert die Zeichensatzgröße deutlich (5-10 Bit Entropieverlust bei gleicher Länge). **Nur aktivieren, wenn** manuelle Eingabe, telefonische Diktat oder gedruckte Verteilung nötig ist. Wird das Passwort nur im Passwort-Manager verwendet, bringt das Behalten aller druckbaren Zeichen höhere Entropie. Ein einfacher Test: (Muss ich dieses Passwort jemals mit den Fingern eintippen?) Wenn ja, ausschließen; wenn nein, nicht ausschließen.

Warum mehrdeutige Zeichen ausschließen (0/O/1/l/I)?

Stapelgenerierung nur für Test-/Verteilungsszenarien, nicht für Produktionskonten wiederverwenden

Der Workflow der Stapelgenerierung von 5/10/20 Passwörtern eignet sich hauptsächlich für: Test-Umgebungs-Initialisierung, temporäre Kontenverteilung, Einladungscode-Generierung, einmalige API-Schlüssel-Ausgabe. **Nicht** eines aus einem Stapelergebnis nehmen und für das eigene Produktionskonto wiederverwenden - stapelgenerierte Passwörter folgen meist denselben Generierungsregeln mit offensichtlichen Merkmalen (Zeichensatz, Länge, Generatortyp); sobald ein Konto leakt, können Angreifer die Strukturunterschiede der anderen Stapel-Passwörter erraten. Generieren und speichern Sie Passwörter für Produktionskonten einzeln.

Nur lokal generiert

Neue Passwörter müssen mit 2FA kombiniert werden, um wirklich sicher zu sein

Selbst das stärkste Passwort fällt bei Phishing, Keyloggern, Passwort-Datenbank-Leaks oder Insider-Bedrohungen bei Mobilfunkanbietern. **Jedes wichtige Konto (E-Mail, Bank, Social Media, Cloud) muss 2FA aktivieren**. Empfohlene Reihenfolge: TOTP (Google Authenticator / Authy) > Hardware-Schlüssel (YubiKey) > SMS. **SMS-2FA vermeiden** (SIM-Swap-Angriffe können es umgehen). Starkes Passwort + 2FA + Passwort-Manager sind alle nötig - 2FA ist die letzte Verteidigungslinie nach einem Passwort-Leak.

NIST SP 800-63B - Digitale Identitätsrichtlinien

HIBP zuerst prüfen, bevor ein geleaktes Passwort zurückgesetzt wird

Wenn Sie einen Passwort-Leak vermuten (News über eine Website-Datenpanne, Phishing-Mails erhalten usw.), ändern Sie es nicht sofort. Verwenden Sie zuerst die Pwned Passwords API von Have I Been Pwned (HIBP), um zu prüfen, ob das Passwort tatsächlich in einem bekannten Leak-Korpus auftaucht. HIBP bietet eine k-Anonymity-API, die dieses Tool künftig integrieren könnte; jetzt können Sie manuell zu haveibeenpwned.com/Passwords gehen und mit den ersten 5 Zeichen des SHA-1-Hash suchen. Nur bei Bestätigung im Korpus dringend zurücksetzen; Passwörter, die nicht im Leak-Korpus sind, brauchen keine Zwangsänderung zum (psychologischen Trost) (NIST empfiehlt explizit keine regelmäßigen Zurücksetzungen).

Have I Been Pwned - Passwort-Leck-Prüfung

Häufig gestellte Fragen

Warum Web Crypto API statt Math.random() verwenden?

Math.random() ist ein allgemeiner PRNG, der nicht für Sicherheitsszenarien konzipiert ist — sein interner Zustand kann potenziell rückwärtsentwickelt werden. crypto.getRandomValues() verwendet das CSPRNG auf Betriebssystemebene und erzeugt unvorhersehbare Zufälligkeit, die für Passwörter und Schlüssel geeignet ist.

Werden generierte Passwörter an einen Server hochgeladen?

Nein. Alle Passwörter werden lokal in Ihrem Browser generiert. Die Stärkeanalyse, Entropieberechnung und Crack-Zeit-Schätzung laufen clientseitig. Die Netzwerk-Registerkarte der DevTools bestätigt null externe Anfragen.

Wie lang sollte ein Passwort sein, um sicher zu sein?

Mindestens 12 Zeichen mit Groß-/Kleinschreibung, Ziffern und Symbolen. Ein 16-stelliges Zufallspasswort würde bei moderner Geschwindigkeit Milliarden von Jahren brauchen, um per Brute-Force geknackt zu werden. Siehe die Crack-Zeit-Tabelle oben.

Zufälliges Passwort oder einprägsame Passphrase?

Pro Zeichen haben Zufallspasswörter höhere Entropie. Aber Passphrasen (4-6 wirklich zufällige Wörter) erreichen über 60 Bit Entropie und sind viel einfacher zu merken. Der Schlüssel ist eine wirklich zufällige Wortauswahl, keine selbst erfundenen Phrasen.

Warum mehrdeutige Zeichen ausschließen (0/O/1/l/I)?

