Passwortgenerator
Erstelle sofort starke, zufällige Passwörter. Völlig im Browser — nichts verlässt deinen Browser.
crypto.getRandomValues() generiert. Nichts wird an einen Server gesendet.
So verwendest du den Passwortgenerator
Wähle deinen Modus
Wähle “Zufällig” für zeichenbasierte Passwörter, “Passphrase” für wortbasierte Passwörter oder “PIN” für Zahlencodes.
Passe Einstellungen an
Stelle deine gewünschte Länge ein, aktiviere oder deaktiviere Zeichentypen und wähle Voreinstellungen für übliche Längen.
Kopieren & verwenden
Dein Passwort wird sofort generiert. Klicke “Kopieren”, um es in die Zwischenablage zu speichern, oder erzeuge ein neues.
Was macht ein starkes Passwort aus?
Nach NIST SP 800-63B (2024) und CISA-Richtlinien hängt die Passwortsträrke von drei Faktoren ab: Länge, Zufälligkeit und Eindeutigkeit. Die aktualisierten Bundesstandards verzichten auf Anforderungen zur Komplexität (Groß-/Kleinschreibung, Sonderzeichen) zugunsten längerer Passwörter, da jeder zusätzliche Buchstabe die Schwierigkeit von Brute-Force-Angriffen exponentiell erhöht.
Hier sind 5 Regeln für die Erstellung starker Passwörter im Jahr 2026:
- Mach es lang — mindestens 16 Zeichen. NIST empfiehlt jetzt mindestens 15 Zeichen für die Authentifizierung mit einem Faktor (SP 800-63B Rev. 4). Jedes zusätzliche Zeichen vervielfacht die Knackdauer exponentiell.
- Mach es zufällig — verwende einen Passwortgenerator. Menschen sind furchtbar in Zufälligkeit — wir neigen zu Mustern, Wörterbuch-Wörtern und persönlichen Informationen, die Angreifer ausnutzen.
- Mach es eindeutig — ein Passwort pro Konto. 94% der Passwörter werden über mehrere Konten hinweg wiederverwendet. Wenn ein Dienst gehackt wird, sind alle deine Konten mit diesem Passwort kompromittiert.
- Vergiss die Komplexitäts-Tricks — “P@$$w0rt!” sieht komplex aus, ist aber trivial zu knacken. Eine 20-Zeichen lange Zufallszeichenkette aus Kleinbuchstaben ist viel stärker als eine 8-Zeichen lange Zeichenkette mit erzwungenen Symbolen.
- Verwende einen Passwortmanager — die einzige praktische Möglichkeit, eindeutige Passwörter mit 16+ Zeichen für jedes Konto zu pflegen. Ein Generator erstellt die Passwörter, ein Manager speichert sie.
Warum starke Passwörter 2026 wichtig sind
Datenlecks sind keine seltenen Ereignisse mehr — sie sind konstant. Allein 2024 wurden über 1,7 Milliarden Anmeldedaten in öffentlich gemeldeten Lecks offengelegt, und die tatsächliche Zahl ist wahrscheinlich viel höher. Datenbanken wie die “RockYou2024”-Kompilation enthalten fast 10 Milliarden eindeutige Passworteinträge und geben Angreifern ein großes Wörterbuch für Credential-Stuffing-Angriffe in die Hand.
Das Kernproblem ist Passwortwiederverwendung. Wenn ein Dienst gehackt wird, testen Angreifer automatisch das gleiche E-Mail- und Passwort-Paar gegen Tausende anderer Websites — Banken, E-Mail-Anbieter, Cloud-Speicher, soziale Medien. Ein einzelnes durchgesickertes Passwort kann zu einer vollständigen Identitätskompromittierung führen, wenn es deine primäre E-Mail entsperrt, die wiederum jedes andere Konto zurücksetzen kann.
Deshalb ist ein Passwortmanager nicht mehr optional. Die durchschnittliche Person hat 70–100 Online-Konten. Niemand kann sich so viele eindeutige, hochentropische Passwörter merken. Ein Passwortmanager lässt dich für jeden Dienst ein unterschiedliches Zufallspasswort generieren und es sofort abrufen. Du merkst dir ein starkes Hauptpasswort, der Manager kümmert sich um den Rest. In Kombination mit Zwei-Faktor-Authentifizierung beseitigt dieser Ansatz die überwiegende Mehrheit der anmeldungsgestützten Angriffe, bevor sie beginnen.
