Passwort-Generator: sicher und auf Wunsch merkbar

So nutzen Sie den Passwort-Generator

Beim Laden der Seite steht oben schon ein Passwort mit 16 Zeichen. Klicken Sie auf „Kopieren“ und fügen Sie es dort ein, wo Sie es brauchen. Mit „Neu“ erzeugen Sie ein anderes, mit „5 Vorschläge auf einmal“ eine Auswahl, aus der Sie eines kopieren. Der Regler stellt die Länge von 8 bis 64 Zeichen ein. Vier Schalter bestimmen, welche Zeichenarten vorkommen: Großbuchstaben, Kleinbuchstaben, Ziffern und 26 Sonderzeichen. In der Voreinstellung sind alle vier aktiv, der Zeichenvorrat hat dann 88 Zeichen.

Jede gewählte Zeichenart kommt im Ergebnis mindestens einmal vor. Fehlt eine, wirft der Generator das ganze Passwort weg und zieht neu, statt ein Zeichen nachträglich einzusetzen. So bleibt jedes zulässige Passwort gleich wahrscheinlich. Der Schalter „Verwechselbare Zeichen weglassen“ entfernt 0, O, o, 1, l, I und den senkrechten Strich. Das hilft, wenn Sie ein Passwort abtippen oder vorlesen müssen. Die Stärke steht direkt unter dem Ergebnis, der Rechenweg steht darunter.

Passwort oder Passphrase: was ist besser?

Beides ist sicher, wenn der Zufall stimmt. Der Unterschied liegt in der Handhabung. Ein Passwort wie q7#Lm2$vXe9!Rt4K kann sich niemand merken. Das ist kein Nachteil, solange es im Passwort-Manager liegt und per Einfügen eingetragen wird. Für alle Konten, die Ihr Manager verwaltet, ist das Zufallspasswort die richtige Wahl.

Eine Passphrase brauchen Sie dort, wo Sie tippen oder sich erinnern müssen: für den Passwort-Manager selbst, die Anmeldung am Rechner oder die Verschlüsselung einer Festplatte. Sechs zufällige Wörter sind länger als ein Passwort mit 16 Zeichen, aber leichter zu merken und auf dem Handy leichter zu tippen. Das BSI beschreibt genau diese Methode: 5 bis 6 zufällig gewählte Wörter aus dem Wörterbuch, getrennt durch Leerzeichen. Das Ergebnis sei leicht zu merken, leicht zu tippen und für Angreifer schwer zu brechen.

Wie lang muss ein Passwort sein? BSI und NIST im Vergleich

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und das US-Institut NIST geben Zahlen vor, die sich auf den ersten Blick unterscheiden. Beide sagen im Kern: Länge zählt mehr als Sonderzeichen. Stand der Quellen ist der 17.10.2026.

Das NIST empfiehlt außerdem Diensten, Passwörter bis mindestens 64 Zeichen zuzulassen, und verbietet eine Pflicht zur Zeichenmischung und den regelmäßigen Wechsel. Neue Passwörter sollen gegen Listen bekannter, geleakter Passwörter geprüft werden. Das ist eine Vorgabe für Anbieter, nicht für Sie. Viele Seiten fordern trotzdem Sonderzeichen, deshalb sind hier standardmäßig alle vier Zeichenarten an. Das BSI rät außerdem, jedes Passwort nur für einen Zugang zu verwenden.

Daraus folgen die Vorgaben dieses Werkzeugs: 16 Zeichen für Passwörter und 6 Wörter für Passphrasen. Das ist eine Einordnung, keine Norm. Sie liegt über dem NIST-Minimum von 15 Zeichen und bei den Wörtern in der BSI-Spanne.

Was „Bit“ bei der Stärke bedeutet

Die Stärke in Bit zählt, wie viele gleich wahrscheinliche Ergebnisse der Generator ausgeben kann. Jedes zusätzliche Bit verdoppelt diese Zahl. Bei zufälligen Zeichen gilt: Länge mal log2 des Zeichenvorrats. Ein Passwort mit 16 Zeichen aus 88 möglichen kommt auf 16 × 6,459 = 103,35 Bit. Weil Passwörter ohne alle gewählten Zeichenarten verworfen werden, sinkt der Wert um 0,24 Bit auf 103,1 Bit.

Weitere Beispiele: Ein Passwort mit 20 Zeichen aus 62 (Buchstaben und Ziffern) hat 119,1 Bit. Eine Passphrase aus 6 Wörtern der 7.776er-Liste hat 77,5 Bit, mit 5 Wörtern sind es 64,6 und mit 4 Wörtern 51,7 Bit. Die Stufen „schwach“, „mittel“, „stark“ und „sehr stark“ (unter 50, ab 50, ab 70, ab 100 Bit) sind unsere grobe Einteilung ohne Normbezug.

Die Zahl gilt nur, wenn der Zufall im Spiel ist. Ein selbst ausgedachtes Passwort wie „Sommer2026!“ hat 11 Zeichen, aber kaum Bit, weil Angreifer solche Muster zuerst probieren. Deshalb bewertet diese Seite keine eigenen Eingaben. Ein Bit-Wert schützt auch nicht davor, dass jemand das Passwort auf einer Fake-Seite abgreift oder ein Schadprogramm mitliest.

