Beliebte Tools

Design

Passwort-Generator

Erzeugen Sie ein sicheres Zufallspasswort, eine Passphrase aus zufälligen Wörtern oder eine PIN, mit der exakten Stärke in Bit und der Zeit, die ein Angriff zum Knacken bräuchte. Dieser Passwort-Generator (auch Kennwort-Generator) arbeitet ganz in Ihrem Browser: Nichts, was Sie erzeugen, wird irgendwohin gesendet.

Web-Crypto-Zufall ohne Modulo-Verzerrung · EFF-Liste mit 7.776 Wörtern · in Ihrem Browser erzeugt, nie gesendet oder gespeichert
Sehr stark16 Zeichen · 104,6 Bit · Etwa 1031,2 Versuche
Wird erzeugt…
Bit pro Zeichen16 × 6,55 − 0,28 · Jede gewählte Art mindestens einmal = 104,6 Bit
0128

In Ihrem Browser mit crypto.getRandomValues erzeugt. Nichts wird gesendet oder gespeichert.

Verwenden

Sicheres Passwort erstellen: Wie lang sollte es sein?

Mindestens 15 Zeichen, wenn das Passwort das Konto allein schützt, so das NIST-Minimum seit Juli 2025, und mindestens 8, wenn es nur ein Teil der Zwei-Schritt-Anmeldung ist. Dieser Generator erzeugt standardmäßig 16, die Länge, die die CISA empfiehlt.

Das sind die Regeln der NIST SP 800-63B-4 und der CISA. Jedes zufällige Zeichen aus allen 94 Buchstaben, Ziffern und Sonderzeichen bringt 6,55 Bit, und jedes Bit verdoppelt die Versuche, die ein Angreifer braucht (EFF): 16 Zeichen mit jeder Art mindestens einmal tragen 104,6 Bit, für eine Grafikkarte etwa 10¹² Jahre, selbst gegen die NTLM-Hashes von Windows, die am schnellsten zu knacken sind.

16 passt auch auf die meisten Websites: Unter den Websites mit bekanntem Maximum in den Passwortregeln-Daten von Apple akzeptieren drei von vier 16 Zeichen, und 16 ist die häufigste Grenze. Verwechselbare Zeichen wegzulassen kostet bei dieser Länge 2,7 Bit; nur Buchstaben und Ziffern 9,4 Bit.

Diese Zahlen gelten nur für zufällig gezogene Zeichen. Wie ein selbst ausgedachtes Passwort abschneidet, zeigt der Passwort-Test.

Stärke nach Längeexakte Bit, jede gewählte Art mindestens einmal
LängeAlle 94 ZeichenOhne verwechselbare (84)Buchstaben und Ziffern (62)
851,3 Bit49,9 Bit47,2 Bit
1278,1 Bit76,1 Bit71,3 Bit
15NIST-Minimum98,0 Bit95,5 Bit89,2 Bit
16Standard · CISA104,6 Bit101,9 Bit95,2 Bit
20130,9 Bit127,6 Bit119,0 Bit
24157,2 Bit153,3 Bit142,9 Bit
32209,7 Bit204,5 Bit190,5 Bit
  • Mittel
  • Stark
  • Sehr stark
Jedes zusätzliche Bit verdoppelt die Versuche, die ein Angreifer braucht. Die Bit gelten nur für zufällig gezogene Zeichen.
Passwort-Generator: ein zufälliges Passwort mit 16 Zeichen, nach Art eingefärbt, mit Stärke in Bit, Knackzeit und OptionenPasswort-Generator: ein zufälliges Passwort mit 16 Zeichen, nach Art eingefärbt, mit Stärke in Bit, Knackzeit und OptionenDas PasswortNach Zeichenart eingefärbt, bereit zum Kopieren, Testen oder erneuten Erzeugen.Seine StärkeDie Bewertung, die exakten Bit für diese Einstellungen und wie lange ein Angriff dauern würde.Drei ArtenZufällige Zeichen, eine Passphrase aus zufälligen Wörtern oder eine PIN.Die OptionenLänge, Zeichenarten, verwechselbare Zeichen, eigene Sonderzeichen und wie viele auf einmal entstehen.
Ein zufälliges Passwort mit 16 Zeichen, beim Öffnen der Seite erzeugt. Wählen Sie eine Nummer, um zu sehen, was der jeweilige Teil zeigt.

