Passwort generieren – in Sekunden zum sicheren Passwort

Passwort generieren – so funktioniert der Generator in Sekunden

Der Generator oben nimmt dir die schwierigste Aufgabe bei der Wahl ab: sich wirklich zufällige Zeichen auszudenken. Menschen sind darin notorisch schlecht – wir greifen zu Namen, Geburtsdaten oder Mustern auf der Tastatur. Genau diese Muster kennen Angreifer. Lässt du dir eines erzeugen, entsteht eine Zeichenfolge ohne jede Bedeutung, die sich nicht erraten lässt.

In der Praxis brauchst du nur wenige Sekunden:

1. Stelle mit dem Schieberegler die gewünschte Länge ein. Für normale Logins sind 12 bis 16 Zeichen ein guter Ausgangspunkt.
2. Wähle die Zeichenarten – Großbuchstaben, Kleinbuchstaben, Zahlen und Sonderzeichen. Je mehr aktiv sind, desto größer der Zeichenvorrat.
3. Klicke auf „Passwort generieren“. Das Ergebnis erscheint sofort, farblich hervorgehoben nach Zeichentyp.
4. Prüfe die Stärke-Anzeige direkt darunter: Sie zeigt dir Entropie und geschätzte Knackdauer.
5. Kopiere das Ergebnis mit einem Klick und füge es dort ein, wo du es brauchst.

Wer sichere Kennwörter erzeugen möchte, muss also keine Software installieren und sich nirgends registrieren. Alles läuft direkt hier im Browser – dazu gleich mehr im Abschnitt zum Datenschutz.

Was ein wirklich starkes Kennwort ausmacht

Ein sicheres Passwort ist im Kern eines, das ein Computer nicht in vertretbarer Zeit durchprobieren kann. Angreifer setzen automatisierte Programme ein, die pro Sekunde Milliarden von Kombinationen testen – so ein „Brute-Force-Angriff“ probiert stumpf alle Möglichkeiten durch. Zwei Faktoren entscheiden darüber, wie lange das dauert:

• Die Länge. Jedes zusätzliche Zeichen vervielfacht die Anzahl der möglichen Kombinationen. Länge ist der mit Abstand wichtigste Hebel – wichtiger als ein einzelnes Sonderzeichen.
• Der Zeichenvorrat. Eines aus Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen schöpft aus rund 94 möglichen Zeichen pro Stelle statt aus nur 26.

Fachlich beschreibt man das mit dem Begriff Entropie, gemessen in Bit. Sie gibt an, wie unvorhersehbar ein Passwort ist. Grob gilt: Unter 28 Bit ist es sehr schwach, ab etwa 60 Bit wird es stark, und ab 80 bis 100 Bit ist es für heutige Technik praktisch unknackbar. Der Generator rechnet diesen Wert für jedes Ergebnis live aus, damit du nicht raten musst. Willst du einen besonders starken Zugang erzeugen, drehe zuerst an der Länge – sie bringt mehr als jedes zusätzliche Sonderzeichen.

Die richtige Länge: 8, 10 oder 12 Zeichen?

Diese Frage taucht ständig auf, weil viele Formulare eine Mindestlänge vorgeben. Die kurze Antwort: mehr ist besser, aber es gibt sinnvolle Richtwerte.

Eines mit 8 Zeichen ist heute das absolute Minimum und nur dann vertretbar, wenn alle Zeichenarten kombiniert werden – für wichtige Konten ist es zu kurz. Mit 10 Zeichen ist es schon deutlich robuster. Mit 12 Zeichen plus Buchstaben, Zahlen und Sonderzeichen liegt man für die meisten Alltagskonten auf der sicheren Seite. Für besonders schützenswerte Zugänge – E-Mail, Cloud, Banking – sind 16 Zeichen oder mehr empfehlenswert.

Das BSI nennt für reguläre Online-Konten mindestens acht Zeichen aus vier Zeichenklassen als Basis, rät bei wichtigen Zugängen aber klar zu mehr Länge. Und für ein WLAN-Passwort gilt eine eigene Faustregel, auf die wir weiter unten eingehen.

Wie lange dauert es, ein Passwort zu knacken?

Die folgende Tabelle gibt eine Orientierung, wie lange ein automatisierter Offline-Angriff mit sehr schneller Hardware (rund 100 Milliarden Versuche pro Sekunde) im Durchschnitt braucht. Grundlage ist eine zufällige Zeichenfolge aus allen vier Klassen. Es sind Schätzwerte – die reale Dauer hängt von der Rechenleistung des Angreifers ab.

