Passwort-Generator

Hier ist der Zufall echt

Ein zufällig erzeugtes Passwort ist nur so gut wie der Zufall, der es erzeugt hat. Hier zieht der Browser die Zeichen mit seinem kryptografischen Zufallsgenerator, demselben, den Browser für Schlüssel bereitstellen, und nicht mit der „Zufallszahl“-Funktion aus Spielen: Der Unterschied ist, dass Letztere vorhersagbar ist, wenn man weiß, wann sie gestartet wurde, und für ein Passwort ist das ein fataler Fehler. Und das Passwort verlässt deinen Browser nicht: Es wird an niemanden gesendet, und diese Seite speichert keines davon.

Länge zählt mehr als Sonderzeichen

Genau hier liegen fast alle falsch. Ein Sonderzeichen mehr in einem Passwort mit acht Zeichen macht es ein wenig schwerer zu knacken; vier Zeichen mehr machen es tausendfach schwerer, weil jedes zusätzliche Zeichen die Kombinationen mit dem ganzen Zeichenvorrat multipliziert. Mit Buchstaben, Ziffern und Sonderzeichen ist jedes zusätzliche Zeichen fast sechs Bit wert: Der Schritt von zwölf auf sechzehn Zeichen multipliziert die nötigen Versuche mit mehr als einer Million.

Die Faustregel: mindestens sechzehn Zeichen dort, wo der Dienst es erlaubt, und nie weniger als zwölf. Die Regeln „ein Großbuchstabe, eine Zahl und ein Sonderzeichen“, die viele Websites vorschreiben, kommen nicht aus dieser Rechnung: Sie sollen „passwort“ verhindern und bringen die Leute dazu, „Passwort1!“ zu schreiben, genau das, was ein Angreifer als Erstes ausprobiert.

Für jeden Dienst ein eigenes Passwort und ein Ort, um sie aufzubewahren

Passwörter werden fast nie durch Erraten gestohlen: Irgendeine Website wird gehackt, und von dort aus wird dasselbe Paar aus Adresse und Passwort bei allen anderen ausprobiert. Deshalb hilft als Schutz nur eins: Jeder Dienst bekommt sein eigenes, und weil sich niemand alle merken kann, brauchst du einen Passwort-Manager: Der Browser hat einen, und es gibt Programme, die nichts anderes tun.

Wo du dir das Passwort auswendig merken musst (für den Computer oder für den Passwort-Manager selbst), funktioniert eine Wortfolge besser als eine Kette aus Zeichen: Vier oder fünf zufällig gewählte Wörter bleiben im Gedächtnis und sind länger als jedes Passwort, das du dir merken könntest. Dafür gibt es den Passphrase-Generator.

Siehe auch

Für einen Zahlencode gibt es den PIN-Generator, für eine Wortfolge den Passphrase-Generator und für technische Kennungen den UUID-Generator. Wenn du geschützte Dateien verschicken musst, ist statt eines Passworts in der Nachricht diese Seite die richtige: ZIP mit Passwort erstellen.