Zufälliges Passwort, Passphrase oder PIN: Was sollten Sie verwenden?

Nehmen Sie zufällige Zeichen für jedes Passwort, das ein Passwortmanager einträgt, eine Passphrase für die wenigen, die Sie tippen oder sich merken, und eine PIN nur dort, wo sich ein Smartphone oder eine Karte nach wenigen Fehlversuchen sperrt.

Bei gleicher Stärke sehen sie sehr verschieden aus: 12 zufällige Zeichen und sechs zufällige Wörter tragen beide etwa 78 Bit. Zufällige Zeichen sind der kürzeste Weg zu einer bestimmten Stärke, was zu Websites mit Längenbegrenzung passt; Wörter lassen sich auf dem Smartphone oder am Fernseher viel leichter tippen und merken. Ein WLAN-Passwort ist ein guter Ort für eine Passphrase, die Sie Gästen als WLAN-QR-Code weitergeben.

Eine PIN ist von Haus aus schwach: Eine 6-stellige PIN ist eine von einer Million, 19,9 Bit. Sie funktioniert nur, weil das Gerät nach wenigen Fehlversuchen stoppt. Deshalb akzeptiert das NIST PINs mit 6 Ziffern, mindestens 4, nur zum Entsperren eines Geräts wie eines Smartphones oder Sicherheitsschlüssels, mit höchstens 10 Fehlversuchen in Folge (NIST SP 800-63B-4).

Das britische NCSC empfiehlt drei zufällige Wörter für Passwörter, die Sie sich merken müssen, und sagt, dass zufällige Passwörter aus einem Passwortmanager noch stärker sind (NCSC).

  1. Zufällige Zeichen

    dhLB#crZj}4F

    12 Zeichen78,1 Bit

    Sehr stark

    Passwörter, die ein Passwortmanager einträgt

  2. Passphrase

    thrill-suitable-exponent-overlaid-duplicate-undercook

    6 Wörter77,5 Bit

    Sehr stark

    Die wenigen, die Sie tippen oder sich merken: Computer, E-Mail, Passwortmanager

  3. PIN

    637727

    6 Ziffern19,9 Bit

    Schwach

    Smartphones und Karten, die nach wenigen Fehlversuchen sperren

Zwölf zufällige Zeichen und sechs zufällige Wörter sind etwa gleich stark. Eine PIN verlässt sich auf die Sperre.

Passphrasen-Generator: Wie viele zufällige Wörter brauchen Sie?

Sechs Wörter, so der Rat der EFF selbst: Jedes zufällig aus ihrer Liste mit 7.776 Wörtern gezogene Wort bringt 12,9 Bit, sechs ergeben also 77,5 Bit, etwa so stark wie 12 zufällige Zeichen. Die CISA akzeptiert vier bis sieben unzusammenhängende Wörter.

Die Stärke kommt aus dem Ziehen, nicht aus den Wörtern: Die lange Liste der EFF hat genau 7.776 Einträge, einen für jeden Wurf mit fünf Würfeln, jedes Wort ist also eine von 7.776 gleich wahrscheinlichen Möglichkeiten (EFF). Der Passphrasen-Generator zieht sie mit demselben Zufall wie die Passwörter.

Trennzeichen und Großbuchstaben bringen 0 Bit, denn ein Angreifer nimmt das Schema an. Eine zufällige Ziffer zwischen den Wörtern bringt 3,3 Bit pro Lücke, und ein weiteres Wort 12,9 Bit; ein siebtes Wort ist also der günstigste Weg zu mehr Stärke.

Selbst gewählte Wörter sind etwas anderes, ebenso berühmte Beispiele: xkcds „correct horse battery staple“, getippt als correcthorsebatterystaple, steht 4.173-mal in den Leak-Daten von Have I Been Pwned, und das „schwere“ Tr0ub4dor&3 des Comics 3.196-mal. Verwenden Sie nie eine Passphrase, die Sie irgendwo gelesen haben, auch nicht das Beispiel auf dieser Seite.

Fünf Würfel, ein WortLange EFF-Liste: 7.776 Wörter
  1. 62234thrill
  2. 61236suitable
  3. 26262exponent
  4. 43232overlaid
  5. 24354duplicate
  6. 63455undercook
+12,9 Bit je Wort6 Wörter: 77,5 Bit
NTLM, eine GPU: 93 Jahre0128
  • Trennzeichen+0 Bit
  • Großbuchstaben+0 Bit
  • Eine zufällige Ziffer zwischen den Wörternje +3,3 Bit
  • Ein Wort mehr+12,9 Bit
Ein für diese Seite gezogenes Beispiel: Verwenden Sie nie eine Passphrase, die Sie veröffentlicht gesehen haben.

