Was ist ein Zufallspasswort-Generator?
Ein Zufallspasswort-Generator ist ein Tool, das ein Passwort erstellt, indem es Zeichen mit einem kryptografisch sicheren Zufallszahlengenerator auswählt, statt einen Menschen wählen zu lassen. Menschen sind vorhersehbar: Wir nutzen Namen, Daten, Tastaturmuster und dieselben „Passwort1!“-Varianten, die Angreifer zuerst ausprobieren. Ein Generator hat keine Gewohnheiten, daher ist jedes Zeichen eine unabhängige, unvorhersehbare Wahl.
Dieser Generator für sichere Passwörter läuft komplett in deinem Browser. Er nutzt crypto.getRandomValues, die Web Crypto API, die Browser für Sicherheitsaufgaben bereitstellen, und arbeitet mit Rejection Sampling, damit jedes Zeichen im Pool exakt gleich wahrscheinlich ist (ein einfacher Ansatz mit „Zufallszahl modulo Poolgröße“ würde einige Zeichen leicht bevorzugen). Die Reihenfolge der Zeichen wird anschließend mit derselben sicheren Quelle gemischt.
So generierst du ein sicheres Passwort
- Stell die Länge ein mit dem Schieberegler, von 6 bis 64 Zeichen. Er startet bei 16, und beim Ziehen erscheint jeweils ein neues Passwort.
- Wähl die Zeichentypen: Großbuchstaben (A-Z), Kleinbuchstaben (a-z), Zahlen (0-9) und Sonderzeichen (
!@#$%^&*()-_=+[]{};:,.?/). Standardmäßig sind alle vier aktiv. Das Passwort enthält immer mindestens ein Zeichen aus jedem gewählten Typ. Wenn du alles abwählst, werden Kleinbuchstaben wieder eingeschaltet. - Aktiviere „Ähnliche Zeichen vermeiden (0O1lI)“, wenn du das Passwort jemals vorlesen oder von Papier abtippen wirst. Das entfernt 0, O, 1, l und I.
- Prüf die Stärkeanzeige. Balken und Bezeichnung (Schwach, Mittel, Stark, Sehr stark) basieren auf der Entropie in Bit, die neben der Bezeichnung steht.
- Tippe auf Neu erzeugen für ein neues Passwort mit denselben Einstellungen, dann auf Passwort kopieren, und speichere es direkt in deinem Passwortmanager.
Passwort-Entropie einfach erklärt
Entropie misst, wie viele Versuche ein Angreifer bräuchte, angegeben in Bit. Jedes zusätzliche Bit verdoppelt die Zahl möglicher Passwörter. Die Formel für ein Zufallspasswort lautet: Bit = Länge × log2(Anzahl möglicher Zeichen).
Mit allen vier Zeichentypen wählt dieses Tool aus 86 Zeichen, jedes Zeichen bringt also etwa 6,4 Bit. Ohne ähnliche Zeichen umfasst der Pool 81 Zeichen (etwa 6,3 Bit pro Zeichen).
| Einstellungen | Länge | Entropie | Anzeige |
|---|---|---|---|
| Nur Zahlen (wie eine PIN) | 6 | 20 Bit | Schwach |
| Alle vier Typen | 8 | 51 Bit | Mittel |
| Nur Kleinbuchstaben | 16 | 75 Bit | Stark |
| Alle vier Typen | 12 | 77 Bit | Stark |
| Alle vier Typen | 16 | 103 Bit | Sehr stark |
| Alle vier Typen | 20 | 129 Bit | Sehr stark |
Die Anzeige nutzt diese Stufen: unter 40 Bit Schwach, 40-63 Mittel, 64-95 Stark, ab 96 Sehr stark.
Zur Einordnung: Stell dir einen Angreifer vor, der eine Passwortdatenbank gestohlen hat und 100 Milliarden Versuche pro Sekunde testen kann (ein hypothetischer, gut finanzierter Offline-Angriff). 51 Bit fallen in Stunden. 77 Bit würden im Schnitt Zehntausende Jahre dauern. 103 Bit sind für jede absehbare Hardware unerreichbar. Beachte, dass Länge wichtiger ist als Komplexität: 16 Kleinbuchstaben (75 Bit) sind fast so stark wie 12 Zeichen aller Typen (77 Bit).
