Die meisten Passwort-Ratschläge – einen Großbuchstaben hinzufügen, eine Zahl hinzufügen, ein Symbol einfügen – optimieren das Falsche. Was einen Angreifer tatsächlich aufhält, ist Unvorhersehbarkeit, gemessen in Entropiebits. Dieser Leitfaden erklärt, warum Länge wichtiger ist als Komplexität, wie Passphrasen Ihnen Kraft verleihen, die Sie sich merken können, und warum ein Generator, der vollständig in Ihrem Browser läuft, der sicherste Ort zum Erstellen eines solchen ist.

Länge schlägt Komplexität

Jedes zusätzliche Zeichen vervielfacht die Anzahl möglicher Passwörter um die Größe des Zeichensatzes. Die Verlängerung von 8 auf 16 Zeichen verbessert die Sicherheit viel stärker als ein zusätzliches Sonderzeichen in einem Passwort mit 8 Zeichen. Die Entropie wächst linear mit der Länge: Jedes Zeichen fügt dieselbe Bitzahl hinzu. Mit der Größe des Zeichensatzes wächst sie nur logarithmisch; eine Verdopplung fügt lediglich 1 Bit pro Zeichen hinzu.

Ein Passwort aus 12 zufälligen Kleinbuchstaben hat etwa 56 Bit Entropie. Ein Passwort mit 8 Zeichen aus allen 94 druckbaren Zeichen hat nur etwa 52 Bit und ist deutlich schwerer einzugeben. Komplexitätsregeln können vorhersehbare Muster fördern, etwa einen Großbuchstaben am Anfang und Sonderzeichen oder Zahlen am Ende. Angreifer nutzen solche Muster aus. Lassen Sie einen Generator tatsächlich zufällige Passwörter erzeugen, die so lang sind, wie die Website erlaubt.

Entropie, erklärt

Entropie ist lediglich eine Zählung, wie viele Vermutungen ein Angreifer benötigen würde, ausgedrückt als Zweierpotenz. Ein Passwort mit 40 Entropiebits kann einer von 2⁴⁰ (ungefähr eine Billion) gleichwahrscheinlichen Werten sein; 60 Bits beträgt etwa eine Trillion. Da jedes zusätzliche bit die Arbeit verdoppelt, sind kleine Erhöhungen enorm wichtig – ein 70-bit-Passwort ist tausendmal stärker als ein 60-bit.

Die praktischen Schwellenwerte: unten ~40 Bits sind schwach und verfallen schnell zum Offline-Cracking; 60 Bits ist eine angemessene Untergrenze für Konten, die wichtig sind; 80+ Bits ist stark; und 100+ Bits sind praktisch mit roher Gewalt und mit jeder vorhersehbaren Hardware unknackbar. Dieses Tool zeigt die genaue Zahl für alles an, was Sie generieren, sodass Sie bewusst zielen und nicht raten müssen.

Passphrasen versus Passwörter

A Zufälliges 16-stelliges Passwort und eine 6-Wort-Passphrase können eine ähnliche Entropie enthalten, aber nur eines davon ist realistisch zum Auswendiglernen und Eingeben auf einer Telefontastatur. Passphrasen funktionieren, weil jedes Wort zufällig aus einer bekannten Liste gezogen wird – die lange EFF-Liste umfasst 7.776 Wörter, sodass jedes Wort etwa 12,9 Bits wert ist, unabhängig davon, wie häufig das Wort vorkommt. Die Stärke ergibt sich aus der zufälligen Auswahl, nicht aus der Unklarheit, daher ist „correct-horse-battery-staple“ gerade deshalb stark, weil es zufällig ausgewählt wurde.

Verwenden Sie Passphrasen für die wenigen Geheimnisse, die Sie sich merken müssen: Ihr Passwort-Manager-Master-Passwort, Ihr Geräte-Login, Ihren Schlüssel für die vollständige Festplattenverschlüsselung. Verwenden Sie für alles andere lange zufällige Passwörter (im Manager gespeichert). Das Großschreiben von Wörtern oder das Anhängen einer Ziffer und eines Symbols fügt ein wenig Entropie hinzu und hilft dabei, Websites zufriedenzustellen, die immer noch „Komplexität“ erfordern.

Warum ein Passwort-Manager – und warum dieser in Ihrem Browser läuft

Die wichtigste Gewohnheit bei Passwörtern besteht darin, niemals eines wiederzuverwenden. Der LinkedIn-Verstoß im Jahr 2012 und zahllose andere waren nicht dadurch erfolgreich, dass sie sichere Passwörter knackten, sondern indem sie durchgesickerte Passwörter auf anderen Websites wiedergaben. Ein Passwort-Manager löst dieses Problem, indem er für jedes Konto ein eindeutiges Passwort generiert und speichert, sodass sich ein Verstoß auf einer Website nicht weiter ausbreiten kann. Schützen Sie den Manager selbst mit einer starken Passphrase und aktivieren Sie die Zwei-Faktor-Authentifizierung.

Dieser Generator ist so konzipiert, dass Sie einem Server niemals ein Geheimnis anvertrauen müssen. Die Generierung erfolgt vollständig in Ihrem Browser mithilfe von crypto.getRandomValues, derselben kryptografisch sicheren Quelle, die auch die HTTPS-Schlüsselgenerierung unterstützt. Es wird nichts übertragen, protokolliert oder gespeichert – wir speichern nicht einmal das Passwort im Speicher Ihres Browsers, sondern nur Ihre Einstellungen. Sie können dies selbst bestätigen: Öffnen Sie den Netzwerk-Tab Ihres Browsers und achten Sie darauf, dass beim Generieren eines Passworts überhaupt keine Anfragen gestellt werden.