So erstellen Sie ein sicheres Passwort, das Sie sich nicht merken müssen

Was macht ein Passwort sicher?

Angreifer raten Passwörter selten einzeln auf einer Login-Seite. Meist stehlen sie bei einem Datenleck eine Datenbank mit gehashten Passwörtern und testen offline Milliarden Kombinationen pro Sekunde, oder sie nutzen Passwörter, die auf anderen Websites geleakt wurden. Ein sicheres Passwort widersteht beidem:

1. Länge. Jedes zusätzliche Zeichen vervielfacht die Zahl möglicher Passwörter.
2. Zufälligkeit. Muster wie Sommer2026! oder P@ssw0rd stehen in jedem Knack-Wörterbuch.
3. Einzigartigkeit. Wird eine Website gehackt, öffnet ein wiederverwendetes Passwort alle anderen Konten.

Länge schlägt Komplexität

Passwortstärke misst man in Bit Entropie: grob gesagt, wie viele Versuche ein Angreifer braucht. Für ein zufälliges Passwort gilt Länge × log₂(Anzahl möglicher Zeichen).

Passworttyp	Beispiel	Ungefähre Entropie
8 zufällige Zeichen, alle Arten	k#9Tq!2m	~52 Bit
12 zufällige Zeichen, alle Arten	Vb7$pLq2!xRw	~78 Bit
16 zufällige Zeichen, alle Arten	8f%Kd2!qZr#Lm9@T	~104 Bit
20 zufällige Kleinbuchstaben	qmzvthkrpwlxbdfjsnye	~94 Bit
6 zufällige Wörter (Passphrase)	Umlaufbahn-Kerze-Mosaik-Fluss-Pflaume-Tiger	~77 Bit (aus einer Liste mit 7.776 Wörtern)

Beachten Sie: 20 Kleinbuchstaben schlagen 12 Zeichen mit Sonderzeichen. Mehr Länge ist der einfachste Weg zu mehr Sicherheit. Jedes Bit verdoppelt den Aufwand des Angreifers, der Unterschied zwischen 52 und 104 Bit ist also astronomisch.

Aktuelle Empfehlungen: Was sich geändert hat

Das NIST, die US-Normungsbehörde, deren Richtlinien zur digitalen Identität (SP 800-63B) Sicherheitsrichtlinien weltweit prägen, empfiehlt inzwischen:

• Länge bevorzugen und lange Passwörter sowie Passphrasen zulassen.
• Erzwungene Zusammensetzungsregeln abschaffen wie „muss ein Sonderzeichen enthalten“, die zu vorhersehbaren Mustern führen.
• Keine regelmäßigen Wechsel mehr erzwingen. Ändern Sie ein Passwort, wenn es Hinweise auf eine Kompromittierung gibt.
• Neue Passwörter mit Listen geleakter Passwörter abgleichen.

Auch das deutsche BSI hat sich vom regelmäßigen Passwortwechsel verabschiedet und empfiehlt lange Passwörter, Passwort-Manager und Zwei-Faktor-Authentisierung.

So erzeugen Sie ein sicheres Passwort

1. Öffnen Sie den kostenlosen sicheren Passwort-Generator.
2. Stellen Sie die Länge auf 16 oder mehr (20 für E-Mail und Onlinebanking).
3. Lassen Sie alle vier Zeichenarten aktiviert, es sei denn, eine Website schränkt sie ein.
4. Schließen Sie verwechselbare Zeichen (I, l, 1, O, 0) aus, falls Sie es je von Hand eintippen.
5. Prüfen Sie die Stärkeanzeige und kopieren Sie das Passwort direkt in Ihren Passwort-Manager.

Der Generator nutzt den kryptografisch sicheren Zufallszahlengenerator Ihres Browsers (crypto.getRandomValues), und nichts wird gespeichert oder gesendet.

