Passwort-Generator
Über dieses Werkzeug
Passwortsicherheit ist seit den Anfangen der Informatik ein Eckpfeiler des digitalen Schutzes. In den 1960er Jahren führte das Compatible Time-Sharing System (CTSS) des MIT eines der ersten passwortbasierten Anmeldesysteme ein, und die Herausforderung, stärke, unvorhersehbare Passwörter zu erstellen, ist seitdem nur gewachsen. Heute, mit Milliarden von Konten weltweit, bleiben schwache Passwörter die am häufigsten ausgenutzte Schwachstelle in der Cybersicherheit. Dieses Tool generiert kryptografisch sichere zufällige Passwörter mit der Web Crypto API, demselben Standard, dem Banken, Regierungsbehorden und Sicherheitsexperten vertrauen. Anders als Pseudo-Zufallsgeneratoren, die auf vorhersehbaren mathematischen Sequenzen basieren, schopft crypto.getRandomValues() aus dem Entropie-Pool des Betriebssystems, der Umgebungsrauschen von Hardware-Ereignissen sammelt und die Ausgabe wirklich unvorhersehbar macht. Sie können Passwörter von 4 bis 128 Zeichen anpassen und vier Zeichenklassen kombinieren: Grossbuchstaben (A-Z), Kleinbuchstaben (a-z), Ziffern (0-9) und Sonderzeichen. Je mehr Zeichentypen Sie einbeziehen, desto größer ist der Suchraum, den ein Angreifer durchsuchen muss. Ein 16-Zeichen-Passwort mit allen vier Typen hat etwa 95^16 mögliche Kombinationen, eine so größe Zahl, dass moderne Supercomputer Millionen von Jahren brauchen würden, um es per Brute-Force zu knacken. Die gesamte Generierung erfolgt ausschließlich in Ihrem Browser. Kein Passwort verlasst Ihr Gerät, es werden keine Daten an Server übertragen, und nichts wird protokolliert oder gespeichert. Dieser clientseitige Ansatz, empfohlen von Organisationen wie NIST und CISA, gewährleistet maximale Privatsphäre.
Passwortsicherheit im Wandel der Zeit
Das Konzept der Passwörter ist alter als die Informatik selbst — militärische Losungsworter schutzten den Zugang seit Jahrtausenden. In der Informatik tauchten Passwörter erstmals 1961 im Compatible Time-Sharing System (CTSS) am MIT auf, wo Benutzer einen Grossrechner teilten und privaten Dateizugriff benötigten. Die Sicherheit war minimal: Passwörter wurden in Klartextdateien gespeichert. Der erste bekannte Passwortvorfall ereignete sich 1962, als ein Forscher die Master-Passwortdatei ausdruckte. Passwortsicherheit beruht auf der Mathematik der Entropie, gemessen in Bits an Zufälligkeit. Jedes Bit verdoppelt den Suchraum: Ein Passwort mit 40 Bits Entropie erfordert 2^40 (etwa eine Billion) Versuche, während 80 Bits 2^80 Versuche erfordert — eine Zahl jenseits aktueller Rechenkapazitat. Die Formel ist einfach: Entropie = Länge x log2(Zeichenpoolgrösse). Ein 16-Zeichen-Passwort aus 95 druckbaren ASCII-Zeichen bietet etwa 105 Bits Entropie. Modernes Passwort-Knacken verwendet ausgefeilte Techniken weit über einfache Brute-Force hinaus. Worterbuch-Angriffe testen Millionen gängiger Passwörter und geleakter Anmeldedaten. Regelbasierte Angriffe wenden Transformationen an, die menschliche Gewöhnheiten bei der Passworterstellung widerspiegeln. GPU-beschleunigtes Knacken kann Milliarden Hashes pro Sekunde testen, weshalb rohes SHA-256 zu schnell für Passwortspeicherung ist. Dedizierte Funktionen wie bcrypt, scrypt und Argon2 (Gewinner des Wettbewerbs 2015) verlangsamen absichtlich die Berechnung. Die NIST Special Publication 800-63B, 2024 aktualisiert, veränderte die Passwortempfehlungen zugunsten längerer Passphrasen statt komplexer Zeichenanforderungen. Die Diceware-Methode erzeugt Passphrasen durch Wurfeln physischer Würfel zur Auswahl zufalfiger Wörter. Zukunftig ermöglichen FIDO2- und WebAuthn-Protokolle passwortlose Authentifizierung mittels Public-Key-Kryptografie, wobei Biometrie oder Hardware-Schlüssel Passwörter vollständig ersetzen. Bis zur universellen passwortlosen Adoption bleiben kryptografisch generierte zufällige Passwörter die stärkste Verteidigung.
Anleitung
- Legen Sie die gewünschte Passwortlänge mit dem Schieberegler fest (4-128 Zeichen).
- Wählen Sie, welche Zeichentypen eingeschlossen werden sollen: Gross-, Kleinbuchstaben, Zahlen und/oder Symbole.
- Klicken Sie auf 'Passwort Generieren' und kopieren Sie das Ergebnis. Klicken Sie auf die Kopierschaltflache oder 'Neu Generieren' für ein neues Passwort.
