Skip to main content

Passwortgenerator

Erstelle sofort starke, zufällige Passwörter. Völlig im Browser — nichts verlässt deinen Browser.

100% im Browser Keine Anmeldung Sofort
Länge 16
Großbuchstaben A–Z
Kleinbuchstaben a–z
Zahlen 0–9
Symbole !@#$%^&*()
Mehrdeutige ausschließen O 0 I l 1 |
Anzahl:
Vollständig in deinem Browser mit crypto.getRandomValues() generiert. Nichts wird an einen Server gesendet.

So verwendest du den Passwortgenerator

1

Wähle deinen Modus

Wähle “Zufällig” für zeichenbasierte Passwörter, “Passphrase” für wortbasierte Passwörter oder “PIN” für Zahlencodes.

2

Passe Einstellungen an

Stelle deine gewünschte Länge ein, aktiviere oder deaktiviere Zeichentypen und wähle Voreinstellungen für übliche Längen.

3

Kopieren & verwenden

Dein Passwort wird sofort generiert. Klicke “Kopieren”, um es in die Zwischenablage zu speichern, oder erzeuge ein neues.

Was macht ein starkes Passwort aus?

Nach NIST SP 800-63B (2024) und CISA-Richtlinien hängt die Passwortsträrke von drei Faktoren ab: Länge, Zufälligkeit und Eindeutigkeit. Die aktualisierten Bundesstandards verzichten auf Anforderungen zur Komplexität (Groß-/Kleinschreibung, Sonderzeichen) zugunsten längerer Passwörter, da jeder zusätzliche Buchstabe die Schwierigkeit von Brute-Force-Angriffen exponentiell erhöht.

Hier sind 5 Regeln für die Erstellung starker Passwörter im Jahr 2026:

Warum starke Passwörter 2026 wichtig sind

Datenlecks sind keine seltenen Ereignisse mehr — sie sind konstant. Allein 2024 wurden über 1,7 Milliarden Anmeldedaten in öffentlich gemeldeten Lecks offengelegt, und die tatsächliche Zahl ist wahrscheinlich viel höher. Datenbanken wie die “RockYou2024”-Kompilation enthalten fast 10 Milliarden eindeutige Passworteinträge und geben Angreifern ein großes Wörterbuch für Credential-Stuffing-Angriffe in die Hand.

Das Kernproblem ist Passwortwiederverwendung. Wenn ein Dienst gehackt wird, testen Angreifer automatisch das gleiche E-Mail- und Passwort-Paar gegen Tausende anderer Websites — Banken, E-Mail-Anbieter, Cloud-Speicher, soziale Medien. Ein einzelnes durchgesickertes Passwort kann zu einer vollständigen Identitätskompromittierung führen, wenn es deine primäre E-Mail entsperrt, die wiederum jedes andere Konto zurücksetzen kann.

Deshalb ist ein Passwortmanager nicht mehr optional. Die durchschnittliche Person hat 70–100 Online-Konten. Niemand kann sich so viele eindeutige, hochentropische Passwörter merken. Ein Passwortmanager lässt dich für jeden Dienst ein unterschiedliches Zufallspasswort generieren und es sofort abrufen. Du merkst dir ein starkes Hauptpasswort, der Manager kümmert sich um den Rest. In Kombination mit Zwei-Faktor-Authentifizierung beseitigt dieser Ansatz die überwiegende Mehrheit der anmeldungsgestützten Angriffe, bevor sie beginnen.

Passwortträrke nach Länge

Wie lange würde es dauern, dein Passwort zu knacken? Diese Schätzungen basieren auf 2025-Daten von Hive Systems und gehen von einem modernen GPU-Cluster (12× RTX 5090) aus, der bcrypt-Hashes angreift (Kostenfaktor 10):