Entropie gilt nur für wirklich zufällige Passwörter. „Sommer2026!“ sieht aus, als nutze es vier Zeichentypen, aber Angreifer probieren Wörter, Jahreszahlen und ein Sonderzeichen am Ende zuerst aus, daher ist seine echte Stärke winzig.
Wie lang sollte ein Passwort sein?
- 12 Zeichen (alle Typen): das praktische Minimum für weniger wichtige Konten.
- 16 Zeichen: ein guter Standard für alles, was in einem Passwortmanager gespeichert ist.
- 20 oder mehr: E-Mail, Banking, das Hauptkonto deines Passwortmanagers (als Passphrase, siehe unten) und Admin-Konten. Über dein E-Mail-Konto lässt sich jedes andere Passwort zurücksetzen, also schütze es am stärksten.
Die aktuelle NIST-Richtlinie (SP 800-63B) bevorzugt Länge gegenüber Zusammensetzungsregeln, sagt, dass Passwörter nicht nach Zeitplan geändert werden müssen, solange es keine Hinweise auf eine Kompromittierung gibt, und empfiehlt zum Zeitpunkt des Schreibens mindestens 15 Zeichen, wenn das Passwort der einzige Anmeldefaktor ist. Manche ältere Websites begrenzen die Länge noch auf 12 oder 16 Zeichen oder lehnen bestimmte Sonderzeichen ab; wenn eine Website ein Passwort ablehnt, wähl Sonderzeichen ab oder kürze es, statt auf etwas Merkbares umzusteigen.
Welche Einstellungen du nutzen solltest: Beispiele
- WLAN-Netz: WPA2 und WPA3 akzeptieren 8 bis 63 Zeichen. Nimm 20 oder mehr, wähl Sonderzeichen ab und aktiviere „Ähnliche Zeichen vermeiden“, damit Gäste es eintippen können, oder teile es stattdessen per WLAN-QR-Code.
- Social Media und E-Mail: 16 bis 20 Zeichen, alle Typen aktiv, im Manager gespeichert und mit aktivierter Zwei-Faktor-Authentifizierung.
- Login für Streaming-TV oder Konsole: Tippen mit der Fernbedienung ist mühsam, also nimm 16 bis 20 Zeichen ohne ähnliche Zeichen und ohne Sonderzeichen; die Länge hält es stark.
- Geteiltes Team-Konto (das Instagram eines Ladens, der Website-Admin eines Kunden): Generiere ein neues Passwort, sobald jemand das Team verlässt.
- Verschlüsselte PDF- oder ZIP-Datei: 20 oder mehr Zeichen, weil eine gestohlene Datei offline ohne Begrenzung der Versuche angegriffen werden kann. Schick das Passwort über einen anderen Kanal als die Datei.
Passphrasen: merkbare Passwörter, die trotzdem sicher sind
Eine Passphrase ist ein Passwort aus mehreren zufälligen Wörtern, zum Beispiel orbit-kaktus-laterne-samt-neunzig-feder. Sie ist leichter zu merken und zu tippen als q7#Rk!2vX9@m und kann genauso stark sein, solange die Wörter zufällig gewählt werden und nicht von dir.
Bei der verbreiteten Diceware-Methode wird jedes Wort durch fünf Würfelwürfe aus einer Liste von 7.776 Wörtern gewählt, das ergibt etwa 12,9 Bit pro Wort. Fünf zufällige Wörter bringen etwa 65 Bit, sechs etwa 78 Bit und sieben etwa 90 Bit. Nimm für ein Master-Passwort sechs oder mehr Wörter.
Dieses Tool erzeugt zeichenbasierte Passwörter, keine Wortlisten. Nutze eine Passphrase für die wenigen Passwörter, die du dir merken musst (dein Passwortmanager, dein Computer-Login), und generierte Zeichenpasswörter aus diesem Tool für alles, was im Manager gespeichert ist. Die meisten Passwortmanager haben auch eine Passphrasen-Option.
Warum du einen Passwortmanager brauchst
Starke Zufallspasswörter funktionieren nur, wenn du für jedes Konto ein anderes nutzt, und niemand kann sich 100 davon merken. Ein Passwortmanager speichert sie verschlüsselt hinter einer Master-Passphrase, füllt sie für dich aus und warnt dich vor wiederverwendeten oder geleakten Passwörtern.