Passwortträrke nach Länge
Wie lange würde es dauern, dein Passwort zu knacken? Diese Schätzungen basieren auf 2025-Daten von Hive Systems und gehen von einem modernen GPU-Cluster (12× RTX 5090) aus, der bcrypt-Hashes angreift (Kostenfaktor 10):
| Länge | Nur Zahlen | Kleinbuchstaben | + Großbuchstaben | Alle Zeichen | Entropie (alle) |
|---|---|---|---|---|---|
| 6 | Sofort | Sofort | Sofort | 1 Sekunde | 39 Bits |
| 8 | Sofort | 57 Minuten | 4 Tage | 8 Monate | 53 Bits |
| 10 | Sofort | 2 Jahre | 300 Jahre | 58K Jahre | 66 Bits |
| 12 | 3 Minuten | 2.000 Jahre | 880K Jahre | 3 Milliarden Jahre | 79 Bits |
| 14 | 5 Stunden | 2M Jahre | 600M Jahre | 31 Billionen Jahre | 92 Bits |
| 16 | 21 Tage | 477M Jahre | 380B Jahre | 30 Billiarden Jahre | 105 Bits |
| 20 | 5 Jahre | 39T Jahre | 253.000T Jahre | Praktisch niemals | 131 Bits |
| 32 | 1B Jahre | Jenseits des Wärmetods des Universums | 210 Bits |
Die Zeiten setzen Offline-Brute-Force gegen bcrypt-Hashes voraus. Online-Angriffe mit Ratenbegrenzung sind viel langsamer. Schwaches Hashing (MD5, SHA-1) reduziert Zeiten um mehrere Größenordnungen.
Passwort vs. Passphrase
Eine Passphrase ist eine Folge von zufälligen, nicht verwandten Wörtern (z. B. “korrekt-pferd-batterie-klammer”). Hier ist ein Vergleich mit traditionellen Zufallspasswörtern:
| Kriterium | Zufallspasswort | Passphrase |
|---|---|---|
| Beispiel | k7#mQ9$xL2!pN4w | korrekt-pferd-batterie-klammer |
| Typische Länge | 12-20 Zeichen | 20-40 Zeichen |
| Entropie (typisch) | 79-131 Bits | 52-108 Bits (4-7 Wörter) |
| Merkbarkeit | Unmöglich ohne Manager | Moderat — mentale Bilder helfen |
| Tipp-Leichtigkeit | Niedrig — gemischte Symbole | Hoch — normale Wörter |
| Am besten für | Website-Konten (in Manager gespeichert) | Hauptpasswörter, Geräteverschlüsselung |
| NIST-konform | Ja (wenn 15+ Zeichen) | Ja (wenn 15+ Zeichen) |
Wichtige Erkenntnis: Passphrasen tauschen Entropiedichte gegen Merkbarkeit ein. Eine 5-Wort-Zufallspassphrase (~86 Bits) ist leichter zu merken als ein 12-Zeichen-Zufallspasswort (~79 Bits), während sie sicherer ist. Für maximale Sicherheit verwende Zufallspasswörter, die in einem Passwortmanager gespeichert sind.
Häufige Passwortfehler
Nach einer Analyse des Dark Web von NordPass aus 2025 sind die 10 häufigsten Passwörter:
| # | Passwort | Vorkommen | Zeit zum Knacken |
|---|---|---|---|
| 1 | 123456 | 179,9M | Sofort |
| 2 | 123456789 | 67,4M | Sofort |
| 3 | 12345678 | 63,9M | Sofort |
| 4 | password | 46,6M | Sofort |
| 5 | 12345 | 28,3M | Sofort |
| 6 | qwerty | 22,0M | Sofort |
| 7 | 1234567 | 16,3M | Sofort |
| 8 | 1234567890 | 15,8M | Sofort |
| 9 | 111111 | 12,2M | Sofort |
| 10 | qwerty123 | 12,0M | Sofort |
Jeder dieser Werte wird sofort geknackt. Die 5 häufigsten Passwortfehler, die Menschen machen:
- Passwörter wiederverwendet — 80-85% der Menschen verwenden Passwörter über mehrere Websites hinweg wieder. Ein Leck kompromittiert alle deine Konten.
- Persönliche Informationen verwenden — Namen, Geburtstage, Haustiernamen und Adressen sind leicht auf sozialen Medien und öffentlichen Datenbanken zu finden.
- Tastaturmuster — “qwerty,” “asdf” und “zxcv” gehören zu den ersten Kombinationen, die Angreifer versuchen.
- Einfache Ersetzungen — “a” durch “@” ersetzen oder “e” durch “3” (Leetspeak) ist den Knackern bekannt und bietet vernachlässigbare Sicherheit.
- Inkrementelle Änderungen — “Passwort1” in “Passwort2” ändern, wenn Rotation erforderlich ist. NIST empfiehlt jetzt ausdrücklich gegen obligatorische Passwortrotation.
Häufig gestellte Fragen
crypto.getRandomValues(), den eingebauten kryptografisch sicheren Zufallszahlengenerator des Browsers — die gleiche API, die von Passwortmanagern wie Bitwarden und 1Password verwendet wird.