LängeNur ZahlenKleinbuchstaben+ GroßbuchstabenAlle ZeichenEntropie (alle)
6SofortSofortSofort1 Sekunde39 Bits
8Sofort57 Minuten4 Tage8 Monate53 Bits
10Sofort2 Jahre300 Jahre58K Jahre66 Bits
123 Minuten2.000 Jahre880K Jahre3 Milliarden Jahre79 Bits
145 Stunden2M Jahre600M Jahre31 Billionen Jahre92 Bits
1621 Tage477M Jahre380B Jahre30 Billiarden Jahre105 Bits
205 Jahre39T Jahre253.000T JahrePraktisch niemals131 Bits
321B JahreJenseits des Wärmetods des Universums210 Bits

Die Zeiten setzen Offline-Brute-Force gegen bcrypt-Hashes voraus. Online-Angriffe mit Ratenbegrenzung sind viel langsamer. Schwaches Hashing (MD5, SHA-1) reduziert Zeiten um mehrere Größenordnungen.

Passwort vs. Passphrase

Eine Passphrase ist eine Folge von zufälligen, nicht verwandten Wörtern (z. B. “korrekt-pferd-batterie-klammer”). Hier ist ein Vergleich mit traditionellen Zufallspasswörtern:

KriteriumZufallspasswortPassphrase
Beispielk7#mQ9$xL2!pN4wkorrekt-pferd-batterie-klammer
Typische Länge12-20 Zeichen20-40 Zeichen
Entropie (typisch)79-131 Bits52-108 Bits (4-7 Wörter)
MerkbarkeitUnmöglich ohne ManagerModerat — mentale Bilder helfen
Tipp-LeichtigkeitNiedrig — gemischte SymboleHoch — normale Wörter
Am besten fürWebsite-Konten (in Manager gespeichert)Hauptpasswörter, Geräteverschlüsselung
NIST-konformJa (wenn 15+ Zeichen)Ja (wenn 15+ Zeichen)

Wichtige Erkenntnis: Passphrasen tauschen Entropiedichte gegen Merkbarkeit ein. Eine 5-Wort-Zufallspassphrase (~86 Bits) ist leichter zu merken als ein 12-Zeichen-Zufallspasswort (~79 Bits), während sie sicherer ist. Für maximale Sicherheit verwende Zufallspasswörter, die in einem Passwortmanager gespeichert sind.

Häufige Passwortfehler

Nach einer Analyse des Dark Web von NordPass aus 2025 sind die 10 häufigsten Passwörter:

#PasswortVorkommenZeit zum Knacken
1123456179,9MSofort
212345678967,4MSofort
31234567863,9MSofort
4password46,6MSofort
51234528,3MSofort
6qwerty22,0MSofort
7123456716,3MSofort
8123456789015,8MSofort
911111112,2MSofort
10qwerty12312,0MSofort

Jeder dieser Werte wird sofort geknackt. Die 5 häufigsten Passwortfehler, die Menschen machen:

