Kostenloser Online-Passwortgenerator
Erstelle starke Passwörter in Sekunden

Ein Brute-Force-Angriff probiert der Reihe nach alle möglichen Zeichenkombinationen durch — je länger und zufälliger das Passwort, desto länger dauert das. Ein Wörterbuchangriff probiert gängige Passwörter und ihre Varianten (z. B. „passwort123“). Credential Stuffing nutzt Daten aus früheren Datenlecks — wer dasselbe Passwort mehrfach verwendet, erleichtert Angreifern nach einem Leck den Zugriff auf weitere Konten. Phishing wiederum knackt das Passwort nicht technisch, sondern verleitet dich dazu, es freiwillig auf einer gefälschten Seite preiszugeben.

Entropie ist ein Maß für die Unvorhersehbarkeit eines Passworts, angegeben in Bit — je höher, desto mehr Versuche braucht ein Brute-Force-Angriff. Sie hängt von der Länge des Passworts und der Anzahl möglicher Zeichen je Position ab. Ein zusätzliches Zeichen erhöht die Zahl möglicher Kombinationen exponentiell, weshalb die Länge einen größeren Einfluss auf die Sicherheit hat als reine Komplexitätsregeln. Passly.pl zeigt die Entropie jedes generierten Passworts in Bit an.

Das US-Institut NIST (Special Publication 800-63B) ist von erzwungenen häufigen Passwortwechseln und starren Komplexitätsregeln abgerückt, da diese oft zu schwächeren, vorhersehbaren Passwörtern führten (z. B. „Passwort1!“ → „Passwort2!“). Stattdessen empfiehlt es lange Passwörter oder Passphrasen, deren Abgleich mit bekannten Datenleck-Datenbanken sowie einen Passwortwechsel nur bei Verdacht auf Kompromittierung.

2FA (oder MFA — Multi-Faktor-Authentifizierung) verlangt neben dem Passwort ein zweites Element zur Identitätsbestätigung: einen Code aus einer Authenticator-App, einen Hardware-Schlüssel (z. B. einen YubiKey) oder einen biometrischen Fingerabdruck. Selbst wenn das Passwort geleakt wird, kann sich ein Angreifer ohne den zweiten Faktor nicht anmelden. Das ist die einzelne Maßnahme, die die Folgen eines Passwort-Leaks am wirksamsten begrenzt.

Passkeys sind ein Anmeldestandard auf Basis von Public-Key-Kryptografie (FIDO2/WebAuthn) — statt eines Passworts speichert dein Gerät einen privaten Schlüssel, während der Server nur den öffentlichen Schlüssel kennt, der ohne das Gerät nicht zur Anmeldung nutzbar ist. Das eliminiert Phishing und Passwort-Lecks an der Quelle. Immer mehr Dienste unterstützen Passkeys, doch Passwörter bleiben noch viele Jahre verbreitet — deshalb ist ein Generator für starke Passwörter weiterhin sinnvoll.