Man sieht deutlich: Der Sprung von 8 auf 12 Zeichen macht aus „innerhalb eines Tages knackbar“ ein „praktisch unmöglich“. Deshalb lohnt es sich fast immer, das Passwort ein paar Zeichen länger zu wählen, als es das Formular verlangt.

Zufallsstring oder Passphrase – was ist besser?

Beide Wege führen zu hoher Sicherheit, sie eignen sich nur für unterschiedliche Situationen.

Das zufällige Passwort

Eine zufällige Zeichenfolge wie v7K$eq2!mZ9r ist maximal unvorhersehbar und braucht wenig Länge für viel Sicherheit. Der Nachteil: Es lässt sich kaum merken. Das ist in der Regel kein Problem, denn solche Werte gehören in einen Passwort-Manager, nicht ins Gedächtnis.

Die Passphrase

Eine Passphrase reiht mehrere zufällige, zusammenhanglose Wörter aneinander, etwa Tanne-Kompass-Robbe-Ziegel7. Durch die Länge entsteht enorme Sicherheit, und weil es echte Wörter sind, kannst du sie dir mit einer kleinen Eselsbrücke merken. Genau diese Methode – zufällige Wörter zu einem langen, bedeutungslosen Ganzen kombinieren – empfehlen Sicherheitsbehörden heute ausdrücklich. Wichtig ist nur, dass die Wörter wirklich zufällig gewählt sind und keinen Satz aus einem Zitat oder Sprichwort bilden. Im Passphrasen-Modus des Generators übernimmt genau das der Zufallsgenerator für dich.

WLAN-Kennwort – worauf du achten solltest

Ein WLAN-Passwort spielt in einer eigenen Liga, weil es meist nur einmal eingegeben und dann von den Geräten gespeichert wird. Du musst es dir also nicht merken – und kannst es entsprechend lang machen. Als Richtwert gelten mindestens 20 Zeichen; das schützt zuverlässig davor, dass jemand in Reichweite deines Netzes es per Rechenpower errät.

WLAN-Kennwort leicht gemacht: Nutze am besten den Preset-Knopf „WLAN-Passwort (24)“ oben im Tool oder stellst den Regler manuell auf 20 und mehr. Tipp: Wenn du es später von Hand an Gäste weitergibst, aktiviere „Ähnliche Zeichen vermeiden“ – dann tauchen keine leicht zu verwechselnden Zeichen wie die Null und der Buchstabe O oder die Eins und das kleine L auf.

Offline im Browser generieren – Datenschutz im Blick

Beim Thema Datenschutz gibt es einen entscheidenden Unterschied zwischen Generatoren: Erzeugt die Seite das Passwort auf ihrem Server und schickt es dir – oder entsteht es lokal in deinem Browser?

Dieser Generator arbeitet vollständig lokal. Sobald die Seite geladen ist, wird jeder Wert direkt auf deinem Gerät berechnet. Es wird zu keinem Zeitpunkt an einen Server übertragen, nicht protokolliert und nicht gespeichert. In diesem Sinne arbeitest du „offline“ – du könntest die Verbindung nach dem Laden sogar trennen, und das Tool würde weiter funktionieren.

Technisch nutzt der Generator die Web Crypto API des Browsers (crypto.getRandomValues). Das ist eine kryptografisch sichere Zufallsquelle – deutlich geeigneter als der einfache Zufall, den viele Bastel-Tools verwenden. So ist sichergestellt, dass die erzeugten Zeichen wirklich unvorhersehbar sind und sich nicht rekonstruieren lassen.

Offline Passwort generieren – geht das wirklich?

Ja. Nach dem Laden der Seite braucht der Generator keine Internetverbindung mehr – du kannst es also sogar im Flugmodus erzeugen, wenn du auf Nummer sicher gehen willst. Genau darin liegt der Unterschied zu serverbasierten Diensten, bei denen jedes erzeugte Kennwort einmal durchs Netz wandert.

