Ist es sicher, ein Passwort auf einer Website zu erzeugen?

Hier ja: Das Passwort wird in Ihrem Browser mit dessen kryptografischem Zufallsgenerator erzeugt und weder über das Netzwerk gesendet noch gespeichert, sodass CitationEasy es nie sieht. Wie bei jedem Tool sollten Sie einen Browser verwenden, dem Sie vertrauen, und das Ergebnis direkt in einen Passwort-Manager übernehmen.

Wie lang sollte mein Passwort sein?

Mindestens 15 Zeichen für ein Konto, das nur durch ein Passwort geschützt ist, laut NIST SP 800-63B, und länger, wo die Seite es erlaubt. Für das Master-Passwort eines Passwort-Managers verwenden Sie eine lange Passphrase. Der Regler hier geht bis 64 Zeichen.

Was bedeutet die Stärkeschätzung?

Sie gibt die Entropie in Bit an: wie viele binäre Vermutungen nötig wären, um das Passwort sicher zu finden, wenn es zufällig aus den gewählten Zeichen gewählt wurde. Jedes zusätzliche Bit verdoppelt den Aufwand. Die Stufen sind Faustregeln: unter 40 schwach, 40 bis 59 ausreichend, 60 bis 79 stark, 80 und mehr sehr stark.

Was bewirkt „Mehrdeutige Zeichen ausschließen“?

Es entfernt 0, O, 1, l und I, die in vielen Schriften ähnlich aussehen. Das hilft, wenn Sie das Passwort vorlesen oder von Hand eintippen müssen, und kostet sehr wenig Stärke: 16 Zeichen aus allen vier Sätzen sinken von 103 auf 101 Bit.

Warum lehnt eine Seite mein erzeugtes Passwort ab?

Meist, weil sie die Länge begrenzt oder einige Symbole nicht akzeptiert. Deaktivieren Sie Symbole oder verlängern Sie das Passwort und erzeugen Sie es erneut. Seiten, die lange oder ungewöhnliche Passwörter ablehnen, sollten Sie meiden, wenn Sie die Wahl haben.

Sollte ich auf mehreren Seiten dasselbe Passwort verwenden?

Nein. Wenn ein Dienst gehackt wird, probieren Angreifer die geleakten Passwörter bei anderen Diensten aus. Ein eigenes Passwort für jede Seite begrenzt den Schaden auf ein Konto.

Sollte ich stattdessen eine Passphrase verwenden?

Mehrere zufällige Wörter können zugleich stark und gut merkbar sein und eignen sich gut für ein Master-Passwort. Dieser Generator erstellt Zeichenpasswörter; für eine Passphrase wählen Sie Wörter zufällig statt selbst.

Passwort-Generator

Erstellen Sie ein starkes, zufälliges Passwort mit 8 bis 64 Zeichen, wählen Sie Kleinbuchstaben, Großbuchstaben, Ziffern und Symbole, und sehen Sie eine Entropieschätzung in Bit. Das Passwort entsteht mit dem kryptografischen Zufallsgenerator Ihres Browsers und verlässt Ihr Gerät nie. Kostenlos, ohne Anmeldung. Um ein bereits verwendetes Passwort zu prüfen, nutzen Sie stattdessen den Password Strength Checker.

Wählen Sie mindestens einen Zeichentyp

Stärke: Sehr stark (103 Bit Entropie)

Lokal generiert, nie gesendet

Passwörter werden auf Ihrem Gerät mit dem kryptografisch sicheren Zufallszahlengenerator Ihres Browsers erstellt (crypto.getRandomValues). Nichts wird über das Netzwerk übertragen, nichts wird gespeichert, und wir können die von Ihnen erstellten Passwörter nicht sehen.

Passwort-Ratschläge

Verwenden Sie für jede Seite ein einzigartiges Passwort. Wenn ein Dienst gehackt wird, probieren Angreifer die geleakten Passwörter sofort bei E-Mail-Anbietern, Banken und sozialen Netzwerken aus. Ein wiederverwendetes Passwort macht aus einem Datenleck viele.

Verwenden Sie einen Passwort-Manager. Niemand kann sich Dutzende langer zufälliger Passwörter merken, und sie aufzuschreiben oder wiederzuverwenden verfehlt den Zweck. Ein Passwort-Manager speichert sie verschlüsselt, füllt sie für Sie aus und verlangt von Ihnen nur, sich eine einzige starke Master-Passphrase zu merken.