Diese sehen sich in vielen Schriftarten ähnlich und verursachen Eingabefehler. Wenn Passwörter manuell eingegeben, telefonisch diktiert oder gedruckt werden, schließen Sie sie aus. Bei ausschließlicher Verwendung über einen Passwort-Manager behalten Sie alle Zeichen für höhere Entropie.

Ist regelmäßiger Passwortwechsel sicherer?

Gemäß NIST SP 800-63B wird regelmäßiger Passwortwechsel NICHT mehr empfohlen, es sei denn, eine Kompromittierung ist bestätigt. Erzwungener Wechsel führt dazu, dass Benutzer schwache Passwörter wählen oder diese notieren. Besser: Lange Zufallspasswörter + Passwort-Manager + 2FA.

Was ist Passwort-Entropie?

Entropie misst die Unvorhersehbarkeit in Bit. Entropie = log₂(Zeichengummegröße ^ Länge). Ein 16-stelliges Passwort aus 94 druckbaren ASCII-Zeichen hat ~104 Bit, was bedeutet, dass ein Angreifer durchschnittlich 2¹⁰³ Versuche braucht — etwa 200 Milliarden Jahre bei 1 Billion Versuchen/Sek.

Glossar

CSPRNG
Kryptografisch Sicherer Pseudo-Zufallszahlengenerator. Erzeugt unvorhersehbare Ausgaben, die strenge Zufälligkeitstests bestehen; selbst bei Kenntnis vieler vergangener Ausgaben werden zukünftige nicht preisgegeben.
Passwort-Entropie
Misst die Unvorhersehbarkeit in Bit. Formel: log₂(N^L). 60+ Bit = sicher; 100+ Bit = extrem stark.
Brute-Force-Angriff
Alle möglichen Zeichenkombinationen ausprobieren. Die Verteidigung besteht in der Verwendung langer Zufallspasswörter, die Kombinationen physisch unzählbar machen.
Wörterbuchangriff
Verwendung von Listen gängiger Passwörter (123456, password, qwerty) zum Erraten von Anmeldedaten. Viel schneller als Brute-Force; zufällige Passwörter sind immun.
Credential Stuffing
Verwendung durchgesickerter Benutzername/Passwort-Paare von einer Site, um sich bei anderen anzumelden. Die Verteidigung erfolgt durch eindeutige Passwörter pro Site und Prüfung bei Have I Been Pwned.
Passphrase
Ein Passwort aus mehreren zufälligen Wörtern. Einfacher zu merken mit hoher Entropie bei wirklich zufälligen Wörtern (Diceware-Methode).
Diceware
Arnold Reinholds Methode von 1995, bei der 5 Würfelwürfe verwendet werden, um Wörter aus einer 7776-Wörter-Liste auszuwählen. 6 Diceware-Wörter ≈77 Bit Entropie.
NIST SP 800-63B
NIST-Richtlinien für digitale Identität — die maßgebliche Referenz für Passwortsicherheit. Seit 2017 empfiehlt sie keine regelmäßige Rotation oder obligatorische Sonderzeichen mehr und betont Länge, durchgesickerte Passwortprüfung und MFA.
2FA/MFA
Zwei-Faktor-/Multi-Faktor-Authentifizierung erfordert einen zweiten Faktor über das Passwort hinaus (TOTP, Hardware-Schlüssel). NIST empfiehlt 2FA bei allen wichtigen Konten.
Schwarze Liste durchgesickerter Passwörter
Listen öffentlich bekannter kompromittierter/gängiger Passwörter (123456, password, admin, qwerty). NIST empfiehlt die Prüfung gegen solche Listen bei Registrierung/Passwortänderung.

Passwortlänge vs Crack-Zeit (Groß+Klein+Ziffern+Symbole)

LängeEntropie(bit)KombinationenCrack-Zeit (1 Bio./Sek)Bewertung
6 Zeichen~37~139 Milliarden< 1 Sekunde❌ Sehr schwach
8 Zeichen~52~2.2×10¹⁴~2.5 Tage❌ Schwach
10 Zeichen~65~3.7×10¹⁸~116 Jahre⚠️ Mittelmäßig
12 Zeichen~78~6.1×10²²~1.9 Millionen Jahre✅ Stark
16 Zeichen~104~6.3×10³⁰~200 Milliarden Jahre✅✅ Sehr stark
20 Zeichen~131~6.7×10³⁸Billionenfache des Universumsalters✅✅✅ Unknackbar

Drei Passwort-Modi im Vergleich

ModusBeispielTypische EntropieMerkbarkeitAm besten für
Zufälliges PasswortxK9#mP2$vL8@nQ4!~6.5bit/ZeichenSchlechtMaster-Passwörter für Manager, DB-Passwörter, API-Schlüssel
Einprägsame PassphraseBrave-Cloud-Star42~10bit/WortGutWi-Fi-Passwörter, Anmelde-Passwörter mit manueller Eingabe
Numerische PIN4829173.3bit/ZifferGutGeräte-Sperrbildschirm, Bankkarten-PIN, Einmal-Codes

Authoritative References