Häufig gestellte Fragen

Ja. Dieser Generator läuft vollständig in deinem Browser mit JavaScript. Passwörter werden niemals an einen Server gesendet. Er verwendet crypto.getRandomValues(), den eingebauten kryptografisch sicheren Zufallszahlengenerator des Browsers — die gleiche API, die von Passwortmanagern wie Bitwarden und 1Password verwendet wird.
Ein starkes Passwort hat drei Eigenschaften: Länge (mindestens 16 Zeichen, nach CISA-Empfehlungen), Zufälligkeit (keine Wörterbuch-Wörter, Namen, Daten oder Muster) und Eindeutigkeit (nie über Konten hinweg wiederverwendet). NIST verzichtete auf obligatorische Sonderzeichenanforderungen zugunsten der Länge, da jedes zusätzliche Zeichen die Schwierigkeit von Brute-Force-Angriffen exponentiell erhöht.
NIST empfiehlt jetzt ein Minimum von 15 Zeichen für die Authentifizierung mit einem Faktor (SP 800-63B Rev. 4). CISA empfiehlt 16 oder mehr Zeichen. Für Authentifizierung mit mehreren Faktoren sind 8 Zeichen das Minimum. Der Sweet Spot für die meisten Benutzer liegt bei 16-20 Zeichen — lang genug, um Jahrzehnte sicher zu sein, handhabbar mit einem Passwortmanager.
Eine Passphrase ist eine Folge von 4-7 zufälligen, nicht verwandten Wörtern (z. B. “korrekt-pferd-batterie-klammer”). Eine 5-Wort-Zufallspassphrase hat etwa 86 Bits Entropie — stärker als ein 12-Zeichen-komplexes Passwort (~79 Bits) — während sie leichter zu merken ist. Passphrasen sind ideal für Hauptpasswörter, in denen du aus dem Gedächtnis tippen musst. Für Website-Konten sind Zufallszeichenpasswörter, die in einem Passwortmanager gespeichert sind, gleich sicher und prakтischer.
NIST empfiehlt nicht länger Routineänderungen von Passwörtern. Die aktualisierten 2024-Richtlinien besagen ausdrücklich, dass Organisationen “keine” periodische Passwortrotation verlangen dürfen, wenn es keine Anhaltspunkte für einen Kompromiss gibt. Erzwungene Änderungen führten zu vorhersehbaren Mustern. Ändere dein Passwort nur, wenn du verdachst, dass es kompromittiert wurde, ein Dienst einen Datenleck meldet oder du das Passwort geteilt hast und den Zugriff widerrufen möchtest.
Entropie misst die Unvorhersehbarkeit eines Passworts in Bits. Die Formel ist E = log2(R^L), wobei R die Zeichenpoolsgröße und L die Passwortlänge ist. Jedes Bit verdoppelt die Anzahl möglicher Kombinationen. Unter 35 Bits ist schwach (geknackt in Minuten), 60-75 Bits ist stark, 75-100 ist sehr stark und 100+ Bits ist ausgezeichnet. Ein 16-Zeichen-Passwort mit allen Zeichentypen hat etwa 105 Bits Entropie.
Zwei-Faktor-Authentifizierung erfordert einen zweiten Verifizierungsschritt über dein Passwort hinaus — typischerweise einen Code aus einer Authenticator-App, SMS oder einem Hardware-Sicherheitsschlüssel. Auch wenn dein Passwort gestohlen wird, kann der Angreifer dein Konto ohne den zweiten Faktor nicht zugreifen. Authenticator-Apps (Google Authenticator, Authy) sind sicherer als SMS, und Hardware-Schlüssel (YubiKey) sind die sicherste Option. Aktiviere 2FA mindestens bei E-Mail, Banking und sozialen Medien.
Angreifer verwenden mehrere Methoden: Brute Force versucht jede Kombination (schnell für kurze Passwörter, unpraktisch für 16+ Zeichen). Wörterbuch-Angriffe versuchen häufige Wörter, Namen und durchgesickerte Passwörter. Credential Stuffing verwendet gestohlene Nutzername/Passwort-Paare aus einem Leck, um sich auf anderen Websites anzumelden. Rainbow Tables verwenden vorgenerierte Hash-Lookups für Offline-Knacken. Phishing täuscht dich dazu, Anmeldedaten auf gefälschten Websites einzugeben. Ein Zufallspasswort mit 16 Zeichen besiegt Brute-Force- und Wörterbuch-Angriffe; eindeutige Passwörter besiegen Credential Stuffing.
Ja. CISA, NIST und jede große Sicherheitsorganisation empfehlen die Verwendung eines Passwortmanagers. Er generiert, speichert und füllt starke eindeutige Passwörter für jedes Konto automatisch aus — du merkst dir nur ein Hauptpasswort. Dies eliminiert Passwortwiederverwendung, die Nummer eins Ursache von Kontoübernahmen. Ein Passwortgenerator (wie dieses Tool) erstellt die Passwörter; ein Passwortmanager speichert sie. Beliebte Optionen sind Bitwarden (kostenlos/Open Source), 1Password und Dashlane.
Ja, völlig kostenlos ohne Limits. Keine Anmeldung, kein Konto erforderlich, keine Beschränkungen, wie viele Passwörter du generieren kannst. Das Tool läuft in deinem Browser ohne Server-Interaktion. Verwende es so viel wie nötig.

Verwandte Tools

Funktion vorschlagen

0 / 2000