Passwort-Generator

Mit dem Passwort-Generator oben erzeugst du in einem Klick ein zufälliges Passwort oder eine Passphrase aus mehreren Wörtern. Alles läuft in deinem Browser: Der Zufall kommt aus der Funktion crypto.getRandomValues, die moderne Browser für kryptografische Zwecke bereitstellen, und das Ergebnis verlässt dein Gerät nicht. Wir speichern nichts, wir sehen nichts, und nach dem Schließen der Seite ist das Passwort verschwunden. Übernimm es deshalb gleich in deinen Passwortmanager.

So benutzt du den Generator

1. Modus wählen: „Zeichen“ für ein klassisches Passwort, „Passphrase“ für eine Folge zufälliger Wörter.
2. Länge einstellen: Im Modus „Zeichen“ zwischen 8 und 64 Zeichen, voreingestellt sind 20. Im Modus „Passphrase“ zwischen 4 und 10 Wörtern, voreingestellt sind 6.
3. Zeichenarten festlegen: Großbuchstaben, Kleinbuchstaben, Ziffern und Sonderzeichen lassen sich einzeln an- und abschalten. Bei der Passphrase wählst du stattdessen das Trennzeichen zwischen den Wörtern.
4. Ähnliche Zeichen vermeiden: Der Schalter wirft Zeichen raus, die man leicht verwechselt, also 0 und O sowie 1, l und I. Praktisch, wenn du das Passwort abtippen oder vorlesen musst.
5. Bewertung ansehen: Unter dem Ergebnis zeigt der Generator die Entropie in Bit und eine Einordnung.
6. Kopieren und speichern: Kopiere das Passwort in deinen Passwortmanager oder direkt in das Formular des Dienstes. Für jedes Konto erzeugst du ein neues.

Wie der Generator die Stärke berechnet

Die Entropie misst, wie viele Möglichkeiten es für ein zufällig erzeugtes Passwort gibt. Sie wird in Bit angegeben, und jedes Bit mehr verdoppelt die Zahl der Kombinationen, die ein Angreifer im schlimmsten Fall durchprobieren muss.

Modus „Zeichen“: Länge × log2(Zeichenvorrat). Der Zeichenvorrat ist die Zahl der Zeichen, aus denen gezogen wird. Kleinbuchstaben allein sind 26 Zeichen, mit Großbuchstaben 52, mit Ziffern 62. Jedes weitere Zeichen im Passwort erhöht die Entropie also um log2 des Vorrats, bei 62 Zeichen um knapp 6 Bit.

Modus „Passphrase“: Die eingebaute deutsche Wortliste hat 2.048 Wörter. Das sind genau 11 Bit pro Wort, weil 2 hoch 11 = 2.048 ist. Sechs Wörter ergeben 66 Bit, acht Wörter 88 Bit. Das Trennzeichen rechnet der Generator nicht mit, es ist ja kein Geheimnis.

Die Einordnung folgt festen Schwellen:

Rechenbeispiele

Du siehst: Länge bringt mehr als exotische Zeichen. 16 Kleinbuchstaben schlagen 8 gemischte Zeichen deutlich.

Was das BSI zur Länge sagt

Das Bundesamt für Sicherheit in der Informationstechnik beschreibt in seinen Empfehlungen für sichere Passwörter zwei Wege:

• kürzer und komplex: mindestens acht Zeichen aus vier Zeichenarten, also Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen,
• lang und weniger komplex: mindestens 25 Zeichen, zum Beispiel aus zwei Zeichenarten oder als Folge von Wörtern.

Für WLAN-Zugänge mit WPA2 oder WPA3 nennt das BSI mindestens 20 Zeichen. Acht Zeichen mit nur drei Zeichenarten hält es für vertretbar, wenn zusätzlich eine Zwei-Faktor-Authentifizierung aktiv ist. Mehr zu den Regeln und typischen Fehlern steht im Ratgeber sicheres Passwort.

Für ein Passwort, das ohnehin der Passwortmanager ausfüllt, musst du nicht am Minimum kratzen. Die Voreinstellung von 20 Zeichen ist ein guter Ausgangspunkt.

