Generator für sichere Passwörter

Sichere Passwörter, erzeugt auf Ihrem Gerät

Der Passwort-Generator von Fileopia erstellt mit einem Klick Zufallspasswörter, leicht merkbare Passphrasen und numerische PINs. Jedes Zeichen wählt der kryptografisch sichere Zufallszahlengenerator Ihres Browsers (crypto.getRandomValues der Web Crypto API), mit Rejection Sampling, damit alle Zeichen genau gleich wahrscheinlich sind. Nichts wird an einen Server gesendet: Die Passwörter existieren nur auf Ihrem Bildschirm und in Ihrer Zwischenablage, und die Seite funktioniert auch bei deaktivierter Internetverbindung.

Jedes Ergebnis zeigt seine Entropie in Bit, eine verständliche Sicherheitsbewertung und eine Schätzung, wie lange ein Brute-Force-Angriff dauern würde. Sie können bis zu 500 auf einmal erzeugen, einzeln oder alle zusammen kopieren oder als Textdatei herunterladen. Es gibt kein Konto, keine E-Mail und keine Versuche, Ihnen einen Passwort-Manager zu verkaufen.

Was Sie erzeugen können

• Zufallspasswort: 4 bis 128 Zeichen aus Klein- und Großbuchstaben, Ziffern und Symbolen. Jeder aktivierte Zeichensatz kommt mindestens einmal vor, was die Passwortregeln der meisten Websites erfüllt.
• Passphrase: 3 bis 12 zufällige Wörter aus der langen EFF-Liste (7776 englische Wörter), mit wählbarem Trennzeichen (Bindestrich, Leerzeichen, Punkt, Unterstrich, keins oder eine zufällige Ziffer zwischen den Wörtern), optionaler Großschreibung und optionaler Zahl. Leicht auf dem Smartphone zu tippen und leicht zu merken.
• PIN: zufällige Ziffern zum Entsperren des Smartphones, für Karten, Türcodes und Backup-Codes der Zwei-Faktor-Authentifizierung.
• Ähnliche Zeichen vermeiden: Entfernt I, l, 1, O, 0, o und |, damit Passwörter, die Sie vorlesen oder von Papier abschreiben, nicht verwechselt werden.
• Zeichen ausschließen: Entfernen Sie Symbole, die eine Website ablehnt, etwa Anführungszeichen, Klammern oder Leerzeichen.
• Stapelerzeugung: bis zu 500 Passwörter auf einmal zum Anlegen von Konten oder für Testdaten, als TXT herunterladbar.
• Stärkeprüfung: Geben Sie ein vorhandenes Passwort ein, um eine grobe Schätzung seiner Stärke zu sehen; erkennt die häufigsten Passwörter, Wörterbuchwörter, Jahreszahlen und Tastaturfolgen. Es verlässt nie die Seite.

So erstellen Sie ein sicheres Passwort

• Wählen Sie Zufallspasswort für Konten, die Sie in einem Passwort-Manager speichern, oder Passphrase für die wenigen Passwörter, die Sie sich merken müssen (die Computeranmeldung, das Master-Passwort des Managers).
• Legen Sie die Länge fest: 16 Zeichen oder 5–6 Wörter sind ein guter Standard.
• Lassen Sie alle Zeichensätze aktiviert, sofern eine Website sie nicht einschränkt; aktivieren Sie *Ähnliche Zeichen vermeiden*, wenn Sie es von Hand eintippen.
• Klicken Sie bei einem Passwort auf Kopieren und fügen Sie es in das Registrierungsformular ein; speichern Sie es dann in Ihrem Passwort-Manager oder im Browser.
• Klicken Sie auf Neu erzeugen für eine neue Runde oder auf Liste herunterladen für viele auf einmal.

Wie viel Sicherheit ist genug?

Die Stärke eines Passworts wird in Bit Entropie gemessen: die Zahl der Versuche, die ein Angreifer bräuchte, ausgedrückt als Zweierpotenz. Jedes zusätzliche Bit verdoppelt den Aufwand. Die Entropie eines Zufallspassworts ist seine Länge × log₂(Größe des Zeichensatzes). Mit den 94 druckbaren Zeichen fügt jedes Zeichen etwa 6,55 Bit hinzu; nur mit Ziffern 3,32 Bit. Jedes zufällig aus der EFF-Liste mit 7776 Wörtern gewählte Wort fügt 12,9 Bit hinzu.