Google, Chrome oder Firefox nutzen – und wo die Grenzen liegen

Viele fragen sich, ob sie sich nicht einfach von Google einen Vorschlag holen können – schließlich schlägt der Google Passwortmanager beim Anlegen eines neuen Kontos automatisch ein sicheres Passwort vor. Das Gleiche gilt für Chrome auf dem Desktop und für Firefox, der beim Registrieren ebenfalls ein zufälliges Kennwort anbietet. Diese eingebauten Helfer sind grundsätzlich eine gute Sache: Der Vorschlag ist zufällig, wird direkt gespeichert und später automatisch ausgefüllt.

Sie haben aber spürbare Grenzen. Er erscheint nur in Kennwort-Feldern beim Registrieren – für ein WLAN, eine PIN, einen Router oder ein Offline-Konto bekommst du dort nichts. Länge, Zeichenarten und ausgeschlossene Zeichen lassen sich kaum oder gar nicht anpassen, und mehrere Zugänge auf einmal erzeugen können Browser ebenfalls nicht. Dazu kommt die Bindung ans jeweilige Ökosystem: Wer sich in Chrome einen Vorschlag geben lässt, hat es im Google-Konto liegen – wechselst du den Browser, musst du erst umziehen.

Ein eigenständiges Tool wie dieses ergänzt die Browser-Funktion deshalb sinnvoll: Du bestimmst jede Einstellung selbst, erzeugst bei Bedarf ganze Listen und bleibst unabhängig davon, wo du es am Ende verwendest.

Die häufigsten Fehler bei der Kennwortwahl

Viele unsichere Zugänge entstehen aus denselben Gewohnheiten. Diese solltest du vermeiden:

• Denselben Zugang mehrfach nutzen. Der gefährlichste Fehler überhaupt. Ist ein Dienst betroffen, probieren Angreifer die Kombination automatisch bei anderen Portalen aus.
• Persönliche Bezüge einbauen. Name, Geburtsjahr, Haustier, Lieblingsverein – all das steht oft öffentlich in sozialen Netzwerken.
• Vorhersehbare Ersetzungen. Aus „Passwort“ ein „P4ssw0rt“ zu machen, hält keinen ernsthaften Angriff auf. Solche Muster sind längst in den Wörterbüchern der Angreifer.
• Zu kurz. Sechs oder sieben Zeichen fallen in Sekunden, egal wie „kreativ“ sie wirken.
• Zugangsdaten unverschlüsselt notieren. Der Klebezettel am Monitor oder die Textdatei „passwörter.txt“ auf dem Desktop machen jede Mühe zunichte.

Übrigens: Der früher übliche Rat, Zugänge alle paar Monate zu wechseln, gilt heute als überholt. Das BSI rät von erzwungenen, anlasslosen Wechseln inzwischen sogar ab, weil sie in der Praxis zu immer schwächeren Ergebnissen führen. Ändern solltest du es dann, wenn es einen konkreten Grund gibt – etwa den Verdacht, dass es in einem Datenleck aufgetaucht ist.

Starke Zugänge sicher verwalten

Sobald du für jedes Konto einen eigenen starken Zugang erzeugst, stellt sich eine praktische Frage: Wie behält man den Überblick über Dutzende einzigartige Zeichenfolgen? Die ehrliche Antwort lautet – nicht im Kopf.

• Passwort-Manager. Ein Passwort-Manager speichert alle Zugangsdaten verschlüsselt hinter einem einzigen, sehr starken Master-Passwort. Du musst dir dann nur noch dieses eine merken – ideal als lange Passphrase.
• Zwei-Faktor-Authentisierung (2FA). Sie fügt eine zweite Hürde hinzu, etwa einen Code aus einer App. Selbst wenn ein Zugang in falsche Hände gerät, kommt niemand ohne den zweiten Faktor hinein. Das BSI empfiehlt 2FA ausdrücklich zusätzlich zu starken Passwörtern.
• Passkeys. Die modernste Variante ersetzt es ganz durch ein kryptografisches Verfahren, das per Fingerabdruck, Gesichtserkennung oder Geräte-PIN freigegeben wird. Wo ein Dienst Passkeys anbietet, sind sie eine sichere und bequeme Option.

Ein neues Kennwort erzeugen und anschließend sicher ablegen – das ist der komplette Ablauf, mit dem du deine Konten dauerhaft schützt.

Passwort generieren lassen oder selbst ausdenken?