Ist ein Online-Passwort-Generator sicher?

Das ist er, wenn das Passwort auf Ihrem eigenen Gerät entsteht und nie gesendet wird, so wie bei diesem: Ihr Browser zieht jedes Zeichen, und kein Passwort erreicht unseren Server, die Seitenadresse oder die Analytics.

Entscheidend für einen sicheren Passwort-Generator ist, woher sein Zufall kommt. Dieser nutzt crypto.getRandomValues des Browsers, den kryptografisch starken Zufallsgenerator des Web-Crypto-Standards (W3C), nie Math.random, das nicht für Geheimnisse gemacht ist.

Die zweite Falle ist, aus einer Zufallszahl ein Zeichen zu machen. Wer die Zahl modulo 94 nimmt, macht die ersten Zeichen etwas wahrscheinlicher; dieser Generator verwirft die 42 übrigen Zahlen, die keinen vollen Satz von 94 ergeben, und zieht neu, die „Simple Discard“-Methode der NIST SP 800-90A. So ist jedes Zeichen genau so wahrscheinlich wie jedes andere.

Wenn jede gewählte Art mindestens einmal vorkommen muss, zieht er das ganze Passwort neu, bis jede da ist, statt von jeder eines einzusetzen und zu mischen. Jedes gültige Passwort bleibt gleich wahrscheinlich, die angezeigten Bit sind also exakt.

Ihr Browser
  1. 1crypto.getRandomValues liefert eine zufällige 32-Bit-Zahl
  2. 2Unter 4.294.967.254 (dem größten Vielfachen von 94)? Behalten; sonst neu ziehen
  3. 3Der Rest nach der Division durch 94 wählt das Zeichen
  4. 4Für jedes Zeichen wiederholen; das ganze Passwort neu ziehen, wenn eine verlangte Art fehlt

Jedes der 94 Zeichen: genau 1 Chance in 94

Unser ServerNichts wird gesendet
Nur 42 der 4.294.967.296 möglichen Zahlen werden je verworfen, die zusätzlichen Züge kosten also nichts, was Sie merken würden.

Warum lehnt eine Website mein erzeugtes Passwort ab?

Weil viele Websites noch die Länge begrenzen oder Sonderzeichen einschränken. Verringern Sie die Länge auf das Maximum der Website, schalten Sie Sonderzeichen aus oder tragen Sie die erlaubten als eigene Sonderzeichen ein, und erzeugen Sie neu.

Das NIST verlangt von Websites, mindestens 64 Zeichen, jedes druckbare Zeichen und Leerzeichen zu akzeptieren und Regeln wie „muss ein Sonderzeichen enthalten“ zu streichen (NIST SP 800-63B-4). Viele haben das noch nicht umgesetzt.

Von den 436 Websites in den Passwortregeln-Daten von Apple, einer Liste, die Passwortmanager teilen, damit ihre Passwörter zu jeder Website passen, setzen 337 eine Höchstlänge, 83 davon unter 16, und etwa vier von fünf verlangen eine Ziffer.

Lassen Sie für solche Websites jede Art verlangt, damit die geforderte Ziffer oder das Sonderzeichen immer dabei ist, und machen Sie das Passwort so lang wie erlaubt: 20 Buchstaben und Ziffern (119 Bit) schlagen 12 Zeichen jeder Art (78 Bit).

Maximale Passwortlänge auf 337 WebsitesPasswortregeln-Daten von Apple, unsere Zählung, 23. Oktober 2026

16: unser Standard · 68 WebsitesNIST: mindestens 64 akzeptieren

99 der 436 Websites in der Liste setzen kein Maximum. 16 ist die häufigste Grenze, und 254 der 337 akzeptieren 16 Zeichen.

Wo sollten Sie ein erzeugtes Passwort aufbewahren?

In einem Passwortmanager: Er hält für jedes Konto ein anderes zufälliges Passwort bereit und trägt es ein, sodass Sie nie eines tippen oder wiederverwenden. Das NIST verlangt von Websites, dass Passwortmanager Passwörter eintragen dürfen, und bittet darum, Einfügen zuzulassen.

