Wie erstellt man ein starkes Passwort (Länge schlägt Komplexität)
Ein starkes Passwort ist lang, zufällig erzeugt und wird nirgendwo zweimal verwendet. Die Länge zählt dabei mehr als die Zeichenvielfalt: Ein 8-stelliges Passwort mit allen vier Zeichentypen ist in wenigen Tagen geknackt, ein 16-stelliges Passwort mit derselben Mischung würde bei heutigen Angriffsgeschwindigkeiten länger halten als das Universum bisher existiert.
Warum Länge wichtiger ist als Komplexität
Wie schwer ein Passwort zu erraten ist, hängt an einer einzigen Zahl: der Entropie, also der durchschnittlichen Anzahl an Rateversuchen, die ein Angreifer bis zum Treffer braucht. Entropie entsteht aus zwei Faktoren, dem Zeichensatz (wie viele mögliche Zeichen an jeder Position stehen können) und der Länge (wie viele Positionen es gibt).
Ein zusätzlicher Zeichentyp verändert den Zeichensatz kaum. Nur Kleinbuchstaben ergeben 26 mögliche Zeichen pro Position. Mit Großbuchstaben und Ziffern sind es 62. Kommen noch Sonderzeichen dazu, landet man bei rund 95. Der Sprung von reinen Kleinbuchstaben auf den vollen 95-Zeichen-Satz vervielfacht die Optionen pro Position also nur um den Faktor 3,7.
Ein zusätzliches Zeichen an Länge wirkt völlig anders: Es multipliziert die Gesamtzahl der möglichen Kombinationen mit der vollen Größe des Zeichensatzes, nicht mit 3,7. Bei 95 möglichen Zeichen pro Position multipliziert jedes weitere Zeichen die Gesamtzahl der Kombinationen mit 95. Genau deshalb kann ein längeres Passwort mit kleinerem Zeichensatz ein kürzeres mit allen Sonderzeichen schlagen: Länge summiert sich exponentiell, ein zusätzlicher Zeichentyp dagegen kaum.
Das erklärt auch, warum Passwortregeln, die auf “mindestens ein Sonderzeichen” bestehen, oft am eigentlichen Problem vorbeigehen. Ein Nutzer, der ein kurzes, gut merkbares Wort nimmt und ein einziges Ausrufezeichen anhängt, um die Regel zu erfüllen, gewinnt kaum Entropie dazu, verglichen mit jemandem, der einfach vier Zeichen mehr an ein zufälliges Passwort anhängt. Die Zeichensatzgröße bestimmt, wie stark jedes einzelne zusätzliche Zeichen wirkt, aber die Länge bestimmt, wie oft dieser Effekt überhaupt zum Tragen kommt.
Praxisbeispiel: Knackzeiten nach Länge und Zeichensatz
Die folgende Tabelle geht von einem Angreifer aus, der 10 Milliarden (10.000.000.000) Rateversuche pro Sekunde schafft, ein realistisches Tempo für einen modernen GPU-Cracking-Rig gegen eine offline kopierte Datenbank gehashter Passwörter. Im Schnitt braucht das Erraten die halbe Größe des gesamten Schlüsselraums.
| Länge | Nur Kleinbuchstaben (26 Zeichen) | Volle Mischung: Groß-/Kleinbuchstaben, Ziffern, Sonderzeichen (95 Zeichen) |
|---|---|---|
| 8 | 10,4 Sekunden | 3,8 Tage |
| 10 | 2,0 Stunden | 94,9 Jahre |
| 12 | 1,8 Monate | 8.567 Jahrhunderte |
| 16 | 691 Jahrhunderte | 697,8 Milliarden Jahrhunderte |
Zwei Dinge fallen sofort auf. Erstens ist ein 8-stelliges Passwort gegen Offline-Cracking niemals sicher, auch nicht mit allen vier Zeichentypen: 3,8 Tage liegen locker im Bereich dessen, was jemand investiert, der wirklich an Ihr Konto will. Zweitens bringt der Sprung von 12 auf 16 Zeichen im vollen Zeichensatz nicht nur eine Verbesserung, sondern verschiebt das Passwort von “in diesem Jahrhundert knackbar” auf eine Zahl, die als Zeitspanne praktisch keine Bedeutung mehr hat.
Die Rechnung dahinter: Die Entropie in Bit ergibt sich aus Länge mal Logarithmus zur Basis 2 der Zeichensatzgröße. Ein 16-stelliges Passwort mit allen vier Zeichentypen kommt auf 16 × log2(95) ≈ 105 Bit Entropie. Jedes zusätzliche Bit verdoppelt die Anzahl der nötigen Rateversuche, weshalb die Entropie mit wachsender Länge so schnell steigt.
