Ein sicheres Passwort erstellen: Länge, Entropie und Passwortmanager

Wie Passwörter geknackt werden

Angreifer nutzen vor allem drei Methoden: Credential Stuffing, bei dem aus anderen Websites geleakte Benutzernamen und Passwörter erneut ausprobiert werden; Wörterbuchangriffe, die gängige Passwörter und Wörter testen; und Brute Force, die jede Kombination durchprobiert.

Der meiste reale Schaden entsteht durch die erste Methode. Wie komplex ein Passwort auch ist: Wer es wiederverwendet, riskiert, dass die unsicherste genutzte Website alle Konten offenlegt. Ein eigenes Passwort pro Website ist noch wichtiger als seine Stärke.

Stärke mit Entropie messen

Die Stärke eines zufällig erzeugten Passworts wird in Bit Entropie gemessen: Länge × log2(Anzahl möglicher Zeichen). Jedes zusätzliche Bit verdoppelt die Zahl der Versuche, die ein Angreifer braucht.

Eine sechsstellige PIN hat etwa 20 Bit — nur eine Million Möglichkeiten, die ein Computer sofort durchprobiert. Zwölf zufällige Zeichen aus den 94 druckbaren ASCII-Symbolen ergeben etwa 79 Bit, sechzehn zufällige Kleinbuchstaben etwa 75 Bit.

6 Ziffern                          : 6 × log2(10)  ≈ 20 Bit
16 zufällige Kleinbuchstaben       : 16 × log2(26) ≈ 75 Bit
12 zufällige Zeichen aus 94        : 12 × log2(94) ≈ 79 Bit
16 zufällige Buchstaben und Ziffern: 16 × log2(62) ≈ 95 Bit

Diese Werte gelten nur für zufällige Auswahl. Von Menschen ausgedachte Passwörter wie Password1! oder Kombinationen aus Geburtsdaten wirken abwechslungsreich, stehen aber ganz oben auf jeder Angriffsliste — ihre tatsächliche Entropie liegt nahe null.

Warum Länge Komplexität schlägt

Wie die Tabelle zeigt, steigert zusätzliche Länge die Entropie weit effizienter als zusätzliche Zeichentypen. Auch die Richtlinien zur digitalen Identität des US-amerikanischen NIST (SP 800-63B) empfehlen, lange Passwörter zu erlauben und sie mit Listen kompromittierter Passwörter abzugleichen, statt Zusammensetzungsregeln zu erzwingen.

Für Passwörter, die Sie sich merken müssen, eignet sich eine Passphrase aus vier bis sechs zufälligen, unzusammenhängenden Wörtern. Sechs zufällig aus einer Liste von 7.776 Wörtern gewählte Wörter ergeben etwa 77 Bit und bleiben dennoch einprägsam. Die Wörter müssen zufällig gewählt werden — per Würfel oder Generator —, nicht von Ihnen selbst.

Muster, die Sie meiden sollten

All diese Muster sind in die Regeln von Cracking-Tools eingebaut und fallen viel schneller, als es scheint.

• Namen, Geburtstage, Telefonnummern oder Kennzeichen, die sich in sozialen Netzwerken finden lassen.
• Tastaturfolgen wie qwertz, qwerty, 1q2w3e4r oder asdf.
• Ein Wort gefolgt von Ziffern oder ! (zum Beispiel sommer2026!).
• Ersetzungen wie a→@ und o→0, die Cracking-Tools standardmäßig ausprobieren.
• Wechsel, bei dem nur eine Zahl geändert wird (pass01 → pass02).

Die praktische Antwort: Passwortmanager und 2FA

Niemand kann sich für jede Website ein anderes zufälliges 20-Zeichen-Passwort merken. Ein Passwortmanager ist die realistische Lösung: Sie merken sich eine starke Master-Passphrase und lassen den Generator den Rest erzeugen und speichern.

Ergänzen Sie die Zwei-Faktor-Authentifizierung — eine Authenticator-App, einen Sicherheitsschlüssel oder Passkeys —, damit ein geleaktes Passwort allein nicht ausreicht. Sichern Sie zuerst Ihr E-Mail-Konto, denn darüber werden alle anderen Konten zurückgesetzt.

Worauf Sie bei einem Passwortgenerator achten sollten

Ein guter Generator nutzt den kryptografisch sicheren Zufallszahlengenerator des Betriebssystems. Allzweckfunktionen wie Math.random sind vorhersagbar und für Passwörter ungeeignet.

Beim Passwortgenerator von AIBIZAP wählen Sie Länge und Zeichensätze. Erlaubt ein Dienst keine Sonderzeichen, erhöhen Sie stattdessen die Länge: Sechzehn Buchstaben und Ziffern ergeben bereits etwa 95 Bit. Für Maschinengeheimnisse wie API-Client-IDs und -Secrets verwenden Sie den Client-Credential-Generator.