Ein Passwort, das niemand errät oder hacken kann.
Erzeugt direkt auf Ihrem Gerät!

Nehmen wir die Voreinstellung: 22 Zeichen aus dem vollen Zeichenvorrat ergeben rund 143 Bit. Was das in Jahren bedeutet, lässt sich kaum noch begreifen. Unterstellen wir einem Angreifer eine Billion Versuche pro Sekunde, käme er im Mittel auf über 10²³ Jahre Rechenzeit. Das Universum existiert seit knapp 1,4 · 10¹⁰ Jahren – er wäre also viele Billionen Mal länger beschäftigt, als es überhaupt das Universium gibt.

Womit klar wäre: Über reines Raten kommt niemand mehr herein. Gefährlich wird es auf anderen Wegen – etwa durch ein Datenleck beim Anbieter oder Schadsoftware auf Ihrem Rechner. Deshalb braucht ein starkes Passwort zwei Begleiter, damit es sein Versprechen hält: Es muss für jeden Dienst ein eigenes sein, und wo immer möglich sollte die Zwei-Faktor-Authentisierung (z.B. über den Google Authenticator) dazukommen.

Aus Ihrem eigenen Gerät (PC, Laptop, Handy)! Zuständig ist die Web Crypto API des Browsers (crypto.getRandomValues), die den nötigen Zufall (Entropie) wiederum vom Betriebssystem "bezieht". Dort wird er aus physikalischen Quellen gewonnen, bspw. aus dem Rauschen der Hardware. Dieselbe Schnittstelle steckt auch hinter Banking-Apps und Passwort-Managern. Eine Sonderlösung ist unser Verfahren also keineswegs, sondern der Standard.

Ebenso wichtig ist die Rechnerei drumherum (also mathematische Verfahren), und die machen längst nicht alle Generatoren sauber. Bei uns besitzt jedes Zeichen des Vorrats exakt dieselbe Chance, gezogen zu werden. Der berüchtigte Modulo-Bias, durch den manche Zeichen häufiger auftauchen als andere, ist damit ausgeschlossen. Veraltete, vorhersagbare Funktionen wie Math.random() kommen hier grundsätzlich nicht zum Zug.

Nein, und zwar nicht aus Kulanz, sondern schon aus Bauart dieses Web-Tools heraus: Es gibt hier schlicht keine Stelle, an die etwas geschickt werden könnte. Das Passwort entsteht in Ihrem Browser, bleibt dort und wird auch im Browser selbst nirgends abgelegt. Schließen Sie den Tab, ist es weg.

Was tatsächlich läuft, verschweigen wir nicht: ein selbst entwickelter Besucherzähler auf Basis eigener Technik, der die Seitenaufrufe registriert. Standardmäßig arbeitet er ganz ohne Cookies; Statistik-Cookies setzt er ausschließlich, wenn Sie beim ersten Besuch ausdrücklich zustimmen (nachzulesen in der Datenschutzerklärung). Mit Ihren Eingaben hat er ohnehin nichts zu schaffen, denn zu sehen bekommt er diese nie. Und das Beste: Sie müssen uns kein Wort davon glauben. Trennen Sie die Internetverbindung – die Passwort-Erzeugung läuft dennoch munter weiter!

Die Frage lässt sich nicht pauschal beantworten, denn sicher sind beide Varianten. Es kommt eher darauf an, wer das Passwort später eintippen muss. Übernimmt das der Passwort-Manager, greifen Sie zum Zeichen-Passwort: Es holt aus jeder einzelnen Stelle die maximale Stärke heraus. Und wie sperrig es aussieht, ist der Software herzlich egal. Müssen dagegen Sie selbst ran – merken, vorlesen, abtippen –, ist das Wort-Passwort (Phrase) die deutlich angenehmere Wahl. Klassischer Fall dafür: das Hauptpasswort des Managers.

Ein Missverständnis wollen wir gleich ausräumen. Weil Wort-Passwörter lesbar aussehen, wirken sie auf viele schwächer – das Gegenteil ist der Fall. Jedes Wort zieht ein Zufallsgenerator unabhängig aus 1.390 geprüften Begriffen. Bei 8 Wörtern kommen so rund 14 Quadrillionen Möglichkeiten zusammen, also eine 14 mit 24 Nullen. Selbst ausgedachte Wortfolgen der Marke „SusiMausi2024“ bewegen sich dagegen in einer völlig anderen Liga – und zwar weit, weit unten.

Mehr, als die meisten denken. Länge sticht jede Komplexitätsregel aus, weil jede weitere Stelle die Zahl der Möglichkeiten vervielfacht – ein Effekt, gegen den ein zusätzliches Ausrufezeichen im Passwort kläglich verliert. Unsere Faustregel: Alles unter 12 Zeichen gehört heute ersetzt. Ab 16 Zeichen wird der Key langsam solide. Wer ohnehin den Manager verwendet, nimmt am besten gleich 20 oder mehr um auch für die nächsten Jahre gut gerüstet zu sein. Mehraufwand entsteht dabei ja keiner.

