Passwörter sind der Teil der IT-Sicherheit, den jeder selbst in der Hand hat – und trotzdem der Teil, an dem am meisten schiefgeht. Nicht, weil die Leute leichtsinnig wären, sondern weil sich hartnäckig ein paar Regeln halten, die nie besonders gut waren: ein Sonderzeichen rein, ein „i“ durch eine „1″ ersetzen, alle drei Monate wechseln.
Ich habe den Passwort-Generator, der früher mitten in diesem Beitrag steckte, auf eine eigene Seite umgezogen. Dort hat er mehr Platz, funktioniert auf dem Handy vernünftig und kann jetzt auch merkbare Wortketten erzeugen. Dieser Beitrag erklärt, was dahintersteckt.
Der Generator hat jetzt eine eigene Seite
Der Generator läuft vollständig in Ihrem Browser. Der Zufall kommt aus crypto.getRandomValues(), der kryptografischen Zufallsquelle des Browsers – nicht aus Math.random(), das für so etwas ungeeignet ist. Es gibt keinen Serveraufruf, kein Logging und keine Speicherung: Was dort entsteht, verlässt Ihr Gerät nicht. Sie können die Seite sogar lokal speichern und offline benutzen.
Neu ist die Stärkeanzeige in Bit statt einer Ampelfarbe, und der zweite Modus für Passphrasen. Alle anderen Werkzeuge finden Sie auf der Tools-Seite.
Die Fehler, die ich am häufigsten sehe
- Dasselbe Passwort mehrfach. Der größte Schaden entsteht fast nie durch Raten, sondern durch Wiederverwendung. Ein Leck bei einem kleinen Shop wird automatisiert bei Mail, Cloud und Bank durchprobiert.
- Kurz, dafür kompliziert.
P4ssw0rt!ist ein Wörterbuchwort mit Ersetzungen, die jedes Cracking-Tool kennt. Acht Zeichen bleiben acht Zeichen. - Persönliches drin. Geburtsjahr, Hundename, Straße – alles, was auf einem Social-Media-Profil steht, steht auch in den Wortlisten der Angreifer.
- Wechseln nach Kalender. Erzwungene Wechsel führen zu
Sommer2025!undSommer2026!. Wechseln Sie bei Anlass, nicht nach Turnus. - Im Browser gespeichert und sonst nichts. Besser als nichts, aber ohne zweiten Faktor und ohne Master-Passwort ist der Tresor nur so sicher wie das Gerät.
Was ein Passwort stark macht
Zwei Dinge: Länge und echter Zufall. Länge wirkt exponentiell, Zeichenvielfalt nur linear – jedes zusätzliche Zeichen vervielfacht den Aufwand, ein weiteres Sonderzeichen vergrößert nur den Vorrat. Deshalb schlägt ein zwanzigstelliges Passwort aus Klein- und Großbuchstaben ein achtstelliges mit allem Drum und Dran deutlich.
Gemessen wird das in Bit: Jedes zusätzliche Bit verdoppelt den Aufwand. Rund 50 Bit sind heute in Minuten durchprobiert, 75 Bit halten einige hundert Jahre, ab 100 Bit ist Raten auf absehbare Zeit sinnlos. Als Richtwert nehme ich 16 Zeichen für normale Konten und 20 für Mail, Cloud und Bank. Wichtig dabei: Diese Werte gelten nur für zufällig erzeugte Passwörter. Ein selbst ausgedachtes Passwort gleicher Länge hat deutlich weniger, weil Menschen beim Ausdenken sehr vorhersehbar sind.
Passphrasen für die Passwörter, die Sie tippen müssen
Zwei, drei Passwörter muss man im Kopf haben: die Geräte-Anmeldung und das Master-Passwort des Passwort-Managers. Genau dafür ist der Passphrasen-Modus da. Er zieht zufällige Wörter aus einer festen Liste und hängt sie aneinander, etwa anker-blau-hafen-nebel-73. Das lässt sich tippen, auch auf einer Handytastatur, und es lässt sich merken.
Der Haken: Zufällig gezogen muss es sein. Ein selbst ausgedachter Satz aus dem Lieblingslied ist keine Passphrase, sondern ein langes, schlechtes Passwort. Und weil die Wortliste überschaubar ist, braucht es mehr Wörter, als man denkt – acht sind ein vernünftiger Standard, nicht vier.
Passwort-Manager: welcher wofür
Niemand merkt sich sechzig zufällige Passwörter. Ein Manager erzeugt, speichert und füllt sie aus; man selbst kennt nur noch das Master-Passwort. Welchen man nimmt, ist weniger wichtig, als dass man überhaupt einen nimmt.
Bitwarden
Open Source, unabhängig prüfbar, und die kostenlose Variante reicht für die allermeisten: unbegrenzt viele Einträge, Synchronisierung über alle Geräte. Wer möchte, hostet den Server selbst. Das ist die Empfehlung, die ich am häufigsten ausspreche. bitwarden.com
1Password
Am rundesten in der Bedienung, sehr gute Familien- und Team-Funktionen, durchdachte Wiederherstellung. Es gibt keine kostenlose Variante – wer Bedienkomfort über Preis stellt, ist hier richtig. 1password.com
NordPass
Aus dem Umfeld von NordVPN, schlank und schnell eingerichtet, mit eingeschränkter Gratisversion. Sinnvoll vor allem, wenn ohnehin andere Nord-Dienste im Einsatz sind. nordpass.com
Dazugekommen ist in den letzten Jahren Proton Pass, das ebenfalls eine brauchbare kostenlose Stufe hat und für alle interessant ist, die schon Proton Mail nutzen.
Zwei-Faktor-Authentifizierung ist der größere Hebel
Wenn Sie nach diesem Beitrag nur eine Sache umsetzen, dann diese: Zwei-Faktor-Authentifizierung für Mail, Domain-Verwaltung, Hosting und das WordPress-Backend. Ein gestohlenes Passwort ist damit für sich genommen wertlos. App-basierte Codes oder ein Hardware-Schlüssel sind dabei deutlich besser als SMS.
Bei WordPress-Projekten gehört das für mich zur Grundausstattung – zusammen mit einem funktionierenden Backup und sauber geregelten Zugriffen, was auch datenschutzrechtlich eine Rolle spielt.
Fazit
Lang, zufällig, pro Dienst ein eigenes, im Manager verwahrt und mit zweitem Faktor abgesichert – mehr ist es nicht. Den Rest übernimmt Software. Das Passwort selbst erzeugen Sie in ein paar Sekunden mit dem Passwort-Generator.
Wenn Sie bei Ihrem Projekt unsicher sind, wo die Zugänge liegen und wer worauf Zugriff hat: Schreiben Sie mir kurz, das lässt sich meist in einem Gespräch klären.
Gunther Schoepf