Die kurze Antwort
Für jedes Konto, das dir wichtig ist, nimmst du ein zufälliges Passwort mit 16 oder mehr Zeichen aus Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen und speicherst es in einem Passwort-Manager. Wenn du es tippen oder dir merken musst, nimmst du stattdessen eine Passphrase aus 6 oder mehr zufälligen Wörtern. Das Master-Passwort deines Passwort-Managers und dein wichtigstes E-Mail-Konto verdienen die längsten, denn sie öffnen alles andere.
Die aktuelle Richtlinie der US-Standardisierungsbehörde NIST (SP 800-63B, überarbeitet 2025) verlangt von Diensten mindestens 15 Zeichen, wenn ein Passwort das Einzige ist, was ein Konto schützt, und Passwörter mit mindestens 64 Zeichen müssen akzeptiert werden. Außerdem sollen Dienste keine regelmäßigen Passwortwechsel mehr erzwingen und keine Zeichenmischungen mehr vorschreiben, sondern stattdessen Passwörter sperren, die schon in Listen geleakter Zugangsdaten auftauchen. Auch das BSI rät inzwischen von Wechseln nach festem Zeitplan ab. Kurz gesagt: Länge und Einzigartigkeit statt komplizierter Regeln.
Hier ausprobieren: Passwort-Generator
Vollständige Tool-Seite öffnenEntropie einfach erklärt
Die Stärke eines Passworts wird in Bit Entropie gemessen. Jedes Bit verdoppelt die Zahl der Versuche, die ein Angreifer braucht. Ein zufälliges Passwort hat Länge mal log2(Zeichenvorrat) Bit, wobei der Zeichenvorrat die Zahl der Zeichen ist, die vorkommen können. Nur Kleinbuchstaben ergeben etwa 4,7 Bit pro Zeichen, Buchstaben und Ziffern etwa 5,95 und der volle Satz von 87 Zeichen, den der Generator auf dieser Seite nutzt, etwa 6,44.
Ein Passwort mit 16 Zeichen aus allen vier Gruppen hat also etwa 103 Bit, eines mit 8 Zeichen nur etwa 51. Ein zusätzliches Zeichen bringt 6,44 Bit und vervielfacht den Aufwand etwa um den Faktor 87. Ein Sonderzeichen in einem kurzen Passwort hilft viel weniger als ein paar Zeichen mehr.
Die Entropie gilt nur für wirklich zufällige Passwörter. Sommer2026! sieht nach 11 gemischten Zeichen aus, aber Angreifer raten nicht Buchstabe für Buchstabe: Sie probieren Wörter, Namen, Jahreszahlen und einen Großbuchstaben am Anfang mit einem Sonderzeichen am Ende. Die echte Stärke ist nur ein winziger Bruchteil dessen, was die Formel verspricht.
| Länge | Nur Kleinbuchstaben | Buchstaben und Ziffern | Alle 4 Gruppen (87 Zeichen) |
|---|---|---|---|
| 8 Zeichen | 38 Bit, etwa 10 Sekunden | 48 Bit, etwa 3 Stunden | 51 Bit, etwa 2 Tage |
| 12 Zeichen | 56 Bit, etwa 55 Tage | 71 Bit, etwa 5.000 Jahre | 77 Bit, etwa 300.000 Jahre |
| 16 Zeichen | 75 Bit, etwa 69.000 Jahre | 95 Bit, weit länger als ein Menschenleben | 103 Bit, weit länger als ein Menschenleben |
| 20 Zeichen | 94 Bit, weit länger als ein Menschenleben | 119 Bit, weit länger als ein Menschenleben | 129 Bit, weit länger als ein Menschenleben |
Was die Knackzeiten bedeuten
Die Zeiten in der Tabelle sind Durchschnittswerte für einen Offline-Angriff mit zehn Milliarden Versuchen pro Sekunde, also dieselbe Annahme, die der Generator oben für seine Schätzung nutzt. Dieses Tempo ist realistisch für ein paar Grafikkarten, die eine geleakte Datenbank mit einem schnellen Hash angreifen. Langsame Hashes wie bcrypt oder Argon2 bremsen das um viele Größenordnungen, ein großer Cloud-Cluster kann es dagegen steigern. Sieh die Zeiten also als Vergleich, nicht als Versprechen.
Online-Angriffe auf eine Login-Seite sind wegen der Begrenzung von Versuchen viel langsamer, aber du weißt nie, wie ein Dienst Passwörter speichert. Geh davon aus, dass dein Passwort eines Tages als Hash geleakt wird, und wähle eines, das das übersteht. Rund 80 Bit sind für jedes Online-Konto sehr stark; 100 Bit und mehr sind ein bequemer Puffer für ein Master-Passwort oder einen Schlüssel zur Verschlüsselung.
Passphrase oder zufällige Zeichenfolge
Eine Passphrase besteht aus mehreren Wörtern, die zufällig aus einer großen Liste gezogen werden, zum Beispiel mit Würfeln und der EFF- oder Diceware-Liste mit 7.776 Wörtern. Diceware-Listen gibt es auch auf Deutsch. Jedes Wort bringt etwa 12,9 Bit. Vier Wörter ergeben etwa 52 Bit, fünf etwa 65, sechs etwa 78 und sieben etwa 90. Sechs zufällige Wörter sind ungefähr so stark wie ein zufälliges Passwort mit 12 Zeichen und viel leichter auf dem Handy oder mit einer Fernbedienung einzugeben.
