Passwort-Generator

Was ein Passwort sicher macht

Sicherheit entsteht durch Unvorhersehbarkeit, gemessen in Bit Entropie. Ein Passwort aus L Zeichen, gleichverteilt aus einem Vorrat von N Zeichen gezogen, hat L × log₂(N) Bit. Mit allen vier Zeichengruppen (76 Zeichen) bringt jedes Zeichen etwa 6,2 Bit, 16 Zeichen ergeben also rund 100 Bit und 20 Zeichen rund 125 Bit: weit mehr, als ein Angreifer durchprobieren kann, selbst bei einem schnellen Hash.

Länge zählt mehr als Komplexität. Die aktuelle NIST-Richtlinie (SP 800-63B) verzichtet auf erzwungene Zusammensetzungsregeln und regelmäßige Wechsel, und auch das BSI empfiehlt lange Passwörter. Am praktischsten ist ein Passwort-Manager, der für jede Seite ein eigenes Passwort mit 16–24 Zeichen erzeugt.

Beispiel

Zwanzig Zeichen aus Klein- und Großbuchstaben, Ziffern und den 14 Sonderzeichen hier: 20 × log₂(76) ≈ 125 Bit. Bei einer Billion Versuchen pro Sekunde dauerte das Erraten weit länger als das Alter des Universums. Eine 6-stellige PIN hat dagegen unter 20 Bit.

Ähnliche Zeichen

Aktiviere ähnliche Zeichen vermeiden, wenn du das Passwort vorliest oder von Papier abtippst: Es entfernt I, l, 1, O, 0 und o bei geringem Entropieverlust.

Jedes Zeichen stammt aus crypto.getRandomValues, dem kryptografisch sicheren Zufallsgenerator des Browsers. Um Verzerrungen zu vermeiden, nutzt die Seite Rejection Sampling: 32-Bit-Zufallszahlen, die einige Zeichen bevorzugen würden, werden verworfen und neu gezogen. Zuerst wird je ein Zeichen aus jeder gewählten Gruppe genommen, der Rest aus dem kombinierten Vorrat aufgefüllt und das Ergebnis mit einem Fisher-Yates-Shuffle aus derselben sicheren Quelle gemischt. Die angezeigte Entropie ist Länge × log₂(Zeichenvorrat). Passwörter entstehen nur im Browser und werden nie gesendet, protokolliert oder gespeichert.