Das NIST verweist auf Belege, dass Menschen, die einen Passwortmanager mit Generator nutzen, am Ende stärkere Passwörter haben (NIST SP 800-63B-4). Der eingebaute Manager Ihres Browsers und eine eigene App funktionieren beide; entscheidend ist ein Passwort pro Konto.

Wiederverwendung macht aus einem Leak viele: Angreifer spielen geleakte Paare aus E-Mail-Adresse und Passwort auf anderen Websites durch, ein Angriff namens Credential Stuffing. Im November 2025 lud Have I Been Pwned 1,3 Milliarden einmalige Passwörter aus solchen Listen, 625 Millionen davon nie zuvor gesehen (Troy Hunt).

Ändern Sie ein Passwort, wenn es geleakt sein könnte, nicht nach Zeitplan: Das NIST weist Websites an, keine regelmäßigen Wechsel mehr zu erzwingen. Behalten Sie Passphrasen für die wenigen, die Sie tippen: Ihren Computer, Ihre E-Mail und den Passwortmanager selbst.

Ein geleaktes Passwort, viele Konten
Eine Website wird gehackt

Dieselbe E-Mail-Adresse und dasselbe Passwort, anderswo probiert

Wiederverwendet

  • E-MailGeöffnet
  • BankGeöffnet
  • ShoppingGeöffnet
  • Social MediaGeöffnet

Einmalig

  • E-MailWeiter gesperrt
  • BankWeiter gesperrt
  • ShoppingWeiter gesperrt
  • Social MediaWeiter gesperrt
Credential Stuffing: Angreifer spielen geleakte Paare auf anderen Websites durch. Mit einem eigenen Passwort je Konto bleibt der Leak auf eine Website beschränkt.

Passwort-Generator: Fragen und Antworten

Ist dieser Passwort-Generator kostenlos, und werden die Passwörter gespeichert?

Er ist kostenlos, ohne Anmeldung und ohne Limit. Jedes Passwort entsteht in Ihrem Browser und wird nie an uns gesendet, es gibt also nichts zu speichern: Schließen Sie die Seite, und es ist weg. „Kopieren“ legt das Passwort in Ihre Zwischenablage, und die Seite leert sie nicht. Fügen Sie es daher gleich in die Website oder Ihren Passwortmanager ein.

Ist ein Passwort mit 12 Zeichen stark genug?

Ein zufälliges schon: 12 Zeichen aus allen 94 ergeben etwa 78 Bit, und eine Grafikkarte bräuchte rund 15.000 Jahre, um es zu finden, selbst gegen die schnellen NTLM-Hashes von Windows. Das NIST verlangt aber inzwischen 15 Zeichen, wenn das Passwort der einzige Faktor ist; nehmen Sie also 16 für Konten ohne Zwei-Schritt-Anmeldung. Ein 12-stelliges Passwort, das sich ein Mensch ausgedacht hat, ist weit schwächer.

Kann ich Passwörter in großer Zahl erzeugen?

Ja. Der Massen-Generator erzeugt bis zu 100 Passwörter auf einmal mit denselben Einstellungen, jedes unabhängig gezogen, sodass jedes die angezeigte Stärke hat. „Alle kopieren“ legt sie zeilenweise in die Zwischenablage, oder Sie laden sie als .txt-Datei herunter. Das ist praktisch für neue Konten, Testnutzer oder Geräte; geben Sie jeder Person und jedem Gerät ein eigenes.

Kann ich ein Passwort aus Wörtern oder meinem Namen erstellen?

Aus Wörtern ja: Der Passphrase-Modus ist ein Passwort-Generator auf Wortbasis, mit zufällig aus der EFF-Liste mit 7.776 Wörtern gezogenen Wörtern. Aus eigenen Wörtern, Namen, Haustier oder Geburtstag nein: Das probieren Angreifer zuerst, und das NIST verlangt von Websites, Passwörter zu sperren, die aus Ihrem Benutzernamen oder dem Namen des Dienstes bestehen. Zufällige Wörter, die Sie nicht selbst gewählt haben, sind leicht zu merken und schwer zu erraten.

Wie erstelle ich ein Passwort, das ich mir merken kann?