Nutzen Sie einen Passwort-Manager

Niemand kann sich 100 einzigartige Zufallspasswörter merken, und Sie sollten es gar nicht erst versuchen. Ein Passwort-Manager speichert sie verschlüsselt, füllt sie für Sie aus und warnt vor wiederverwendeten oder geleakten Passwörtern. Gute Optionen sind Bitwarden, 1Password, Proton Pass und die in Apple-, Google- und Microsoft-Konten und -Browser integrierten Manager.

Dann müssen Sie sich nur noch ein starkes Master-Passwort merken.

Passwörter, die Sie sich merken müssen: Passphrasen

Für Ihren Passwort-Manager, die Anmeldung am Computer und Ihr Smartphone nutzen Sie eine Passphrase: mehrere zufällig gewählte Wörter, etwa Umlaufbahn Kerze Mosaik Fluss Pflaume Tiger. Sie ist lang, stark und viel leichter zu tippen und zu merken als zufällige Sonderzeichen.

• Wählen Sie die Wörter zufällig (Würfel und eine Wortliste oder ein Generator), keine Liedzeile und kein Zitat.
• Nutzen Sie mindestens 5 Wörter, für ein Master-Passwort 6.
• Fügen Sie Trennzeichen oder einen Großbuchstaben hinzu, wenn eine Website das verlangt.

Aktivieren Sie die Zwei-Faktor-Authentisierung (2FA)

Selbst ein perfektes Passwort kann per Phishing gestohlen werden. 2FA fügt einen zweiten Schritt hinzu, sodass ein gestohlenes Passwort allein nicht reicht. Nach Sicherheit geordnet:

1. Passkeys oder Hardware-Sicherheitsschlüssel: phishing-resistent.
2. Authenticator-Apps (6-stellige Codes): gut und weit verbreitet.
3. SMS-Codes: besser als nichts, aber anfällig für SIM-Swapping.

Beginnen Sie mit Ihrem E-Mail-Konto. Wer Ihre E-Mails kontrolliert, kann fast alle anderen Passwörter zurücksetzen.

Passwortfehler, die Sie vermeiden sollten

• Ein Passwort auf mehr als einer Website verwenden.
• Persönliche Angaben: Namen, Geburtstage, Haustiere, Fußballvereine.
• Tastaturmuster: qwertz, 123456, 1q2w3e.
• Vorhersehbare Ersetzungen: P@$$w0rd.
• Eine Zahl an ein altes Passwort hängen: Passwort1 → Passwort2.
• Passwörter per Chat oder E-Mail teilen. Nutzen Sie stattdessen die Teilen-Funktion Ihres Managers.

Häufige Fragen

Wie lang sollte ein Passwort sein?

Mindestens 16 Zeichen für Zufallspasswörter und 5–6 Wörter für Passphrasen. Für E-Mail und Passwort-Manager eher mehr.

Ersetzen Passkeys die Passwörter?

Zunehmend ja. Mit Passkeys melden Sie sich per Fingerabdruck, Gesicht oder PIN Ihres Geräts an, und sie lassen sich nicht phishen. Nutzen Sie sie, wo immer sie angeboten werden, und behalten Sie überall sonst sichere Passwörter.

Wie erfahre ich, ob mein Passwort geleakt wurde?

Dienste wie Have I Been Pwned sowie die Sicherheitschecks in Passwort-Managern und Browsern warnen Sie, wenn Ihre E-Mail-Adresse oder Passwörter in bekannten Datenlecks auftauchen.

Ist ein Online-Passwort-Generator sicher?

Nutzen Sie einen, der Passwörter lokal mit einem kryptografisch sicheren Zufallsgenerator erzeugt und sie nirgendwohin sendet, so wie unseren.

Fazit

Lang, zufällig, nie wiederverwendet. Lassen Sie einen Generator Ihre Passwörter erzeugen, einen Passwort-Manager sie sich merken und die Zwei-Faktor-Authentisierung Sie schützen, wenn etwas schiefgeht.