Methodik
Dieses Tool basiert auf der crypto.getRandomValues()-Methode der Web Crypto API, die vom W3C spezifiziert und in allen modernen Browsern implementiert ist. Anders als Math.random(), das einen Pseudo-Zufallszahlengenerator (PRNG) mit deterministischem Seed verwendet, bezieht crypto.getRandomValues() Entropie vom kryptografischen Zufallszahlengenerator des Betriebssystems. Auf den meisten Systemen stammt diese Entropie von Hardware-Interrupts, Festplatten-I/O-Timing, Mausbewegungen und anderen unvorhersehbaren physischen Ereignissen. Für jede Zeichenposition im Passwort fordert der Algorithmus ein zufälliges Byte an, bildet es gleichmäßig auf den gewählten Zeichensatz ab und verwirft Werte, die modularen Bias einführen würden. Diese Rejection-Sampling-Technik stellt sicher, dass jedes Zeichen im verfügbaren Pool genau die gleiche Auswahlwahrscheinlichkeit hat und subtile statistische Muster verhindert, die Angreifer ausnutzen konnten. Wenn mehrere Zeichentypen aktiviert sind, garantiert der Generator mindestens ein Zeichen aus jedem ausgewählten Typ im endgültigen Passwort. Die verbleibenden Positionen werden aus dem kombinierten Pool gefüllt, und das gesamte Ergebnis wird mit einem Fisher-Yates-Algorithmus gemischt, der von crypto.getRandomValues() gespeist wird, um positionelle Vorhersagbarkeit zu eliminieren.
Ihre Ergebnisse verstehen
Der Stärkeindikator bewertet Ihr Passwort über mehrere Dimensionen hinweg, um eine aussagekräftige Sicherheitsbewertung zu liefern. Er berücksichtigt drei Hauptfaktoren: Länge, Zeichenvielfalt und die resultierende Entropie gemessen in Bits. Entropie stellt die Anzahl der binären Entscheidungen dar, die zum Erraten des Passworts erforderlich sind; höhere Entropie bedeutet exponentiell mehr erforderliche Versuche. Schwach (rot) zeigt Passwörter unter 8 Zeichen oder solche an, die nur einen einzelnen Zeichentyp verwenden. Diese Passwörter haben weniger als 30 Bits Entropie und können typischerweise in Sekunden mit modernen GPU-basierten Angriffen geknackt werden. Akzeptabel (gelb) markiert Passwörter von 8-11 Zeichen mit gemischten Typen, die 40-55 Bits Entropie bieten, ausreichend für geringwertige Konten, aber unzureichend für sensible Systeme. Stark (grün) gilt für Passwörter von 12-15 Zeichen mit guter Zeichenvielfalt, die 60-75 Bits Entropie liefern. Dieses Niveau widersteht den meisten Online- und Offline-Angriffen effektiv. Sehr Stark (dunkelgrun) bezeichnet 16 oder mehr Zeichen mit allen vier aktivierten Typen, die 80+ Bits Entropie erreichen, eine Schwelle, die Brute-Force-Angriffe selbst mit zukünftigen Hardware-Fortschritten rechnerisch undurchfuhrbar macht.
Praktische Beispiele
Beispiel 1 - Standardkonto: Stellen Sie die Länge auf 16 ein und aktivieren Sie alle vier Zeichentypen. Dies erstellt Passwörter wie 'K7#mPx9$nL2@qR4!' mit etwa 105 Bits Entropie, stark genug für E-Mail, soziale Medien und die meisten Online-Dienste. Beispiel 2 - Hohe Sicherheit: Stellen Sie die Länge auf 24 oder mehr mit voller Zeichenvielfalt ein. Ideal für Banking, Master-Passwörter von Passwort-Managern und Verschlusselungsschlussel. Bei 24 Zeichen mit allen Typen erhalten Sie etwa 157 Bits Entropie. Beispiel 3 - Kompatibler Modus: Einige altere Systeme lehnen Sonderzeichen ab. Stellen Sie die Länge auf 16 mit nur Gross-, Kleinbuchstaben und Zahlen ein. Dies bietet immer noch etwa 95 Bits Entropie, weit über dem Minimum für die meisten Sicherheitsanforderungen.
Tipps & Best Practices
Verwenden Sie für jedes Konto ein einzigartiges Passwort. Die Wiederverwendung von Passwörtern über Dienste hinweg bedeutet, dass ein einziger Verstoss alle Ihre Konten gefährden kann. Ein Passwort-Manager macht dies praktisch, indem er Hunderte einzigartiger Passwörter hinter einem stärken Master-Passwort speichert. Streben Sie mindestens 16 Zeichen mit allen vier Zeichentypen an. Die Länge ist der wichtigste einzelne Faktor für die Passwortsicherheit, da jedes zusätzliche Zeichen die Gesamtzahl möglicher Kombinationen multipliziert. Bevorzugen Sie Länge gegenüber Komplexität, wenn Sie wählen müssen. Teilen Sie niemals Passwörter per E-Mail, SMS oder Chat-Anwendungen. Diese Kanäle werden häufig überwacht oder speichern Klartext. Wenn Sie Anmeldedaten teilen müssen, nutzen Sie die dedizierte Freigabefunktion Ihres Passwort-Managers, die verschlusselten, zeitlich begrenzten Zugang bietet. Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA), wo immer verfügbar. Selbst das stärkste Passwort kann durch Phishing oder Keylogger erfasst werden. Ein zweiter Faktor, wie eine TOTP-App oder ein Hardware-Schlüssel, fügt eine Schicht hinzu, die sicher bleibt, selbst wenn Ihr Passwort kompromittiert wird.
Quellen
Alle Berechnungen werden lokal in Ihrem Browser durchgeführt. Es werden keine Daten an Server gesendet.