Wählen Sie Passphrase: Dieser Generator für merkbare Passwörter reiht zufällige Wörter aneinander. Sechs Wörter aus der EFF-Liste ergeben 77,5 Bit, etwa so stark wie 12 zufällige Zeichen. Stellen Sie sich die Wörter als eine einzige seltsame Szene vor, um sie sich zu merken. Merken Sie sich nur die wenigen, die Sie tippen, etwa Ihren Computer und Ihren Passwortmanager, und überlassen Sie den Rest dem Manager.

Sollte ich einer Passphrase Zahlen oder Sonderzeichen hinzufügen?

Nur, wenn eine Website sie verlangt. Ein Trennzeichen oder Großbuchstaben bringen nichts, weil Angreifer sie annehmen. Eine zufällige Ziffer, die an eine Passphrase aus sechs Wörtern angehängt wird, bringt etwa 5,9 Bit, eine zufällige Ziffer zwischen jedem Wortpaar je 3,3 Bit. Ein weiteres Wort bringt 12,9 Bit; für mehr Stärke fügen Sie also ein Wort hinzu.

Was kostet es, verwechselbare Zeichen zu vermeiden?

Sehr wenig. Es lässt Zeichen weg, die leicht verwechselt werden, I l 1 | O 0 o und die drei Anführungszeichen, sodass 84 der 94 übrig bleiben. Ein Passwort mit 16 Zeichen sinkt von 104,6 auf 101,9 Bit, weniger als der Wert eines Zeichens; fügen Sie ein Zeichen hinzu, wenn Sie das zurückhaben möchten. Schalten Sie es ein für Passwörter, die Sie von Papier oder vom Bildschirm ablesen.

Wie lang sollte eine PIN sein?

Sechs Ziffern, wo Sie wählen können, und mindestens vier: So lautet die Regel des NIST für Geräte-PINs, zusammen mit einem Limit von 10 Fehlversuchen. Eine 6-stellige PIN ist eine von einer Million, 19,9 Bit, und diese Seite bewertet sie mit Schwach, weil sie nur hinter dieser Sperre sicher ist. Verwenden Sie nie eine PIN als Passwort für ein Online-Konto.

Wie oft sollte ich meine Passwörter ändern?

Nur, wenn es einen Grund gibt, etwa ein Datenleck, einen Phishing-Verdacht oder ein Passwort, das jemand anderes erfahren hat. Das NIST weist Websites an, keine Wechsel nach Zeitplan zu erzwingen und einen Wechsel zu verlangen, wenn es Hinweise auf eine Kompromittierung gibt. Prüfen Sie ein Passwort mit dem Passwort-Test: Zeigt er Geleakt, ändern Sie es überall, wo Sie es verwenden.

Was macht pwgen -s 40 1?

Es fordert beim Kommandozeilenwerkzeug pwgen ein völlig zufälliges, schwer zu merkendes Passwort mit 40 Zeichen an: Erst kommt die Länge, dann die Anzahl. Im Terminal enthält pwgen mindestens einen Großbuchstaben und eine Ziffer; -y fügt mindestens ein Sonderzeichen hinzu und -B lässt verwechselbare Zeichen wie l und 1 weg. Um dasselbe hier zu bekommen, wählen Sie zufällige Zeichen, stellen die Länge auf 40 und schalten Sonderzeichen aus.

Ist ein erzeugtes Passwort besser als eines, das ich mir ausdenke?

Ja, und zwar deutlich. Menschen wählen Wörter, Namen, Jahreszahlen und dieselben wenigen Buchstabenersetzungen, und Angreifer probieren diese zuerst; das NIST stellt fest, dass Komplexitätsregeln die Leute nur von „password“ zu „Password1!“ bringen. Das britische NCSC sagt, zufällige Passwörter aus einem Passwortmanager seien stärker als ausgedachte komplexe Passwörter und als drei zufällige Wörter.

Enthält jedes Passwort jede Zeichenart, die ich auswähle?

Ja, solange jede Art verlangt ist, was standardmäßig der Fall ist. Der Generator zieht das ganze Passwort neu, bis jede gewählte Art vorkommt, statt von jeder eine einzusetzen und zu mischen. So ist jedes gültige Passwort gleich wahrscheinlich, und die angezeigten Bit sind exakt. Bei allen vier Arten und 16 Zeichen erfüllen bereits etwa vier von fünf ersten Zügen die Bedingung.

Fehlt Ihnen etwas?Funktion oder neues Tool vorschlagen

Verwandte Tools