Ein Zufallspasswort ist so stark wie seine Länge mal die Bit, die jedes Zeichen beisteuert. Mit Groß- und Kleinbuchstaben, Ziffern und den 14 Sonderzeichen umfasst der Zeichenvorrat 76 Zeichen, jedes bringt rund 6,25 Bit, und 16 Zeichen ergeben etwa 100 Bit. Der Generator erstellt Passwörter mit 4 bis 128 Zeichen und führt zu 16 Voreinstellungen für gängige Längen und Regeln.
Ein Startpunkt statt einer Einheitslösung
Das eine richtige Passwort gibt es nicht. Ein WLAN-Schlüssel, den Gäste am Fernseher eintippen, eine PIN fürs Handy und ein Datenbankpasswort, das in eine Konfigurationsdatei kopiert wird, haben ganz unterschiedliche Anforderungen. Diese Seite ist das allgemeine Werkzeug: Länge und Zeichenarten bestimmen Sie selbst. Wenn Sie schon wissen, wofür das Passwort gedacht ist, setzt eine der Voreinstellungen weiter unten passende Werte und erklärt, welche Grenzen in diesem Fall gelten.
Die Einstellungen im Überblick:
- Länge von 4 bis 128 Zeichen, voreingestellt 16, mit Schieberegler und Zahlenfeld, die sich gegenseitig anpassen.
- Erlaubte Zeichen: Großbuchstaben A–Z, Kleinbuchstaben a–z, Ziffern 0–9 und Sonderzeichen. Die Sonderzeichen sind genau
! # $ % & * + - = ? @ ^ _ ~, also 14 Stück. Anführungszeichen, Schrägstriche, Klammern, Kommas und Leerzeichen fehlen absichtlich, weil sie in Formularen, Kommandozeilen und Konfigurationsdateien den meisten Ärger machen. - Verwechselbare weglassen entfernt 0, O, o, 1, l, I und |, damit sich das Ergebnis vom Papier oder Bildschirm ohne Rätselraten abschreiben lässt.
- Von jeder gewählten Art mindestens ein Zeichen ist voreingestellt, für die vielen Dienste, die noch immer „ein Großbuchstabe, eine Ziffer, ein Sonderzeichen“ verlangen.
In fünf Schritten zum Passwort
- Stellen Sie die Länge mit dem Schieberegler ein oder tippen Sie eine Zahl zwischen 4 und 128.
- Schalten Sie Zeichenarten ein oder aus, je nachdem, was der Dienst oder das Gerät annimmt.
- Aktivieren Sie Verwechselbare weglassen, wenn Sie das Passwort jemals vorlesen oder von Hand abschreiben werden.
- Drücken Sie Neu erzeugen und sehen Sie sich die Entropie unter dem Ergebnis an; bei den voreingestellten 16 Zeichen sind es 99,7 Bit.
- Kopieren Sie das Passwort direkt in Ihren Passwort-Manager oder ins Anmeldeformular. Lehnt ein Dienst es ab, erzeugen Sie einfach ein neues.
So wird die Entropie berechnet
Entropie bedeutet hier: wie viele gleich wahrscheinliche Passwörter die Einstellungen hervorbringen können, ausgedrückt als Zweierpotenz. Ist ein Passwort eines von 2⁸⁰ möglichen, braucht ein Angreifer, der sie der Reihe nach probiert, im Schnitt 2⁷⁹ Versuche. Die Formel ist kurz:
Entropie in Bit = Länge × log2(Größe des Zeichenvorrats)
Mit jeder erlaubten Zeichenart wächst der Vorrat:
| Erlaubte Zeichen | Vorrat | Bit pro Zeichen |
|---|---|---|
| Nur Ziffern | 10 | 3,32 |
| Nur Kleinbuchstaben | 26 | 4,70 |
| Kleinbuchstaben und Ziffern | 36 | 5,17 |
| Groß-, Kleinbuchstaben und Ziffern | 62 | 5,95 |
| Alle vier Arten, ohne Verwechselbare | 70 | 6,13 |
| Alle vier Arten | 76 | 6,25 |
Zwei Details halten die Zahl ehrlich. Erstens wird jedes Zeichen gleichverteilt gezogen; die Formel ist also exakt und keine Schätzung menschlicher Gewohnheiten. Zweitens fallen mit Von jeder gewählten Art mindestens ein Zeichen manche Kombinationen weg, zum Beispiel ein Passwort nur aus Kleinbuchstaben. Die Anzeige zeigt dann einen etwas niedrigeren, vorsichtigen Wert, der nur die Passwörter mitzählt, die jede gewählte Art enthalten. Bei 8 Zeichen mit allen vier Arten enthalten nur 47,5 % der Zufallsfolgen tatsächlich alle vier, das kostet etwa 1,1 Bit. Bei 20 Zeichen sind es nur noch rund 0,1 Bit.
