Ein sicheres Passwort erstellen, das man sich merken kann

Die meisten Passwort-Tipps klingen noch wie vor zwanzig Jahren: ein Großbuchstabe, eine Zahl und ein Sonderzeichen. Heraus kommen Passwörter wie Sommer2024! oder Hallo123#, die kompliziert wirken, aber zu den ersten gehören, die Angreifer ausprobieren. Was ein Passwort wirklich sicher macht, ist einfacher und macht den Alltag mit Passwörtern sogar leichter.

Was ein Passwort sicher macht

Ein Passwort ist sicher, wenn es schwer zu erraten ist. Das ehrliche Maß dafür ist, wie viele Möglichkeiten ein Angreifer durchprobieren muss. Zwei Dinge entscheiden darüber: wie lang das Passwort ist und wie zufällig es gewählt wurde.

Die Länge ist der wichtigste Faktor. Jedes zusätzliche zufällige Zeichen vervielfacht die Zahl der möglichen Passwörter. Ein zufälliges Passwort mit 8 Zeichen aus Buchstaben, Ziffern und Sonderzeichen hat etwa 52 Bit Stärke. Eines mit 16 Zeichen kommt auf etwa 104 Bit und ist damit nicht doppelt, sondern billiardenfach schwerer zu knacken.

Genauso wichtig ist der Zufall. Angreifer probieren nicht alle Kombinationen der Reihe nach. Sie starten mit geleakten Passwortlisten, Wörterbüchern, Namen, Daten, Tastaturmustern wie qwertz oder 123456 und den üblichen Tricks wie @ statt a oder 0 statt o. Ein Passwort, das einem menschlichen Muster folgt, ist schwach, egal wie lang es aussieht. Deshalb schlägt ein Generator deine Fantasie: Er hat keine Muster.

Auch offizielle Empfehlungen sehen das inzwischen so. Das BSI rät zu langen Passwörtern und Passphrasen, und das US-amerikanische NIST empfiehlt, auf erzwungene Zeichenregeln und regelmäßige Pflichtwechsel zu verzichten.

Zufallspasswort oder Passphrase?

Ein Zufallspasswort wie 7vQ#mL2x!pR9zT4k ist ideal, wenn sich ein Passwort-Manager es für dich merkt. Eine Passphrase wie orbit-velvet-candle-harbor eignet sich besser für die wenigen Passwörter, die du selbst tippen oder im Kopf behalten musst: das Master-Passwort deines Passwort-Managers, die Anmeldung am Computer oder die Sperre am Handy.

Eine Passphrase ist nur dann stark, wenn die Wörter zufällig gewählt werden und nicht von dir. Bei einer Liste mit 7.776 Wörtern bringt jedes zufällige Wort etwa 12,9 Bit. Vier Wörter ergeben rund 52 Bit, sechs Wörter etwa 78 Bit. Liedzeilen, Zitate und sinnvolle Sätze sind deutlich schwächer, weil sie vorhersehbar sind.

So erstellst du ein sicheres Passwort mit QodeCat

Der Passwort-Generator erzeugt Passwörter in deinem Browser mit der Web Crypto API, also derselben Zufallsquelle, die Browser für Verschlüsselung nutzen. Nichts wird an einen Server geschickt.

1. Öffne den Generator. Er erstellt sofort ein neues Passwort, und eine Anzeige darunter bewertet es als Schwach, Mittel, Gut oder Stark.
2. Stell im Tab Zufallspasswort die Länge ein (6 bis 64, voreingestellt 16) und wähle die Zeichensätze: Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen. Unter Erweitert lässt Leicht lesbar verwechselbare Zeichen wie 1, l, 0 und O weg.
3. Für etwas, das du tippen musst, wechselst du zu Einprägsame Passphrase. Wähle die Wortanzahl (3 bis 10) und ein Trennzeichen (Bindestrich, Unterstrich, Punkt oder Leerzeichen). Für Seiten, die Großbuchstaben oder Ziffern verlangen, gibt es Wörter großschreiben und Zahl einfügen. Die Wörter stammen aus einer englischen Liste.
4. Mit dem Aktualisieren-Button bekommst du ein neues Passwort. Klick auf Kopieren oder direkt auf das Passwort, um es zu kopieren.
5. Füg es ins Registrierungsformular ein und speichere es sofort in deinem Passwort-Manager.

Die Liste Zuletzt erstellt hält deine letzten Ergebnisse fest, solange die Seite offen ist, falls du das falsche kopiert hast. Sie wird nirgends gespeichert und verschwindet, wenn du den Tab schließt.

Die Stärkeanzeige ist eine schnelle Orientierung anhand von Länge und Zeichenvielfalt. Als Faustregel gilt: Für wichtige Konten mindestens 16 zufällige Zeichen oder 5 bis 6 zufällige Wörter.

Typische Fehler

• Ein Passwort mehrfach verwenden. Wird ein Dienst gehackt, probieren Angreifer dieselbe Kombination aus E-Mail und Passwort überall sonst. Jedes Konto braucht sein eigenes.
• Vorhersehbare Ersetzungen wie P@ssw0rt. Die stehen in jedem Knack-Wörterbuch.
• Persönliches verwenden: Namen, Geburtstage, Haustiere, den Lieblingsverein oder die eigene Stadt.
• Eine 1 oder ein ! ans Ende hängen, um eine Regel zu erfüllen. Genau das testen Angreifer zuerst.
• „Zufällige“ Wörter selbst aussuchen. Menschen wählen häufige, zusammenpassende Wörter. Überlass das dem Generator.
• Sich nur auf das Passwort verlassen. Aktiviere die Zwei-Faktor-Authentifizierung für E-Mail, Bank und soziale Netzwerke.

Wie Authenticator-Apps ihre Codes berechnen, kannst du dir im 2FA-Code-Generator ansehen.

Häufige Fragen

Wie lang sollte ein Passwort sein?

Für Zufallspasswörter im Passwort-Manager 16 Zeichen oder mehr. Für eine Passphrase, die du dir merkst, mindestens 5 zufällige Wörter. Begrenzt eine Website die Länge, nutze das Maximum.

Muss ich meine Passwörter regelmäßig ändern?

Nicht, wenn sie stark und einzigartig sind. Ändere ein Passwort, wenn es einen Grund gibt: eine Warnung über ein Datenleck, eine verdächtige Anmeldung oder wenn du es jemandem verraten hast.

Ist es sicher, ein Passwort online zu erstellen?

Ja, wenn das Passwort auf deinem Gerät entsteht und nirgendwohin gesendet wird. So funktioniert dieser Generator. Meide Tools, die Passwörter auf einem Server erzeugen.