Bevorzugen Sie Länge vor Cleverness. Buchstaben durch Symbole zu ersetzen (p@ssw0rd) fügt weit weniger Stärke hinzu, als das Passwort einfach länger zu machen. Aktivieren Sie, wo eine Seite es erlaubt, zusätzlich die Zwei-Faktor-Authentifizierung.

So verwenden Sie den Passwort-Generator

1. Legen Sie die Länge fest. Der Regler reicht von 8 bis 64 Zeichen und startet bei 16.
2. Wählen Sie die Zeichen. Kleinbuchstaben, Großbuchstaben, Ziffern und Symbole sind standardmäßig alle aktiv; mindestens eine Option muss aktiv bleiben. Aktivieren Sie Mehrdeutige Zeichen ausschließen, um 0, O, 1, l und I wegzulassen.
3. Lesen Sie die Stärkezeile. Der Balken zeigt eine Stufe, also Schwach, Ausreichend, Stark oder Sehr stark, mit der Entropie in Bit.
4. Erzeugen und kopieren Sie. Beim Laden der Seite erscheint ein Passwort; Neu generieren erstellt ein weiteres, und Kopieren legt es in Ihre Zwischenablage. Speichern Sie es sofort in einem Passwort-Manager.

So werden die Passwörter erzeugt

Sichere Zufälligkeit. Jedes Zeichen wird mit crypto.getRandomValues gewählt, dem kryptografischen Generator des Browsers, niemals mit Math.random. Werte werden per Rejection Sampling gezogen, sodass kein Zeichen wegen Rundung wahrscheinlicher ist als ein anderes.
Eines aus jedem Satz. Wenn Sie alle vier Sätze aktivieren, enthält das Passwort garantiert mindestens einen Kleinbuchstaben, einen Großbuchstaben, eine Ziffer und ein Symbol. Diese Regel verlangen viele Seiten noch. Die übrigen Stellen werden aus allen gewählten Zeichen gefüllt, dann wird das ganze Passwort gemischt, damit die garantierten Zeichen nicht vorne stehen.
Der Symbolsatz ist !@#$%^&*()-_=+[]{};:,.?, 23 Zeichen. Lehnt eine Seite einige davon ab, deaktivieren Sie Symbole und erhöhen stattdessen die Länge.
Nichts verlässt die Seite. Das Passwort wird im Speicher Ihres Browsers erzeugt und gehalten und nirgendwohin gesendet. Der Zwischenablage-Verlauf Ihres Betriebssystems kann kopierte Inhalte speichern, sofern er aktiv ist.

Länge schlägt Komplexität

Die Stärkeschätzung ist die Entropie eines gleichmäßig zufällig gewählten Passworts: Länge × log₂(Größe des Zeichensatzes). Mit allen vier Sätzen (85 Zeichen) trägt jedes Zeichen rund 6,4 Bit bei; mit Kleinbuchstaben allein 4,7. Das Tool rundet das Ergebnis und stuft es unter 40 Bit als Schwach ein, ab 40 als Ausreichend, ab 60 als Stark und ab 80 als Sehr stark. Das sind Faustregeln dieses Tools, kein Industriestandard.

Länge	Nur Kleinbuchstaben (26)	Buchstaben und Ziffern (62)	Alle vier Sätze (85)
8	38 Bit, Schwach	48 Bit, Ausreichend	51 Bit, Ausreichend
12	56 Bit, Ausreichend	71 Bit, Stark	77 Bit, Stark
16	75 Bit, Stark	95 Bit, Sehr stark	103 Bit, Sehr stark
20	94 Bit, Sehr stark	119 Bit, Sehr stark	128 Bit, Sehr stark

Länge zählt mehr als Vielfalt. Zwanzig Kleinbuchstaben (94 Bit) sind stärker als zwölf Zeichen aus allen vier Sätzen (77 Bit), weil jedes zusätzliche Zeichen die Zahl der Möglichkeiten multipliziert, während ein größerer Zeichensatz nur die Basis erhöht. Die Schätzung gilt nur für zufällig erzeugte Passwörter. Ein selbst ausgedachtes Passwort, oder eines mit Ersetzungen wie p@ssw0rd, hat weit weniger echte Stärke, als seine Länge vermuten lässt.

Was aktuelle Empfehlungen sagen

Der US-Standard für digitale Identität, NIST SP 800-63B (Revision 4), verlangt, dass Dienste für Passwörter, die allein verwendet werden, mindestens 15 Zeichen zulassen (8, wenn ein zweiter Faktor hinzukommt), mindestens 64 erlauben und keine Zusammensetzungsregeln wie das Mischen von Zeichentypen oder erzwungene regelmäßige Wechsel auferlegen. Außerdem erwartet er, dass Dienste Passwort-Manager und Einfügen akzeptieren und neue Passwörter gegen Listen gängiger und geleakter Passwörter prüfen. In der Praxis: Wählen Sie das längste Passwort, das die Seite erlaubt, machen Sie es für diese Seite einzigartig, bewahren Sie es in einem Passwort-Manager auf und aktivieren Sie die Zwei-Faktor-Authentifizierung.

Welches Tool brauchen Sie?

Verwenden Sie diese Seite, um ein neues zufälliges Passwort zu erstellen. Um ein vorhandenes zu prüfen, nutzen Sie den Password Strength Checker, der ebenfalls nach gängigen Passwörtern, Wörtern und Mustern sucht und nichts sendet. Für einen eindeutigen Bezeichner statt eines Geheimnisses verwenden Sie den UUID-Generator; eine UUID ist eindeutig, soll aber nicht geheim sein.

Häufig gestellte Fragen

Ist es sicher, ein Passwort auf einer Website zu erzeugen?: Hier ja: Das Passwort wird in Ihrem Browser mit dessen kryptografischem Zufallsgenerator erzeugt und weder über das Netzwerk gesendet noch gespeichert, sodass CitationEasy es nie sieht. Wie bei jedem Tool sollten Sie einen Browser verwenden, dem Sie vertrauen, und das Ergebnis direkt in einen Passwort-Manager übernehmen.
Wie lang sollte mein Passwort sein?: Mindestens 15 Zeichen für ein Konto, das nur durch ein Passwort geschützt ist, laut NIST SP 800-63B, und länger, wo die Seite es erlaubt. Für das Master-Passwort eines Passwort-Managers verwenden Sie eine lange Passphrase. Der Regler hier geht bis 64 Zeichen.
Was bedeutet die Stärkeschätzung?: Sie gibt die Entropie in Bit an: wie viele binäre Vermutungen nötig wären, um das Passwort sicher zu finden, wenn es zufällig aus den gewählten Zeichen gewählt wurde. Jedes zusätzliche Bit verdoppelt den Aufwand. Die Stufen sind Faustregeln: unter 40 schwach, 40 bis 59 ausreichend, 60 bis 79 stark, 80 und mehr sehr stark.
Was bewirkt „Mehrdeutige Zeichen ausschließen“?: Es entfernt 0, O, 1, l und I, die in vielen Schriften ähnlich aussehen. Das hilft, wenn Sie das Passwort vorlesen oder von Hand eintippen müssen, und kostet sehr wenig Stärke: 16 Zeichen aus allen vier Sätzen sinken von 103 auf 101 Bit.
Warum lehnt eine Seite mein erzeugtes Passwort ab?: Meist, weil sie die Länge begrenzt oder einige Symbole nicht akzeptiert. Deaktivieren Sie Symbole oder verlängern Sie das Passwort und erzeugen Sie es erneut. Seiten, die lange oder ungewöhnliche Passwörter ablehnen, sollten Sie meiden, wenn Sie die Wahl haben.
Sollte ich auf mehreren Seiten dasselbe Passwort verwenden?: Nein. Wenn ein Dienst gehackt wird, probieren Angreifer die geleakten Passwörter bei anderen Diensten aus. Ein eigenes Passwort für jede Seite begrenzt den Schaden auf ein Konto.
Sollte ich stattdessen eine Passphrase verwenden?: Mehrere zufällige Wörter können zugleich stark und gut merkbar sein und eignen sich gut für ein Master-Passwort. Dieser Generator erstellt Zeichenpasswörter; für eine Passphrase wählen Sie Wörter zufällig statt selbst.