Entropie beschreibt ausschließlich das Raten. Gegen ein Passwort, das mehrfach verwendet, auf einer Phishing-Seite eingegeben oder von einem nachlässigen Dienst im Klartext gespeichert wird, hilft sie nicht. Für jedes Konto ein eigenes Passwort im Passwort-Manager löst den größten Teil davon.
Was das BSI empfiehlt und was die Rechnung ergänzt
Das BSI nennt auf seiner Seite für Verbraucher Beispiele, an denen man sich orientieren kann. Ein Passwort sei sicher, wenn es etwa 20 bis 25 Zeichen lang ist und zwei Zeichenarten nutzt, oder 8 bis 12 Zeichen lang ist und vier Zeichenarten nutzt, oder 8 Zeichen mit drei Zeichenarten hat und zusätzlich durch eine Mehr-Faktor-Authentisierung abgesichert ist. Grundsätzlich gelte: je länger, desto besser.
Wie viel Spielraum diese Beispiele lassen, zeigt die Rechnung für einen Offline-Angriff, also wenn etwa nach einem Datenleck die gespeicherten Hashwerte in fremde Hände geraten. Die Tabelle nennt die durchschnittliche Zeit, um ein Zufallspasswort mit allen vier Zeichenarten zu erraten, bei 10¹⁰ und 10¹² Versuchen pro Sekunde gegen einen schnellen Hash:
| Länge | Bit | 10¹⁰ pro Sekunde | 10¹² pro Sekunde |
|---|---|---|---|
| 8 | 50,0 | 15,5 Stunden | 9 Minuten |
| 10 | 62,5 | 10 Jahre | 37 Tage |
| 12 | 75,0 | 59.000 Jahre | 590 Jahre |
| 16 | 100,0 | 2 × 10¹² Jahre | 2 × 10¹⁰ Jahre |
| 20 | 125,0 | 6,6 × 10¹⁹ Jahre | 6,6 × 10¹⁷ Jahre |
Für Konten, die nur online angegriffen werden können und nach ein paar Fehlversuchen sperren, reichen kürzere Passwörter. Für alles, was offline angegriffen werden kann, sind 16 oder mehr Zufallszeichen eine bequeme Untergrenze. Die US-Richtlinie NIST SP 800-63B in der Fassung von 2025 verlangt für ein Passwort, das allein schützt, mindestens 15 Zeichen.
Deutsche Tastatur, fremdes Layout
Ein Passwort, das Sie nur kopieren und einfügen, darf jedes Sonderzeichen enthalten. Müssen Sie es dagegen von Hand eintippen, lohnt ein Blick auf die Tastatur. Auf deutschen QWERTZ-Tastaturen ist ^ eine Tottaste, die erst mit einem folgenden Leerzeichen erscheint, @ und ~ brauchen die Taste AltGr. Vor dem Start des Betriebssystems, an Smart-TVs oder auf geliehenen Rechnern kann außerdem ein englisches Layout aktiv sein, bei dem Y und Z vertauscht sind und Sonderzeichen woanders liegen. Für solche Fälle sind die Voreinstellungen No symbols und Wi-Fi (beide englisch) gedacht. Umlaute und ß erzeugt der Generator nie; das BSI rät ohnehin, darauf zu verzichten.
Voreinstellungen nach Länge
Jede der folgenden Seiten (englisch) setzt die Länge fest, die Sie trotzdem ändern können, lässt alle vier Zeichenarten an und behandelt Entropie, Ratezeiten und die Normen oder Systeme, die diese Länge nennen.
| Voreinstellung | Thema der Seite |
|---|---|
| 8 Zeichen | die alte Mindestlänge und warum 50 Bit gegen schnelle Hashes nicht lange halten |
| 10 Zeichen | was zwei Zeichen mehr bringen, Systeme mit Obergrenze 10 |
| 12 Zeichen | Mindestlänge nach PCI DSS 4.0 für Zahlungssysteme |
| 14 Zeichen | alte Windows-Richtlinien und die Grenze des LM-Hashs |
| 15 Zeichen | NIST-Mindestlänge, wenn das Passwort allein schützt |
| 16 Zeichen | die Länge, die US-Behörden der Öffentlichkeit empfehlen |
| 20 Zeichen | ab wann Durchprobieren nicht mehr die eigentliche Frage ist |
| 24 Zeichen | Reserve für Dienste, die bestimmte Zeichen verbieten |
| 32 Zeichen | Geheimnisse für Konfigurationsdateien, Datenbanken mit 30 oder 32 Zeichen Obergrenze |
| 64 Zeichen | Dienste sollen mindestens 64 Zeichen zulassen; außerdem: der WLAN-Hex-Schlüssel |
Voreinstellungen nach Regel
| Voreinstellung (englisch) | Regel |
|---|---|
| Memorable (einprägsam) | drei englische Wörter mit großem Anfangsbuchstaben, Bindestriche und zwei Ziffern |
| Wi-Fi (WLAN) | 20 Buchstaben und Ziffern, gut mit der Fernbedienung einzugeben |
| PIN | 6 zufällige Ziffern, einstellbar von 4 bis 12 |
| No symbols (ohne Sonderzeichen) | 16 Buchstaben und Ziffern für Dienste, die Satzzeichen ablehnen |
| Pronounceable (aussprechbar) | sechs Silben aus Konsonant und Vokal plus zwei Ziffern |
| Easy to type (leicht zu tippen) | Kleinbuchstaben und Ziffern in Vierergruppen mit Bindestrich |
Brauchen Sie etwas zum Merken statt zum Speichern, nehmen Sie den Passphrase-Generator. Ein vorhandenes Passwort bewertet der Password strength checker (englisch).
