Ein neues Passwort steht unten schon bereit. Ändern Sie Länge oder Zeichenarten, und es aktualisiert sich sofort; kopieren Sie es oder nehmen Sie eine der Alternativen darunter.
Ihr Passwort
Durchschnittliche Zeit zum Knacken per Brute Force
Bei 10 Milliarden Versuchen pro Sekunde, offline gegen einen schnellen Hash.
Weitere Passwörter
Im Browser erzeugt. Nichts wird gesendet oder gespeichert.
Jedes zusätzliche Zeichen multipliziert die Zahl möglicher Passwörter mit der Größe des Alphabets. Mit allen vier Zeichenarten hat das Alphabet 85 Zeichen, jedes weitere Zeichen vervielfacht die Arbeit eines Angreifers also um 85. Sonderzeichen anzukreuzen vergrößert das Alphabet dagegen nur von 62 auf 85, das ist etwa ein halbes Bit pro Zeichen. Deshalb schlagen 16 Kleinbuchstaben (75 Bit) zehn Zeichen aller Arten (63 Bit): Bei der unten angenommenen Geschwindigkeit hält das lange, schlichte Passwort Zehntausende Jahre, das kurze, komplizierte etwa zwanzig.
Die angezeigte Zeit geht von zehn Milliarden Versuchen pro Sekunde aus. So viel schaffen einige Grafikkarten gegen ein Passwort, das mit einem schnellen Hash wie MD5 gespeichert war, nachdem die Datenbank einer Website geleakt ist. Das ist absichtlich der pessimistische Fall. Gegen ein ordentlich gespeichertes Passwort (bcrypt, Argon2) ist derselbe Angriff millionenfach langsamer, und gegen eine Anmeldeseite, die nach ein paar Fehlversuchen sperrt, kommt er nicht weit. Der Wert ist ein Durchschnitt: Im Mittel liegt der richtige Versuch in der Hälfte aller Möglichkeiten.
Wenn Sie eine Zeichenart ankreuzen, enthält jedes Passwort hier mindestens ein Zeichen davon. Üblich ist, dafür jeder Art einen festen Platz zu reservieren. Das verschiebt unbemerkt die Wahrscheinlichkeiten, manche Anordnungen kommen dann häufiger vor als andere. Dieser Generator zieht das ganze Passwort aus dem vollen Alphabet und verwirft es, wenn eine angekreuzte Art fehlt, um neu zu ziehen. So ist jedes zulässige Passwort genau gleich wahrscheinlich, und deshalb ist die Entropie eine exakte Zählung und keine Schätzung. Die Zeichen stammen aus crypto.getRandomValues, der kryptografischen Quelle des Browsers, mit demselben Verwerfungsschritt, den der Zufallsgenerator gegen den Modulo-Fehler einsetzt.
Bei den Sonderzeichen fehlen ^, ~, ` und ´, weil sie auf deutschen, französischen, spanischen und brasilianischen Tastaturen Tottasten sind: Eines davon zu tippen braucht zwei Anschläge, und ein am Laptop kopiertes Passwort wird beim Abtippen am Handy oder Fernseher zu etwas anderem. Anführungszeichen, Backslash und Leerzeichen fehlen, weil sie Formulare und Tabellen stören. Und eine Grenze kann kein Generator beheben: Ein starkes Passwort stoppt Brute Force, nicht Wiederverwendung. Steht dasselbe Passwort auf zwei Websites und eine davon leakt es im Klartext, spielt seine Länge keine Rolle mehr. Ein Passwort pro Website, verwahrt in einem Passwort-Manager, ist das, was wirklich schützt.
Dieses entsteht vollständig in Ihrem Browser, durch Code auf Ihrem Gerät. Es wird an keinen Server geschickt, nicht protokolliert und nicht gespeichert: Sie können die Seite laden, die Verbindung trennen und weiter erzeugen. Die Website ist statisch, es gibt also keinen Servercode, der es auch nur versehentlich empfangen könnte.
Für ein wichtiges Konto 16 Zeichen aller Arten: rund 102 Bit, jenseits jedes Brute-Force-Angriffs. Zwölf sind ein vernünftiges Minimum. Acht, bei vielen Anmeldeformularen noch immer die Untergrenze, fallen unter der Annahme dieser Seite in Stunden.
Es ist die Zahl der Passwörter, die der Generator hätte erzeugen können, als Zweierpotenz geschrieben. 60 Bit sind 2^60 Möglichkeiten, etwa eine Trillion, und jedes weitere Bit verdoppelt die Arbeit des Angreifers. Der Wert beschreibt, wie das Passwort entstanden ist, nicht die Zeichenfolge selbst: Dieselben Zeichen, von einem Menschen gewählt, sind viel weniger wert, denn Menschen wählen nicht zufällig.
Null und großes O, Eins, kleines L und großes I sehen in vielen Schriften gleich aus. Sie wegzulassen kostet etwas Entropie, rund 0,1 Bit pro Zeichen, und lohnt sich, wenn das Passwort gelesen und von Hand abgetippt wird, etwa das WLAN-Passwort auf dem Zettel für Gäste.
Für die meisten Konten nicht. Ein zufälliges Passwort mit 16 Zeichen gehört in einen Passwort-Manager, der es auch für Sie einträgt. Die wenigen, die Sie auswendig tippen müssen, etwa das Master-Passwort des Managers selbst, funktionieren besser als ein langer Satz aus zufälligen Wörtern.