Für Konten mit Passwort-Manager sind 20 Zeichen mit allen vier Zeichenarten ein guter Standard. Manche alten Systeme verbieten Sonderzeichen — dann einfach abwählen und dafür länger machen.
Jeder Klick erzeugt ein frisches Passwort aus dem kryptografischen Zufallsgenerator deines Browsers — derselben Quelle, die auch für Verschlüsselung verwendet wird.
Ein starkes Passwort, das du dir merken musst, wirst du wiederverwenden — und Wiederverwendung ist das eigentliche Risiko. Der Manager merkt es sich für dich.
Entscheidend ist die Kombination aus Länge und Zeichenvielfalt, gemessen in Entropie-Bits. Als Faustwerte:
| Passwort | Entropie | Einordnung |
|---|---|---|
| 8 Zeichen, nur Kleinbuchstaben | ~37 Bit | in Minuten bis Stunden knackbar |
| 10 Zeichen, gemischt | ~65 Bit | hält gängigen Angriffen stand, wenig Reserve |
| 14 Zeichen, gemischt | ~91 Bit | solide für normale Konten |
| 20 Zeichen, gemischt | ~130 Bit | auch gegen gut ausgestattete Angreifer sicher |
Das BSI empfiehlt: lieber lang als kompliziert. Ein langes Passwort aus vier zufälligen Wörtern schlägt ein kurzes mit Sonderzeichen-Akrobatik. Wenn ein Passwort-Manager es sich ohnehin merkt, nimm einfach beides — lang und gemischt.
Ein Passwort-Generator, der auf einem Server rechnet, verlangt blindes Vertrauen: Du kannst nicht prüfen, ob das Passwort protokolliert wird. Dieser Generator nutzt crypto.getRandomValues() — den kryptografischen Zufallsgenerator, der in deinem Browser eingebaut ist. Das Passwort entsteht auf deinem Gerät und verlässt es nie.
Du kannst das nachprüfen: Lade die Seite, trenne die Internetverbindung, erzeuge Passwörter — es funktioniert weiter. Die Netzwerkkonsole deines Browsers zeigt beim Erzeugen keinen einzigen Aufruf.
Nein. Es entsteht mit dem kryptografischen Zufallsgenerator deines Browsers auf deinem Gerät und wird weder gesendet noch gespeichert noch protokolliert. Die Seite funktioniert nach dem Laden auch ohne Internetverbindung.
Verwendet wird crypto.getRandomValues() — die kryptografisch sichere Zufallsquelle des Browsers, dieselbe Klasse von Zufall, die auch für TLS-Verschlüsselung genutzt wird. Herkömmliches Math.random() wäre vorhersagbar und kommt hier nicht zum Einsatz.
Sie sind bewusst ausgeschlossen, weil sie sich in vielen Schriftarten zum Verwechseln ähnlich sehen. Das kostet rechnerisch ein winziges bisschen Entropie und erspart dafür das Rätselraten beim Abtippen — etwa wenn du ein WLAN-Passwort vom Zettel eingibst.
Länge schlägt Komplexität. Jedes zusätzliche Zeichen multipliziert den Aufwand eines Angreifers, während ein Sonderzeichen mehr den Zeichenvorrat nur leicht vergrößert. 16 gemischte Zeichen sind stärker als 10 mit maximaler Sonderzeichen-Dichte.
Unbedingt — das ist wichtiger als jede Längenregel. Wird ein Dienst gehackt, probieren Angreifer die erbeuteten Zugangsdaten sofort bei anderen Diensten aus. Ein Passwort-Manager macht Einzelpasswörter mühelos; dieser Generator liefert sie.
Vorgaben wie „mindestens ein Sonderzeichen, höchstens 16 Zeichen" stammen aus einer anderen Zeit und begrenzen manchmal die mögliche Stärke. Wähle dann die maximal erlaubte Länge mit allen erlaubten Zeichenarten — der Generator lässt sich entsprechend einstellen.