Warum so großzügig? Weil der entscheidende Faktor außerhalb Ihrer Kontrolle liegt. Wie schnell ein erbeutetes Passwort fällt, hängt davon ab, wie sorgfältig der Anbieter es abgelegt hat. Also ob mit modernen Verschlüsselungs-Verfahren oder mit einer Methode von vorgestern. Von außen erkennen können Sie das nicht. Genügend Länge ist daher genau die Reserve, die auch beim schlampigsten Dienst Ihnen noch einen Sicherheitspuffer verschafft.

Diese Regel hat sich überlebt, und das ist keine private Meinung: Selbst das BSI hat den Rat zum turnusmäßigen Wechsel inzwischen aus seinen Empfehlungen gestrichen. Der Grund ist einfach menschliche Gewohnheit. Wer alle drei Monate zum Neuerfinden "gezwungen" wird, denkt sich tendenziell kein starkes Passwort mehr aus, sondern zählt hoch: Aus „Sommer2024“ wird „Herbst2024“, aus „Passwort1“ eben „Passwort2“. Unterm Strich sinkt die Sicherheit dadurch sogar.

Was zählt ist folgendes: Sofort handeln, sobald es einen Anlass gibt. Ein gemeldetes Datenleck bei einem Anbieter den Sie nutzen etwa oder eine Warnmail über eine fremde Anmeldung. Auch der Verdacht, dass jemand über die Schulter geschaut hat zählt. Ansonsten darf ein starkes und einmalig verwendetes Passwort ruhig jahrelang seinen Dienst tun.

Sie läuft – das ist ausdrücklich so gebaut! Beim ersten Aufruf hinterlegt Ihr Browser eine Kopie sämtlicher Dateien auf dem Gerät. Von da an dürfen Sie "den Stecker ziehen" oder in den Flugmodus schalten: Der Generator arbeitet unbeirrt weiter. Wir halten das für das stärkste Argument überhaupt, denn was auch ohne Netz funktioniert, kann nichts "nach Hause funken". Ein Test dauert zehn Sekunden und ist aussagekräftiger als jedes Versprechen.

Wer will, legt sich die Seite obendrein wie eine App auf den Startbildschirm oder den Desktop. Unter Chrome und Edge finden Sie den Eintrag im Menü („App installieren“ bzw. „Zum Startbildschirm hinzufügen“), auf dem iPhone führt der Weg über die Teilen-Funktion in Safari. Dahinter steckt keine echte Anwendung aus einem Store, sondern genau diese Seite – nur eben mit eigenem Symbol und jederzeit griffbereit.

Weil die nötigen Kenntnisse gar keinen Server brauchen – der Check bringt sie mit. Er bedient sich derselben Werkzeuge wie ein Knack-Programm, nur eben zu Ihren Gunsten. Direkt auf Ihrem Gerät durchforstet er die Eingabe nach Ranglisten-Klassikern, nach Bausteinen aus dem Wörterbuch, nach Fingerläufen über die Tastatur („qwertz“), aufsteigenden Folgen, Wiederholungen und Jahreszahlen. Auch beliebte Verschleierungen durchschaut er, etwa die 3 als Ersatz fürs e. Was nach all diesen Abzügen übrig bleibt, zählt als echter Zufall – und genau das ergibt die Bit-Angabe.

Eines kann er dafür bewusst nicht: den Abgleich mit Datenbanken gestohlener Passwörter. Dazu müsste Ihre Eingabe (oder zumindest ein Stück ihrer Prüfsumme) das Gerät verlassen, und damit wäre das Grundversprechen dieser Seite hinfällig. Unser Rat gilt ohnehin generell: Tippen Sie ein echtes Passwort nirgendwo „nur mal zum Testen“ ein, wo etwas gesendet wird. Und sollte der Check hier Schwächen finden – der Knopf für ein neues Passwort ist ja nicht weit.

Die Skepsis ehrt Sie, denn die Grundregel lautet ja: Auf fremden Seiten gibt man Passwörter nicht ein. Wir halten diese Regel für richtig und haben den Check deshalb so gebaut, dass er ausschließlich in Ihrem Browser rechnet. Die Eingabe wird weder verschickt noch gespeichert, und sie wandert auch in keine andere Funktion dieser Seite. Nicht in den QR-Code, nicht in die Buchstabier-Ansicht, nicht ins Notfallblatt und nicht in den Datei-Export. Sie bleibt in ihrem Feld und verschwindet mit dem Tab.

Trotzdem sollten Sie uns nicht einfach vertrauen, sondern nachsehen! Schalten Sie das Gerät vorher offline, dann ist jede Übertragung technisch ausgeschlossen – das ist der eleganteste Test. Wem selbst das zu heikel ist, der prüft eine leicht abgewandelte Fassung seines Passworts, bspw. mit zwei vertauschten Zeichen. Am erkannten Muster ändert das praktisch nichts, an Ihrem Bauchgefühl womöglich schon.