Passphrase aus deutschen Wörtern erstellen

Die Wörter stammen aus der Liste dys2p/wordlists-de (Datei de-7776-v1.txt, Lizenz wahlweise CC0). Sie hat genau 7.776 Wörter, das ist 6 hoch 5, wie beim Würfeln mit fünf Würfeln. Alle Wörter bestehen nur aus den Buchstaben a bis z. Es gibt keine Umlaute und kein ß. Das passt zur Empfehlung des BSI, auf solche Zeichen zu verzichten, weil sie auf ausländischen Tastaturen fehlen können. Die Passphrase lässt sich damit überall eintippen.

Die Liste lädt erst, wenn Sie zum ersten Mal „Passphrase“ wählen. Sie ist rund 80 KB groß, der Generator prüft danach, dass es genau 7.776 verschiedene Wörter sind. Bei 6 Wörtern gibt es 7.776 hoch 6, also rund 2,2 · 10²³ mögliche Passphrasen. Als Trennzeichen stehen Leerzeichen, Bindestrich, Punkt oder eine zufällige Ziffer zur Wahl. Jede Ziffer als Trenner bringt etwa 3,3 Bit mehr. „Ersten Buchstaben jedes Wortes groß“ erhöht die Stärke nicht, es hilft nur bei Seiten, die Großbuchstaben verlangen. Die Liste ist eine unveränderte, frei nutzbare Wortliste und enthält auch derbe Wörter. Ein paar Mal „Neu“ zu klicken kostet kaum Stärke (bei 10 Versuchen höchstens etwa 3 Bit).

Nehmen Sie die Wörter so, wie sie kommen. Wer Wörter nach Geschmack austauscht, senkt die Stärke, weil Menschen nicht zufällig wählen. Merken können Sie sich eine Passphrase als kurze, unsinnige Geschichte oder als Bild. Ein Passwort „mit eigenen Worten“ bietet dieses Werkzeug bewusst nicht an: Eine Ableitung aus eigenen Wörtern wäre nicht zufällig und die angezeigte Stärke dann falsch.

Warum dieser Generator nichts überträgt

Die Zufallszahlen kommen aus crypto.getRandomValues, der Schnittstelle des Browsers für kryptografisch sicheren Zufall (W3C Web Cryptography API). Math.random kommt nirgends vor. Die Auswahl erfolgt per Rejection Sampling statt mit einem einfachen Rest (Modulo). Ein Zufallswert hat 2³² Möglichkeiten, die sich nicht glatt durch 7.776 teilen. Der Rest würde kleine Indizes etwas bevorzugen. Deshalb gilt eine Grenze von 4.294.964.736. Die 2.560 Werte darüber werden verworfen, aus den übrigen wird der Index berechnet. Jedes Wort ist damit gleich wahrscheinlich.

Der Generator läuft in einem abgeschotteten Rahmen, der Datei rechner.html. Sie lädt keine Fremdskripte, und eine strenge Content-Security-Policy erlaubt ihr weder fremde Skripte noch Verbindungen ins Netz. Werbung und Statistik laufen auf der äußeren Seite und können nicht in den Rahmen hineinsehen. Erzeugte Passwörter bleiben im Arbeitsspeicher des Rahmens. Sie landen weder in der Adresszeile noch im lokalen Speicher, und sie werden nicht gesendet. Auch Ihre Einstellungen merkt sich niemand, nach dem Neuladen gelten wieder die Voreinstellungen.

Wer es nachprüfen will, öffnet mit F12 den Netzwerk-Reiter und klickt auf „Neu“. Das Passwort selbst taucht dort nie auf. Beim ersten Klick meldet die äußere Seite nur, dass das Werkzeug benutzt wurde (der Name des Werkzeugs, ohne Passwort), und lädt eine Anzeige. Beim ersten Wechsel zur Passphrase kommt die Wortliste dazu, eine Datei dieser Domain. Ein einfacheres Zufallspasswort ohne Passphrase und Stärkeanzeige bietet auch das Text-Toolkit.

Passwörter sicher aufbewahren

Das BSI empfiehlt einen Passwort-Manager. Dann müssen Sie sich nur ein starkes Passwort merken, am besten eine Passphrase, und alle anderen Konten bekommen ein eigenes Zufallspasswort. Wie Sie einen Manager einrichten, steht im Ratgeber Passwort-Manager für Einsteiger. Schalten Sie bei wichtigen Konten zusätzlich einen zweiten Faktor ein.

Ein frisch erzeugtes Passwort taucht in keiner Leak-Liste auf. Alte Passwörter sollten Sie dagegen prüfen: Im Werkzeug Passwort geleakt prüfen sehen Sie, ob eines schon bekannt ist. Auch ein PDF mit Passwort ist nur so sicher wie das Passwort selbst. Wie Sie ein PDF schützen, zeigt PDF-Passwort. Weitere Prüfungen für Rechner und Netz finden Sie unter IT und Sicherheit.