Die Tabelle unten geht von einem Angreifer aus, der eine Datenbank mit Passwort-Hashes gestohlen hat und 10 Milliarden Versuche pro Sekunde testen kann – realistisch bei einem schnellen, ungesalzenen Hash auf modernen Grafikkarten. Langsame Hashes wie bcrypt oder Argon2 verringern diese Geschwindigkeit um den Faktor Tausende oder Millionen, und Online-Angriffe auf eine Anmeldeseite sind noch langsamer. Die Zeiten sind Durchschnittswerte (die Hälfte des Suchraums).

Als Faustregel gilt: 72 Bit oder mehr sind sicher für fast jedes Konto, und 100 Bit oder mehr sind sehr sicher. Das entspricht einem 12-stelligen Passwort mit allen Zeichensätzen, einem 16-stelligen für mehr Reserve oder einer Passphrase aus sechs Wörtern.

Passwörter und Passphrasen im Vergleich

Ein 16-stelliges Zufallspasswort wie `Ut)9NwMw/zt?KMH2` ist sehr sicher, aber kaum zu merken – und das ist in Ordnung, denn ein Passwort-Manager merkt es sich für Sie. Eine Passphrase wie `Quarry-Subsystem-Flashback-Atom-Patriot` bietet pro Tastenanschlag auf der Handytastatur eine ähnliche Sicherheit und prägt sich nach einigen Anwendungen ein. Die Wörter muss der Generator zufällig wählen, nicht Sie: Menschen wählen vorhersehbare Sätze, Liedtexte und Zitate, und genau die probieren Angreifer zuerst.

Warum Ihre Passwörter einzigartig sein müssen

Die größte Gefahr ist nicht, dass ein Angreifer ein sicheres Passwort errät, sondern dass ein wiederverwendetes Passwort bei einer Website durchsickert und dann bei allen anderen ausprobiert wird: eine Technik namens Credential Stuffing. Im Internet kursieren Milliarden geleakter Kombinationen aus Benutzername und Passwort. Ist das Passwort Ihres Onlineshops dasselbe wie das Ihrer E-Mail, liefert ein Datenleck beim Shop Ihr E-Mail-Konto aus – und damit das Zurücksetzen der Passwörter für alles andere. Erzeugen Sie für jedes Konto ein anderes Passwort und lassen Sie einen Passwort-Manager oder Ihren Browser sie speichern.

Muster, die ein Passwort schwach machen

• Wörterbuchwörter mit kleinen Änderungen: Sommer2024!, P@ssw0rd, Berlin123. Cracking-Tools probieren jedes Wort zuerst mit den häufigsten Ersetzungen, Großschreibungen und Jahreszahlen.
• Persönliche Informationen: Namen, Geburtstage, Haustiernamen, Telefonnummern, Kennzeichen und Fußballvereine sind in sozialen Netzwerken leicht zu finden.
• Tastaturmuster und Folgen: qwertz, 1q2w3e4r, asdfgh, 123456, abcd.
• Geringe Länge: Ein 8-stelliges Passwort, selbst mit Symbolen, kann ein entschlossener Angreifer mit einem gestohlenen Hash in Stunden per Brute Force knacken.
• Wiederverwendung mit Zähler: Passwort1, Passwort2, Passwort3, wenn ein Wechsel erzwungen wird.
• Von Menschen gewählte „zufällige“ Zeichenfolgen: Menschen bevorzugen bestimmte Buchstaben und Positionen; echte Zufälligkeit kommt von einem Generator.

So funktioniert der Generator

Wenn Sie auf *Neu erzeugen* klicken, fordert die Seite von der Web Crypto API des Browsers 32-Bit-Zufallszahlen an. Um ein Zeichen aus einem Satz von beispielsweise 70 Zeichen zu wählen, verwirft sie jede Zahl aus dem kleinen Restbereich oberhalb des größten Vielfachen von 70 und zieht neu. Dieses Rejection Sampling beseitigt den „Modulo-Bias“ einfacher Generatoren, bei denen manche Zeichen etwas häufiger vorkommen. Zuerst wird ein Zeichen aus jedem aktivierten Satz platziert, der Rest wird aus dem kombinierten Satz aufgefüllt und die ganze Zeichenfolge mit dem Fisher-Yates-Algorithmus aus derselben unverzerrten Zufallsquelle gemischt.

Passphrasen wählen Wörter auf dieselbe Weise aus der langen EFF-Liste, die die Electronic Frontier Foundation für Würfel-Passphrasen entworfen hat: 7776 gängige, unterscheidbare und leicht zu buchstabierende englische Wörter, sodass jedes Wort genau log₂(7776) ≈ 12,9 Bit beiträgt. Die Liste wird nur dann von dieser Website geladen, wenn Sie den Passphrasen-Modus wählen.

Sie können es selbst prüfen: Öffnen Sie die Entwicklertools des Browsers, sehen Sie sich den Netzwerk-Tab an und erzeugen Sie Passwörter: Es wird keine Anfrage gesendet. Oder trennen Sie die Internetverbindung und erzeugen Sie weiter.

Passwortregeln von Websites

Viele Websites verlangen mindestens einen Großbuchstaben, eine Ziffer und ein Symbol, manche lehnen bestimmte Symbole ab oder begrenzen die Länge. Mit allen vier aktivierten Zeichensätzen enthält jedes erzeugte Passwort mindestens ein Zeichen aus jedem Satz. Lehnt eine Website ein Symbol ab, tragen Sie es unter *Zeichen ausschließen* ein. Begrenzt eine Website die Länge, etwa auf 12 oder 20 Zeichen, passen Sie die Länge entsprechend an, behalten Sie aber für gute Sicherheit mindestens 12 Zeichen. Die aktuellen Richtlinien des US-amerikanischen National Institute of Standards and Technology (NIST SP 800-63B) empfehlen, dass Websites lange Passwörter und Passphrasen zulassen, neue Passwörter gegen Listen geleakter Passwörter prüfen und auf willkürliche Kompositionsregeln und regelmäßige Wechsel verzichten; viele Websites haben sie aber noch, daher unterstützt der Generator beide Stile.

Passwörter sicher aufbewahren

• Nutzen Sie einen Passwort-Manager: Bitwarden, 1Password, KeePassXC, den in Ihren Browser integrierten oder den Schlüsselbund Ihres Smartphones. Dann müssen Sie sich nur eine sichere Passphrase merken.
• Aktivieren Sie die Zwei-Faktor-Authentifizierung (eine Authenticator-App oder einen Sicherheitsschlüssel) für E-Mail, Banking, soziale Netzwerke und Ihren Passwort-Manager.
• Speichern Sie Passwörter nicht in Textdateien, E-Mail-Entwürfen oder Chatnachrichten. Wenn Sie eine Liste von dieser Seite herunterladen, übertragen Sie die Passwörter in einen Manager und löschen Sie die Datei.
• Wenn Sie fürchten, Ihre Master-Passphrase zu vergessen, schreiben Sie sie auf Papier und bewahren Sie es an einem sicheren Ort zu Hause auf: Papier kann nicht aus der Ferne gehackt werden.
• Ändern Sie ein Passwort sofort, wenn eine Website Sie über ein Datenleck informiert – und überall sonst, wo Sie dasselbe verwendet haben.

PINs und Codes

Eine 4-stellige PIN hat nur 10.000 Möglichkeiten, eine 6-stellige eine Million. Das ist nur akzeptabel, weil Smartphones und Bankkarten nach wenigen Fehlversuchen sperren oder sich löschen. Vermeiden Sie 1234, 0000, Geburtsjahre und wiederholte Ziffern, die zusammen einen großen Teil der echten PINs ausmachen. Der PIN-Modus wählt jede Ziffer gleichverteilt zufällig. Für alles, was offline angegriffen werden kann (eine verschlüsselte Datei oder ein Backup), verwenden Sie stattdessen ein langes Passwort oder eine Passphrase.

Stapelpasswörter für Teams und Tests

Administratoren, die Konten für eine Klasse, ein Büro oder eine Testumgebung anlegen, können bis zu 500 einzigartige Passwörter auf einmal erzeugen und als Textdatei herunterladen, eines pro Zeile, bereit zum Einfügen in eine Tabelle neben den Benutzernamen. Bitten Sie jede Person, ihr Startpasswort bei der ersten Anmeldung zu ändern. Da alles lokal erzeugt wird, wird die Liste nie auf einem Server gespeichert.

Datenschutz

Die Passwörter werden in Ihrem Browser erzeugt, und Fileopia überträgt, protokolliert oder speichert sie nie. Die Seite verwendet keine Cookies oder Analysen für die Werte, die Sie erstellen oder prüfen. Die Stärkeprüfung analysiert den eingegebenen Text vollständig innerhalb der Seite und sendet ihn nirgendwohin; sie fragt keine Leak-Datenbanken ab, weil dafür Daten Ihr Gerät verlassen müssten.

Verwandte Tools

• Hash-Generator
• PDF schützen
• QR-Code-Generator
• UUID-Generator
• Base64-Kodierer