Wo das Passwort bleibt
Das Passwort entsteht durch JavaScript in diesem Tab. Es wird an keinen Server geschickt, nicht im Browser gespeichert und taucht nicht im Verlauf auf. Beim Kopieren landet es wie jeder andere Text in der Zwischenablage. Manche Systeme führen einen Verlauf der Zwischenablage, unter Windows etwa abrufbar mit Windows-Taste + V; leeren Sie ihn an einem gemeinsam genutzten Rechner. Neu laden oder schließen verwirft alles.
Unter der Haube
Die Zufallswerte stammen aus crypto.getRandomValues, dem kryptografisch sicheren Zufallsgenerator des Browsers. Ein Zufallsbyte in eines von 76 Zeichen zu verwandeln, braucht Sorgfalt: 256 ist kein Vielfaches von 76, ein einfacher Rest bei der Division würde die ersten 28 Zeichen etwas häufiger machen. Der Generator verwendet stattdessen Verwerfungsstichproben. Werte aus dem ungeraden Rest wirft er weg und zieht neu, sodass jedes Zeichen exakt dieselbe Chance hat. Dass beim Erzeugen nichts gesendet wird, können Sie in den Entwicklerwerkzeugen Ihres Browsers prüfen; die Methodik-Seite zeigt, wie.
Häufige Fragen
Ist ein erzeugtes Passwort besser als ein selbst ausgedachtes?
Ja, was das Erraten angeht. Menschen nutzen wiederkehrende Muster, etwa Großbuchstabe, Wort, Jahreszahl und Ausrufezeichen, und Knackprogramme probieren genau diese Muster zuerst. Ein erzeugtes Passwort hat kein Muster, das sich ausnutzen ließe, und deshalb lässt sich seine Entropie exakt berechnen.
Warum sinkt die Entropie mit „Von jeder gewählten Art mindestens ein Zeichen“?
Weil die Regel jede Kombination ausschließt, der eine Art fehlt. Weniger mögliche Passwörter bedeuten weniger Bit. Bei 8 Zeichen ist es etwa ein Bit, ab 16 Zeichen fast nichts mehr. Lassen Sie die Option an, wenn ein Dienst gemischte Zeichenarten verlangt.
Wird das Passwort schwach, wenn ich Verwechselbare weglasse?
Der Vorrat schrumpft von 76 auf 70 Zeichen, das sind etwa 0,12 Bit weniger pro Zeichen. Ein Passwort mit 16 Zeichen fällt von rund 100 auf rund 98 Bit. Ein Zeichen mehr gleicht das aus.
Wie lang darf ein Passwort höchstens sein?
Eine allgemeine Obergrenze gibt es nicht. NIST verlangt, dass Dienste mindestens 64 Zeichen zulassen; ältere Fassungen des OWASP-Prüfstandards rieten Entwicklern, mehr als 128 Zeichen abzulehnen. Manche Systeme begrenzen deutlich früher, deshalb nennen die Voreinstellungen die Grenzen, die für ihre Länge gelten.
Warum hat ein Dienst mein erzeugtes Passwort abgelehnt?
Meist wegen einer Regel, die der Generator nicht kennen kann: eine Höchstlänge, ein verbotenes Sonderzeichen oder eine Vorgabe wie „muss mit einem Buchstaben beginnen“. Passen Sie Länge oder Zeichenarten an und erzeugen Sie neu; ein weiterer Versuch kostet nichts.
Funktioniert der Generator auch offline?
Ja. Sobald die Seite geladen ist, braucht das Erzeugen keine Verbindung, weil alles auf Ihrem Gerät läuft.
Quellen
Geprüft am 11.10.2026.
- BSI: Sichere Passwörter erstellen: Beispiele für Länge und Zeichenarten, Verzicht auf Umlaute, Passwort-Manager.
- NIST SP 800-63B-4 (englisch)
- OWASP ASVS 4.0.3, V2.1 (englisch)
Zuletzt aktualisiert: