Passwort-Generator

Erstellen Sie ein neues zufälliges Passwort mit einer Länge von 8 bis 20 Zeichen und wählen Sie die zulässigen Zeichengruppen aus: Klein- und Großbuchstaben, Ziffern und Sonderzeichen. Für ein normales persönliches Konto wählen Sie die maximal unterstützte Länge des Dienstes – in diesem Tool 16–20 Zeichen – und verwenden Sie das erhaltene Passwort nicht erneut.

Was ein Passwort stark macht

Für ein zufällig generiertes Passwort sind besonders wichtig:

1. Länge. Je mehr unabhängige zufällige Zeichen, desto mehr mögliche Kombinationen.
2. Unvorhersehbarkeit. Name, Geburtsdatum, Seitenname, Tastatursequenz oder bekanntes Zitat sind leichter zu erraten als eine zufällige Zeichenfolge.
3. Einzigartigkeit. Dasselbe Passwort darf nicht für mehrere Dienste verwendet werden.
4. Sichere Aufbewahrung. Ein komplexes Passwort ist nutzlos, wenn es in einer offenen Datei liegt oder an Dritte weitergegeben wird.
5. Schutz vor Wiederverwendung nach einem Datenleck. Ein kompromittiertes Passwort muss überall dort ersetzt werden, wo es verwendet wurde.

Das Hinzufügen verschiedener Zeichentypen erweitert die Anzahl der möglichen Kombinationen. Die moderne Empfehlung lautet jedoch, nicht zu versuchen, eine kurze Länge durch ein Pflichtschema wie „ein Großbuchstabe, eine Ziffer und ein Sonderzeichen“ auszugleichen. Bei einem zufälligen Passwort sind Länge und Einzigartigkeit in der Regel wichtiger als ein künstlich komplexes Muster.

Welche Länge sollten Sie wählen?

Die aktuelle Veröffentlichung NIST SP 800-63B-4 verlangt von Systemen, für ein Ein-Faktor-Passwort mindestens 15 Zeichen zu akzeptieren; wenn das Passwort nur als einer der Faktoren der Mehrfaktorauthentifizierung dient, sind mindestens 8 erlaubt. Dienste müssen außerdem Passwörter mit einer Länge von mindestens 64 Zeichen zulassen.

Dies sind Anforderungen an Systeme, nicht die Behauptung, dass ein 15-stelliges Passwort automatisch sicher ist. Für einen Generator mit einer Spanne von bis zu 20 Zeichen ergibt sich folgende praktische Wahl:

• 16–20 Zeichen — bevorzugter Bereich für die meisten neuen Konten;
• 20 Zeichen — sinnvolle Standardoption, wenn die Website diese Länge akzeptiert;
• 8–14 Zeichen — nur bei Einschränkungen des jeweiligen Systems oder in einem speziellen Mehrfaktor-Szenario verwenden, wobei Sie wissen, dass ein längeres Passwort besser ist.

Für besonders wichtige Systeme sollten Sie einen Passwort-Manager verwenden, der längere Werte erstellen und speichern kann, sofern der Dienst dies unterstützt.

Müssen alle Zeichengruppen eingeschlossen werden?

Beachten Sie zunächst die Regeln der jeweiligen Website. Einige Systeme:

• verlangen mindestens eine Ziffer oder ein Sonderzeichen;
• erlauben nur eine begrenzte Zeichenliste;
• behandeln Leerzeichen, Anführungszeichen oder andere Zeichen fehlerhaft;
• haben ein veraltetes maximales Längenlimit.

Fügen Sie Klein- und Großbuchstaben, Ziffern und Sonderzeichen hinzu, wenn der Dienst sie akzeptiert. Aber kürzen Sie das Passwort nicht nur, um alle Anforderungen manuell zu erfüllen.

Warum ein Passwort nicht wiederverwendet werden darf

Nach einem Datenleck auf einer Website können Angreifer automatisch dieselbe E-Mail-Passwort-Kombination auf anderen Diensten testen. Ein eindeutiges Passwort begrenzt den Schaden auf ein einziges Konto.

Erstellen Sie keine Varianten wie:

Die gemeinsame Basis bleibt vorhersehbar. Generieren Sie für jeden Dienst einen völlig unabhängigen Wert.

Wie generierte Passwörter gespeichert werden

Die beste praktische Lösung ist ein Passwort-Manager. Er ermöglicht:

• ein eigenes Passwort für jedes Konto zu speichern;
• Daten nur auf der entsprechenden Domain automatisch auszufüllen;
• lange zufällige Werte zu generieren;
• wiederverwendete oder als kompromittiert bekannte Passwörter zu erkennen;
• den verschlüsselten Speicher zwischen Geräten zu synchronisieren.

Das Master-Passwort des Managers muss lang, einprägsam und einzigartig sein. Aktivieren Sie, wo verfügbar, die Mehrfaktorauthentifizierung oder einen Zugangsschlüssel.

Wann sollte ein Passwort geändert werden?

Ändern Sie das Passwort:

• wenn der Dienst ein Datenleck meldet;
• wenn Sie es auf einer verdächtigen Website eingegeben haben;
• wenn es auf unsichere Weise übermittelt wurde;
• wenn es jemand kennt, der keinen Zugriff mehr benötigt;
• wenn Gerät oder Speicher möglicherweise kompromittiert wurden;
• wenn das Passwort in einem anderen Konto wiederholt wird.

NIST empfiehlt keinen regelmäßigen Wechsel ohne Anzeichen einer Kompromittierung. Häufige erzwungene Wechsel nach Kalender führen oft zu vorhersehbaren Varianten wie PasswortMai → PasswortJuni. Viel wichtiger sind Einzigartigkeit, ausreichende Länge und ein schneller Wechsel nach einem echten Risiko.

Temporäre Passwörter und Zugriff für Auftragnehmer

Für temporären Zugriff ist es sicherer, ein separates Konto mit minimalen Rechten und einer Gültigkeitsdauer zu erstellen, anstatt das Hauptpasswort des Besitzers weiterzugeben.

Wenn das System dennoch ein temporäres Passwort verwendet:

1. übergeben Sie es über einen vereinbarten sicheren Kanal;
2. senden Sie Benutzername und Passwort nicht in einer einzigen offenen Nachricht;
3. fordern Sie eine Änderung bei der ersten Anmeldung;
4. entziehen Sie den Zugriff sofort nach Abschluss der Arbeiten;
5. prüfen Sie das Anmeldeprotokoll und die aktiven Sitzungen.

Der Generator erstellt die Zeichenfolge, verwaltet jedoch keine Berechtigungen, Übermittlung oder Widerruf.

Was bedeutet „einzigartiges Passwort“?

Auf der Seite ist dies als „neu generiertes, unabhängiges Passwort“ zu verstehen. Ein Online-Generator kann nicht beweisen, dass diese Kombination noch nie bei jemandem aufgetaucht ist. Bei einem ausreichend großen Raum zufälliger Varianten ist eine Übereinstimmung äußerst unwahrscheinlich, aber der Dienst prüft nicht die absolute globale Einzigartigkeit.

Was das Tool ohne technische Überprüfung nicht versprechen sollte

Man kann nicht automatisch behaupten, dass das Passwort mit einem kryptografisch sicheren Zufallszahlengenerator erzeugt wurde, wenn dies nicht durch die Implementierung bestätigt ist. Für ein solches Versprechen müssen die Entwickler prüfen, ob der Browser eine kryptografische API verwendet, z. B. crypto.getRandomValues(), und nicht das übliche Math.random().

Empfohlene interne Prüfung der Implementierung:

• Generierung über den CSPRNG des Browsers;
• gleichmäßige Zeichenauswahl ohne Verzerrung;
• keine Aufzeichnung des Passworts in Analytik, Protokollen oder URL;
• kein Senden des Werts an den Server;
• Löschen des sensiblen Werts aus dem DOM beim Zurücksetzen;
• korrekte Funktion beim Deaktivieren jeder Zeichengruppe.

Solange dies nicht bestätigt ist, ist es im Benutzertext sicherer, von einem „zufälligen Passwort“ zu sprechen, nicht von einem „kryptografisch sicheren“.

Zusätzlicher Kontoschutz

Das Passwort ist nur eine Schutzebene. Für wichtige Konten:

• aktivieren Sie die Mehrfaktorauthentifizierung;
• verwenden Sie vorzugsweise einen Zugangsschlüssel, einen Hardware-Schlüssel oder eine Authentifikator-App, falls der Dienst dies unterstützt;
• bewahren Sie Backup-Codes an einem sicheren Ort auf;
• prüfen Sie die Domain vor der Passworteingabe;
• bestätigen Sie keine unerwarteten Anmeldeanfragen;
• beenden Sie unbekannte aktive Sitzungen.

Häufige Fragen

Warum ist ein langes Passwort besser als ein kurzes komplexes?

Die Länge erhöht die Anzahl der möglichen zufälligen Kombinationen. Ein kurzes Passwort mit vorhersehbaren Ersetzungen wie a → @ kann schwach bleiben, auch wenn es formal verschiedene Zeichentypen enthält.

Muss ich das Passwort alle 30 oder 90 Tage ändern?

Nicht ohne Grund. Ändern Sie es nach einem Datenleck, einer verdächtigen Eingabe, einer Weitergabe an Dritte oder einem anderen Anzeichen einer Kompromittierung. Der regelmäßige Kalenderwechsel ersetzt nicht die Einzigartigkeit und Länge.

Kann ich das Passwort im Browser speichern?

Der integrierte Manager eines modernen Browsers ist in der Regel sicherer als die Wiederverwendung einfacher Passwörter oder die Speicherung in einer offenen Datei. Schützen Sie das Gerät selbst, das Synchronisationskonto und aktivieren Sie die zusätzliche Authentifizierung.

Warum akzeptiert die Website kein Sonderzeichen?

Der Dienst kann einen eingeschränkten Zeichensatz oder eine veraltete Prüfung haben. Generieren Sie eine neue Variante nur mit den unterstützten Gruppen, wobei Sie die maximal mögliche Länge beibehalten.

Kann ich das Passwort in einem gewöhnlichen Messenger senden?

Für sensible Zugänge ist es besser, eine gesicherte Geheimnisübertragung, ein separates Konto und einen Wechsel des temporären Passworts nach dem ersten Login zu nutzen. Hinterlassen Sie keine dauerhaften Passwörter im Verlauf eines gemeinsamen Chats.

Garantiert der Generator, dass das Passwort nirgendwo gespeichert wird?

Das hängt von der technischen Umsetzung der Seite ab. Eine solche Zusage sollte erst nach Prüfung der Netzwerkanfragen, Analytik und Protokollierung durch die Entwickler veröffentlicht werden.

Verwandte Tools: Base64; Texteditor.

Offizielle Empfehlung:

• NIST SP 800-63B-4 — Digital Identity Guidelines: Authentication and Authenticator Management: https://pages.nist.gov/800-63-4/sp800-63b.html