Passwortgenerator - starke Passwörter, in Bit gemessen
Passwortgenerator
Jedes Passwort hier entsteht in Ihrem Browser und verlässt ihn nie. Ein Generator, der mit einem Server spricht, ist ein Generator, der weiß, was er erzeugt hat.
Was dieser Generator leistet
Zwei Dinge entscheiden, ob ein Passwort hält: wie viele Zeichen es hat und wie viele verschiedene Zeichen an jeder Stelle stehen konnten. Multipliziert ergibt das eine Bitzahl, den einzigen Wert, mit dem sich zwei Passwörter vergleichen lassen. Diese Seite zeigt diese Zahl, statt ein Wort wie "stark" zu raten.
So funktioniert es
- 1 Stellen Sie die Länge ein. Balken und Bitzahl aktualisieren sich beim Ziehen.
- 2 Wählen Sie die Zeichengruppen. Sonderzeichen wegzulassen kostet Bits, und der Zähler zeigt wie viele.
- 3 Klicken Sie auf Erzeugen und kopieren Sie das gewünschte. Fügen Sie es direkt in Ihren Passwortmanager ein.
Was ein Bit Entropie bringt
Jedes zusätzliche Bit verdoppelt die Arbeit eines Angreifers. Die Tabelle unten zeigt dieselbe Rechnung für vier gängige Alphabete und macht etwas deutlich, das viele überrascht: ein längeres Passwort aus einem kleinen Alphabet schlägt ein kurzes aus einem großen fast immer.
| Alphabet | 8 Zeichen | 12 Zeichen | 20 Zeichen |
|---|---|---|---|
| Nur Ziffern (10) | 27 | 40 | 66 |
| Kleinbuchstaben (26) | 38 | 56 | 94 |
| Buchstaben und Ziffern (62) | 48 | 71 | 119 |
| Alles, Sonderzeichen inklusive (76) | 50 | 75 | 125 |
Wie die Regel "eins aus jeder Gruppe" umgesetzt wird
Die übliche Abkürzung ist, ein zufälliges Passwort zu bauen und dann einige Stellen zu überschreiben, damit die Regel erfüllt ist — das macht diese Stellen vorhersagbar und schwächt das Ergebnis. Hier wird zuerst je ein Zeichen aus jeder Pflichtgruppe gezogen, der Rest aus dem gemeinsamen Vorrat gefüllt und alles gemischt, sodass keine Position verrät, aus welcher Gruppe sie stammt.
Woher die Zufälligkeit stammt
Aus der kryptografischen Zufallsquelle Ihres Geräts, über dieselbe Routine, die auch die Zufallswerkzeuge dieser Seite nutzen. Diese Routine zieht den Index per Verwerfungsstichprobe statt über einen Rest, denn ein einfacher Rest lässt kleine Indizes etwas häufiger auftreten — und das verkleinert beim Passwort still den Suchraum, den ein Angreifer abdecken muss.
Ein erzeugtes Passwort ist nur die halbe Arbeit
Ein derart zufälliges Passwort kann man sich nicht merken, und genau das ist der Sinn: es gehört in einen Passwortmanager, nicht in den Kopf oder auf einen Zettel. Selbst ein sehr starkes Passwort über mehrere Seiten wiederzuverwenden hebt die Stärke auf, denn ein einziges Leck öffnet dann alle Konten, die es teilen.