- Eingebaute Optionen: Apple Passwörter (iPhone, Mac), Google Passwortmanager (Chrome, Android) und Microsoft Edge speichern und synchronisieren Passwörter kostenlos.
- Eigenständige Manager: Bitwarden, 1Password, Proton Pass und Apps im Stil von KeePass funktionieren in jedem Browser und auf jedem Gerät und bieten zusätzlich Teilen und Sicherheitsberichte.
- Aktiviere Zwei-Faktor-Authentifizierung (eine Authenticator-App oder einen Passkey) für E-Mail, Banking und Social-Media-Konten. Wo eine Website Passkeys anbietet, sind sie noch widerstandsfähiger gegen Phishing als Passwörter.
Passwort vs. Passphrase vs. Passkey
| Zufallspasswort | Passphrase | Passkey | |
|---|---|---|---|
| Beispiel | v9#Tq2!mZr$8kLp@ | orbit-kaktus-laterne-samt-neunzig-feder | Anmeldung per Fingerabdruck, Gesicht oder Geräte-PIN |
| Am besten für | Konten, die im Passwortmanager gespeichert sind | Passwörter, die du dir merken musst | Websites, die Passkeys unterstützen |
| Merkbar | Nein | Ja | Nichts zu merken |
| Phishing-Risiko | Kann auf einer gefälschten Website eingegeben werden | Kann auf einer gefälschten Website eingegeben werden | An die echte Website gebunden, daher widerstandsfähig |
Passkeys verbreiten sich bei Google, Apple, Microsoft, Amazon und vielen anderen Diensten, aber die meisten Websites brauchen weiterhin ein Passwort, und viele Passkey-Konten behalten ein Passwort als Backup. Ein generiertes Passwort plus Zwei-Faktor-Authentifizierung bleibt für alles andere der richtige Standard.
Häufige Passwort-Fehler, die du vermeiden solltest
- Passwörter wiederverwenden. Wenn eine Website gehackt wird, probieren Angreifer dieselbe E-Mail und dasselbe Passwort überall aus („Credential Stuffing“). Ein eigenes Passwort pro Konto verhindert das.
- Kleine Änderungen an alten Passwörtern. „Berlin@2025“ in „Berlin@2026“ zu ändern, ist die erste Variante, die ein Angreifer ausprobiert.
- Persönliche Informationen. Namen, Geburtstage, Haustiernamen, Telefonnummern und dein Instagram-Handle sind online leicht zu finden.
- Passwörter in Notizen oder Chats speichern. Eine Notizen-App, eine WhatsApp-Nachricht an dich selbst oder eine Tabelle ist nicht so verschlüsselt wie ein Passwortmanager.
- Kurze Passwörter mit vielen Sonderzeichen. 8 Zeichen aller Typen (51 Bit) sind schwächer als 16 Kleinbuchstaben (75 Bit).
- Teilen per Screenshot. Wenn du Zugang mit einem Teammitglied teilen musst, nutze die Teilen-Funktion deines Passwortmanagers.
Ist dieser Passwort Generator sicher?
Ja. Passwörter werden auf deinem Gerät per JavaScript mit dem kryptografischen Zufallszahlengenerator des Browsers erzeugt. Nichts wird an unseren Server gesendet, nichts wird gespeichert, und die Seite stellt keine Netzwerkanfragen, wenn du ein Passwort erzeugst oder kopierst; das kannst du in den Entwicklertools deines Browsers unter Netzwerk prüfen. Jedes Passwort existiert nur auf deinem Bildschirm und in deiner Zwischenablage, bis du es speicherst. Wie bei jedem kopierten Geheimnis gilt: Leere auf gemeinsam genutzten Computern deine Zwischenablage.
Schütze die Konten hinter deinem Link in Bio
Deine Instagram-, E-Mail- und Link-in-Bio-Konten sind die Eingangstür zu deinem Business, also verdient jedes ein eigenes generiertes Passwort und Zwei-Faktor-Authentifizierung. Wenn du deine Biolinko-Seite erstellst, nimm ein Passwort aus diesem Tool und speichere es in deinem Manager. Weitere praktische kostenlose Tools: der QR-Code-Generator und der UTM-Builder.
Aktualisiert am 8. Oktober 2026