Die Wörter müssen per Zufall ausgewählt werden, nicht von dir. Eine Zeile aus einem Lied, ein Zitat oder vier Wörter, die einen Satz bilden, stehen alle in den Wörterbüchern der Angreifer. Trennzeichen und Großbuchstaben bringen wenig, zusätzliche Wörter bringen viel.
Nimm eine zufällige Zeichenfolge, wenn das Passwort im Passwort-Manager liegt und du es nie tippst. Nimm eine Passphrase für die wenigen Geheimnisse, die du dir merken musst: den Passwort-Manager selbst, die Anmeldung am Computer und vielleicht dein wichtigstes E-Mail-Konto.
| Methode | Beispiellänge | Entropie | Am besten für |
|---|---|---|---|
| Zufällige Zeichen, alle Gruppen | 16 Zeichen | etwa 103 Bit | Konten im Passwort-Manager |
| Zufällige Zeichen, alle Gruppen | 20 Zeichen | etwa 129 Bit | WLAN-Schlüssel, API-Secrets, Verschlüsselung |
| Zufällige Wörter (Liste mit 7.776 Wörtern) | 6 Wörter | etwa 78 Bit | Master-Passwort, Geräteanmeldung |
| Zufällige Wörter (Liste mit 7.776 Wörtern) | 7 Wörter | etwa 90 Bit | Master-Passwort des Passwort-Managers |
| Zufällige Ziffern | 6-stellige PIN | etwa 20 Bit | Nur Handys und Karten mit Versuchsgrenze |
Passwort-Manager erledigen den schweren Teil
Niemand kann sich 100 verschiedene Passwörter mit 16 Zeichen merken. Deshalb verwenden Menschen sie mehrfach, und genau so werden die meisten Konten übernommen: Ein Dienst wird gehackt, und Angreifer probieren dieselbe E-Mail-Adresse mit demselben Passwort überall sonst aus. Ein Passwort-Manager speichert für jede Seite ein anderes zufälliges Passwort und füllt es für dich aus, die Länge kostet dich also nichts.
Die eingebauten Lösungen reichen für die meisten: die Passwort-Manager in Chrome, Edge, Firefox und Safari, die App Passwörter auf iPhone und Mac und der Google Passwortmanager auf Android synchronisieren alle über mehrere Geräte. Eigene Apps bieten zusätzlich Teilen, Notfallzugriff und Unterstützung für jeden Browser. Schütz den Manager mit einer langen Passphrase und schalte für ihn und für dein E-Mail-Konto die Zwei-Faktor-Authentisierung ein.
PINs sind ein Sonderfall
Eine 4-stellige PIN hat nur 10.000 Kombinationen und eine 6-stellige eine Million, als Passwort wäre das nutzlos. PINs funktionieren, weil das Gerät die Grenze durchsetzt: Ein Handy löscht sich oder sperrt sich für Stunden nach mehreren Fehlversuchen, und eine Bankkarte wird nach drei falschen Eingaben gesperrt. Diesen Schutz gibt es nur auf dem Gerät, verwende eine PIN also nie als Passwort für eine Website.
Meide die PINs, die alle wählen: 1234, 0000, 1111, Geburtsjahre und Datumsangaben. Nimm 6 Ziffern, wenn das Gerät es erlaubt, und lass dir die Ziffern vom PIN-Generator, einer Variante dieses Tools, auswählen.
Was Passwörter schwach macht
- Mehrfachnutzung: Dasselbe Passwort auf zwei Seiten heißt, ein Leak bei der einen öffnet beide.
- Persönliche Angaben: Namen, Haustiere, Geburtstage, Lieblingsvereine und Orte lassen sich in sozialen Netzwerken finden.
- Muster: Ein großer erster Buchstabe, eine Jahreszahl und ein Ausrufezeichen am Ende sind die ersten Varianten, die Programme ausprobieren.
- Tastaturfolgen: qwertz, 1qay2wsx und asdfgh stehen in jeder Wortliste.
- Ersetzungen: P@ssw0rt und ähnliche Tricks sind bekannt und bringen fast nichts.
- Kleine Änderungen: Aus passwort1 wird nach einem erzwungenen Wechsel passwort2, und das wird sofort erraten.
- Zu kurz: Unter 12 Zeichen kann selbst ein zufälliges Passwort einem Offline-Angriff zum Opfer fallen.
Tipps für den Generator
Lass alle vier Zeichengruppen eingeschaltet, es sei denn, eine Seite lehnt Sonderzeichen ab. Dann schaltest du die Sonderzeichen aus und gibst 2 oder 3 Zeichen dazu, damit die Stärke gleich bleibt. Schalte Verwechselbare Zeichen vermeiden ein für Passwörter, die du vorlesen oder von Papier abtippen wirst, etwa einen WLAN-Schlüssel auf dem Aufkleber des Routers. Damit fallen Zeichen wie 0 und O oder 1, l und I weg, die Entropie sinkt dadurch leicht, also nimm ein oder zwei Zeichen mehr.
Mit Wie viele erzeugst du mehrere auf einmal, zum Beispiel Startpasswörter für neue Konten von Mitarbeitenden. Das Passwort entsteht mit dem sicheren Zufallsgenerator deines Browsers und wird weder gesendet noch gespeichert. Kopier es also in deinen Passwort-Manager, bevor du die Seite verlässt.