Es klingt bequem, sich schnell selbst eines auszudenken. Das Problem: Unser Gehirn ist nicht auf Zufall ausgelegt. Selbst wenn wir uns Mühe geben, greifen wir unbewusst zu Bausteinen, die für Angreifer erwartbar sind – ein vertrautes Wort, eine bekannte Jahreszahl, die Zeichenreihe direkt auf der Tastatur. Angriffsprogramme testen genau diese menschlichen Muster zuerst.

Ein Generator hat diese Schwäche nicht. Er zieht jedes Zeichen unabhängig aus dem gesamten Vorrat, ohne Vorliebe für ein bestimmtes Muster. Deshalb erreichst du mit einem erzeugten Wert bei gleicher Länge fast immer eine höhere tatsächliche Sicherheit als mit einem ausgedachten. Auch die in Browsern eingebauten Vorschläge funktionieren nach diesem Prinzip – der Vorteil eines eigenständigen Tools ist, dass du Länge, Zeichenarten und Ausschlüsse frei bestimmst und dir bei Bedarf gleich mehrere auf einmal erzeugen lassen kannst.

Für welche Konten brauchst du besonders starke Zugänge?

Nicht jeder Zugang ist gleich wichtig. Es lohnt sich, den Aufwand nach dem Schutzbedarf zu staffeln – auch das entspricht dem risikobasierten Ansatz des BSI.

• E-Mail-Konto: Das wichtigste Passwort überhaupt. Über die Adresse „E-Mail vergessen?“ lassen sich viele andere Konten zurücksetzen. Hier gehören ein sehr langes Passwort und Zwei-Faktor-Authentisierung zwingend zusammen.
• Online-Banking und Bezahldienste: Direkter Zugriff auf dein Geld. Mindestens 16 Zeichen, unbedingt einzigartig.
• Soziale Netzwerke: Enthalten viele persönliche Daten und werden gern für Identitätsdiebstahl missbraucht. Ein starkes, eigenes Passwort ist Pflicht.
• Shopping-Konten: Oft sind Adressen und teils Zahlungsdaten hinterlegt. Auch hier gilt: für jeden Shop ein neues Kennwort erzeugen.
• Foren, Gaming, Newsletter: Geringerer Schutzbedarf, aber niemals denselben Wert wie beim E-Mail-Konto verwenden.

Die Merksatz-Methode: ein sicheres Kennwort ohne Tool

Manchmal brauchst du einen Zugang, den du dir wirklich merken musst und nirgends nachschlagen kannst – etwa die Anmeldung am eigenen Rechner. Für solche Fälle gibt es neben der Passphrase die Merksatz-Methode. Sie funktioniert so:

1. Denke dir einen persönlichen Satz aus, der kein Zitat und kein Sprichwort ist, zum Beispiel: „Mein erstes Fahrrad war grün und hatte 3 Gänge!“.
2. Nimm von jedem Wort den Anfangsbuchstaben und übernimm Zahlen und Satzzeichen: MeFwg*uh3G!
3. Für jeden Dienst variierst du den Satz leicht, sodass jedes Ergebnis einzigartig bleibt.

Das Ergebnis wirkt zufällig, lässt sich aber über den Satz jederzeit rekonstruieren. Für die vielen weniger wichtigen Konten bleibt es trotzdem bequemer und sicherer, es einfach im Tool erzeugen zu lassen und im Manager abzulegen.

Drei hartnäckige Mythen über sichere Passwörter

„Sonderzeichen machen ein Passwort automatisch sicher.“

Ein einzelnes Sonderzeichen am Ende von „Passwort!“ hilft kaum. Sicherheit entsteht aus Länge und echter Zufälligkeit, nicht aus einem angehängten Ausrufezeichen. Ein langes Passwort aus nur Buchstaben kann stärker sein als ein kurzes mit vielen Symbolen.

„Man muss Passwörter regelmäßig wechseln.“

Diese Regel gilt als überholt. Erzwungene Wechsel führen dazu, dass Menschen nur eine Ziffer hochzählen. Besser ist ein starkes, einzigartiges Passwort, das nur bei konkretem Verdacht geändert wird.

„Buchstaben durch Zahlen ersetzen macht sicher.“

Aus einem „a“ ein „4“ und aus einem „o“ eine „0“ zu machen, ist ein uraltes Muster, das jedes Angriffsprogramm kennt. Es erhöht die Sicherheit praktisch nicht. Ein zufällig erzeugtes Kennwort umgeht das Problem komplett.

Häufige Fragen zum Passwort generieren