Kostenloses Werkzeug · Passwort-Generator
Ein sicheres Kennwort – erzeugt in Ihrem Browser.
Nichts davon verlässt Ihr Gerät. Es gibt zu dieser Seite keine Serveranfrage, in die ein Kennwort hineingeraten könnte – und die Stärkeangabe ist gerechnet, nicht aus einer Ampelfarbe geschätzt.
Ihr Kennwort
Gerechnet mit der Hälfte aller Möglichkeiten – im Mittel ist ein zufälliges Kennwort nach der Hälfte gefunden, nicht erst am Ende. Die drei Raten stehen in den Zeilen darüber; sie sind die Annahme, auf der jede dieser Zeitangaben beruht.
Nichts von dem, was hier steht, verlässt Ihr Gerät. Das Kennwort entsteht im Browser aus dem Zufallsgenerator des Betriebssystems; es gibt zu dieser Seite keine Serveranfrage, in die es hineingeraten könnte. Nachprüfen können Sie das selbst: Entwicklerwerkzeuge öffnen, Reiter „Netzwerk“, ein Kennwort erzeugen – es bleibt leer.
14Jahre
unternehmerisch im IT-Betrieb, GmbH seit 2020
InternationaleExpertise
Betreuung in Deutschland, Europa und dem Nahen Osten
99,9 %Verfügbarkeit
der Cloud-Services, je Kalendermonat
15 Min.Reaktionszeit
im Notfall, rund um die Uhr
ISO 27001zertifiziert
Partner-Rechenzentren in Deutschland
Der eigentliche Punkt
Ein starkes Kennwort auf einem Zettel ist ein schwaches Kennwort.
Wir sehen das bei Übernahmen regelmäßig: Der Generator wurde benutzt, das Kennwort ist vierundzwanzig Zeichen lang – und es steht auf einem Klebezettel am Monitor, weil sich niemand vierundzwanzig zufällige Zeichen merkt. Daran ist nicht der Mensch schuld, sondern das Verfahren.
Der Weg heraus ist ein Passwortverwalter. Er erzeugt, speichert und trägt die Kennwörter selbst ein; zu merken bleibt genau eines – das Hauptkennwort. Dafür ist der Merksatz in diesem Werkzeug gedacht: acht zufällige Wörter kann man sich einprägen, eine gleichstarke Zeichenfolge nicht.
Im Betrieb kommt eine zweite Sache hinzu, die es privat nicht gibt: geteilte Zugänge. Das Konto beim Lieferanten, der Zugang zur Telefonanlage, die Verwaltungsoberfläche der Firewall. Diese Kennwörter kennen mehrere, und sobald jemand das Haus verlässt, müssen sie wechseln. Ohne Verwalter weiß niemand, welche das sind – und dann wechselt keines.
Vier Regeln
Was tatsächlich hilft – in der Reihenfolge der Wirkung
Länge vor Zeichensalat
Zwanzig Zeichen aus Kleinbuchstaben sind stärker als zehn Zeichen aus allen vier Zeichenarten. Wer wählen muss, wählt die Länge – sie wirkt im Exponenten, die Zeichenvielfalt nur in der Basis.
Ein Kennwort je Zugang, ohne Ausnahme
Der häufigste Schaden entsteht nicht durch ein schwaches Kennwort, sondern durch ein wiederverwendetes. Fällt ein Dienst, an dem Sie nichts ändern können, probieren Angreifer dieselbe Kombination überall durch – automatisiert, binnen Stunden.
In einen Verwalter, nicht auf einen Zettel
Ein erzeugtes Kennwort merkt sich niemand. Merken muss man genau eines: das Hauptkennwort des Verwalters – und dafür ist der Merksatz gedacht. Alles andere übernimmt das Programm, und damit fällt auch das Abtippen weg, bei dem sonst Fehler entstehen.