Warum der Generator nichts speichert

Ein Passwort-Generator, der Passwörter auf einem Server erzeugt, müsste sie dir über das Internet schicken. Dann gäbe es mindestens einen Moment, in dem jemand anderes das Passwort kennen könnte. Unser Generator vermeidet das: Er läuft als Skript in deinem Browser, nutzt den Zufallsgenerator deines Geräts und zeigt das Ergebnis nur auf deinem Bildschirm an. Es gibt kein Konto, keine Liste vergangener Passwörter und keine Statistik darüber, was erzeugt wurde.

Das hat eine Folge für dich: Wenn du die Seite neu lädst, ist das letzte Passwort weg. Speichere es also, bevor du weiterklickst, am besten direkt im Passwortmanager und nicht in einer Textdatei auf dem Desktop. Das BSI rät ausdrücklich davon ab, Passwörter unverschlüsselt auf dem Rechner abzulegen.

Zeichen-Passwort oder Passphrase?

Beide Varianten sind sicher, wenn sie zufällig erzeugt werden. Sie eignen sich aber für unterschiedliche Fälle.

Zeichen-Passwort für alles, was du nie selbst eintippst: Online-Shops, Foren, Newsletter-Konten, das Kundenkonto beim Stromanbieter. Hier zählt nur die Stärke, merken muss sich das Passwort der Passwortmanager.

Passphrase für die wenigen Passwörter, die du im Kopf haben musst:

• das Masterpasswort deines Passwortmanagers,
• die Anmeldung an Laptop oder Rechner,
• das Passwort deines E-Mail-Postfachs, falls du es auf fremden Geräten eingeben musst.

Das BSI empfiehlt für solche Passphrasen fünf bis sechs zufällig aus dem Wörterbuch gewählte Wörter, getrennt durch Leerzeichen. Wenn dir 66 Bit für dein Masterpasswort zu knapp sind, nimm sieben oder acht Wörter.

Beispiel: Eine Fotografin mit eigenem Portfolio-Blog hat rund 60 Konten, vom Bildarchiv bis zum Druckdienstleister. Sie merkt sich genau zwei Passphrasen aus je sieben Wörtern: eine für den Laptop, eine für den Passwortmanager. Alle anderen Passwörter erzeugt sie mit 20 Zeichen und lässt sie vom Passwortmanager ausfüllen.

Hinweis zu Umlauten und Sonderzeichen

Das BSI rät, auf Umlaute und Zeichen wie ä, ö, ü, ß oder € zu verzichten, weil sie auf ausländischen Tastaturen fehlen oder von manchen Diensten anders kodiert werden. Die Wortliste des Generators enthält deshalb nur Wörter ohne Umlaute und ohne ß, aus „Käse“ wird dort zum Beispiel kein Eintrag, aus „Brücke“ die Schreibweise „bruecke“. Manche Dienste akzeptieren auch bestimmte Sonderzeichen nicht. Schalte die Sonderzeichen dann ab und erhöhe dafür die Länge.

Grenzen des Generators

Ein starkes Passwort allein schützt nicht vor allem. Das solltest du wissen:

• Phishing: Wer sein Passwort auf einer gefälschten Seite eingibt, verliert es, egal wie lang es ist. Wie du solche Seiten erkennst, steht unter Phishing erkennen.
• Wiederverwendung: Das BSI rät, ein Passwort immer nur für einen Zugang zu nutzen. Wird ein Dienst gehackt und dein Passwort veröffentlicht, probieren Angreifer es automatisiert bei anderen Diensten aus.
• Selbst ausgedachte Passwörter: Die Entropie-Rechnung gilt nur für echten Zufall. Ein Passwort wie „Sommer2026!“ hat zwar elf Zeichen aus vier Zeichenarten, ist aber leicht zu erraten. Der Generator bewertet nur, was er selbst erzeugt.
• Zweiter Faktor: Für E-Mail, Bank und Shopping-Konten lohnt sich zusätzlich ein zweiter Faktor oder gleich ein Passkey.

Wenn du wissen willst, wo deine Konten insgesamt stehen, mach den Sicherheits-Check. Er dauert ein paar Minuten und zeigt dir, welche Schritte als Nächstes dran sind. Weitere Ratgeber findest du im Bereich Sicherheit.