Zweiten Faktor einschalten, wo es geht
Ein zweiter Faktor rettet den Zugang auch dann, wenn das Kennwort bekannt wird. Bei E-Mail, Fernzugang und Verwaltungskonsolen ist das keine Zusatzausstattung, sondern die Stelle, an der ein Einbruch entweder endet oder anfängt.
Die Aussage zum planmäßigen Kennwortwechsel stützt sich auf den IT-Grundschutz des BSI (Baustein ORP.4) und auf NIST SP 800-63B. Beide Fundstellen stehen in den strukturierten Daten dieser Seite.
Häufige Fragen
Wird mein Kennwort an Ihren Server übertragen?
Nein, und das lässt sich nachprüfen: Das Kennwort entsteht im Browser aus dem Zufallsgenerator Ihres Betriebssystems. Zu dieser Seite gibt es keine Schnittstelle, an die etwas gesendet werden könnte. Öffnen Sie die Entwicklerwerkzeuge, wählen Sie den Reiter „Netzwerk“ und erzeugen Sie ein Kennwort – es bleibt leer.
Warum kann ich hier mein eigenes Kennwort nicht auf Stärke prüfen?
Weil die Antwort falsch wäre. Die Stärkeformel gilt nur für zufällig erzeugte Zeichenfolgen. „Sommer2024!“ hätte nach ihr 72 Bit und ist in Sekunden geraten, weil es in jeder Wörterbuchliste mit den üblichen Ersetzungen steht. Ein Werkzeug, das dafür „stark“ anzeigt, richtet mehr Schaden an als keines – deshalb gibt es dieses Feld hier nicht.
Was ist ein Merksatz und wann ist er besser?
Mehrere zufällig gewählte Wörter, durch ein Zeichen getrennt. Er ist dann besser, wenn ein Mensch ihn eingeben oder sich merken muss: das Hauptkennwort des Passwortverwalters, die Anmeldung am Rechner, die Verschlüsselung eines Laufwerks. Die Liste hier hat 512 Wörter, also genau 9 Bit je Wort – sechs Wörter ergeben 54 Bit, acht Wörter 72. Für alles andere ist eine Zeichenfolge aus dem Verwalter die richtige Wahl, weil sie ohnehin nur kopiert wird.
Muss ich Kennwörter regelmäßig wechseln?
Nach heutigem Stand nicht, solange kein Anlass besteht. Das BSI hat die Empfehlung zum planmäßigen Wechsel 2020 aus dem Grundschutz genommen, und das NIST hatte sie 2017 aufgegeben – aus demselben Grund: Wer alle neunzig Tage wechseln muss, hängt eine Ziffer an und macht das Kennwort dadurch schwächer, nicht stärker. Gewechselt wird bei einem Anlass: bei einem Verdacht, bei einem gemeldeten Datenabfluss, beim Ausscheiden eines Mitarbeiters.
Welche Zeichen lässt der Generator weg und warum?
Anführungszeichen, Apostroph, Backslash, Semikolon und das kaufmännische Und stehen nicht im Vorrat. Nicht weil sie schwach wären, sondern weil sie in älteren Eingabemasken, in CSV-Übergaben und auf Kommandozeilen regelmäßig abgeschnitten oder umgedeutet werden. Ein Kennwort, das beim Anlegen angenommen und beim Anmelden verstümmelt wird, sperrt den Benutzer aus – und die Ursache findet dann niemand.
Was bedeutet die Angabe in Bit?
Sie sagt, wie viele Möglichkeiten durchprobiert werden müssen: 50 Bit sind rund eine Billiarde Kombinationen. Jedes zusätzliche Bit verdoppelt den Aufwand. Unter 45 Bit ist ein Kennwort für ernste Zwecke zu schwach, ab 80 Bit liegt es außerhalb dessen, was sich mit gemieteter Rechenleistung in vertretbarer Zeit durchprobieren lässt.
Weiterlesen: IT-Sicherheit im Unternehmen · Windows-Kennwort vergessen · Anmeldung fehlgeschlagen · Alle Werkzeuge im Überblick