Die Zahl der Sekunden pro Angreifer, 10 Milliarden Rateversuche, ist dabei keine Obergrenze, sondern eine realistische Annahme für Consumer-Hardware. Wer die Rechnung mit spezialisierten Cracking-Clustern durchführt, kommt auf noch höhere Werte, was die kurzen Zeiten in der linken Spalte der Tabelle nur noch kürzer macht, an der rechten Spalte mit 16 Zeichen aber praktisch nichts ändert: Selbst eine tausendfach schnellere Angriffsrate würde aus 697,8 Milliarden Jahrhunderten immer noch eine Zeitspanne machen, die weit jenseits jedes relevanten Planungshorizonts liegt. Genau darin liegt der Punkt der Tabelle, ab einer bestimmten Länge wird die genaue Angriffsgeschwindigkeit fast bedeutungslos, weil die Zahl der möglichen Kombinationen jede realistische Beschleunigung der Hardware überkompensiert.
Passwort generieren
Wählen Sie eine Länge von mindestens 16 Zeichen und lassen Sie alle vier Zeichentypen aktiviert, das bringt die höchste Entropie pro Zeichen. Das Passwort entsteht direkt im Browser über die Web Crypto API, es wird nichts an einen Server geschickt.
Häufige Fehler
Vorhersehbare Ersetzungen. “a” durch ”@” oder “o” durch “0” zu ersetzen, hebt die Entropie kaum an, weil Cracking-Tools solche Ersetzungen längst als Standardregel gegen jedes Wörterbuch-Wort testen. “P@ssw0rt1” fällt fast genauso schnell wie “passwort1”.
Ein starkes Passwort auf mehreren Seiten wiederverwenden. Ein einziges starkes Passwort, das auf zehn verschiedenen Seiten läuft, ist nur so sicher wie die schwächste dieser zehn Seiten. Sobald eine davon von einem Datenleck betroffen ist, probieren Credential-Stuffing-Bots dieselbe Kombination aus E-Mail und Passwort innerhalb weniger Stunden bei Banken, E-Mail-Anbietern und sozialen Netzwerken durch. Ein eigenes, frisch generiertes Passwort pro Seite begrenzt den Schaden auf ein einzelnes Konto.
Nur das Minimum erfüllen statt mehr anzustreben. Viele Seiten verlangen “mindestens 8 Zeichen, eine Ziffer, ein Sonderzeichen”. Das ist eine Untergrenze, kein Ziel. Ein 8-stelliges Passwort, das gerade so die Anforderung erfüllt, fällt trotzdem innerhalb weniger Tage einem Offline-Angriff zum Opfer, wie die Tabelle oben zeigt. 16 Zeichen sollten für alles gelten, dessen Verlust Sie stören würde.
Passwörter nur im Kopf behalten. Der Versuch, sich ein Dutzend eindeutiger, 16-stelliger Zufallspasswörter zu merken, endet bei den meisten Menschen doch wieder bei schwachen, wiederverwendeten oder nur leicht abgewandelten Varianten. Ein Passwort-Manager löst das, indem er pro Seite ein eigenes starkes Passwort generiert und speichert, sodass nur noch ein einziges Master-Passwort im Kopf bleiben muss.
Ein Passwort behalten, nachdem der Dienst gehackt wurde. Viele Menschen erfahren erst Monate nach einem Datenleck davon, weil die betroffene Firma es spät meldet oder der Nutzer die Benachrichtigung übersieht. Solange dasselbe Passwort noch woanders im Einsatz ist, bleibt das Risiko bestehen, auch wenn das ursprünglich betroffene Konto längst geschlossen wurde. Ein Blick in einen Leak-Checker oder den integrierten Warndienst des eigenen Passwort-Managers deckt solche Fälle zuverlässiger auf, als darauf zu warten, dass jemand persönlich informiert wird.
Häufig gestellte Fragen
Ist ein 20-stelliges Passwort aus nur Buchstaben und Ziffern sicherer als ein 10-stelliges mit Sonderzeichen? Ja, und zwar deutlich. Die Länge dominiert die Entropie-Formel. Ein 20-stelliges alphanumerisches Passwort (62 Zeichen) kommt auf rund 119 Bit Entropie, ein 10-stelliges Passwort mit vollem Zeichensatz (95 Zeichen) nur auf etwa 66 Bit, ein Unterschied von rund 9 Billiarden mal mehr möglichen Kombinationen.
Wie oft sollte ich ein starkes, eindeutiges Passwort ändern? Wenn es zufällig generiert wurde, nur für ein einziges Konto verwendet wird und es keine Hinweise auf ein Datenleck gibt, bringt ein routinemäßiger Wechsel keinen Sicherheitsgewinn. Ändern Sie ein Passwort sofort, wenn der Dienst ein Datenleck meldet, wenn Sie es vorher anderswo wiederverwendet hatten, oder wenn Sie vermuten, dass es kompromittiert wurde, etwa durch Phishing, Mitlesen oder ein infiziertes Gerät.
Sind Online-Passwort-Generatoren sicher? Das hängt davon ab, wo die Erzeugung stattfindet. Dieses Tool erzeugt das Passwort vollständig im Browser mit dem kryptografisch sicheren Zufallszahlengenerator der Web Crypto API, das Passwort wird nirgendwo übertragen, es gibt also nichts, was ein Server protokollieren oder verlieren könnte. Generatoren, die das Passwort serverseitig erzeugen und Ihnen erst danach anzeigen, sollten Sie meiden.
Was ist eine Passphrase, und ist sie besser als ein Zufallspasswort? Eine Passphrase reiht mehrere zufällige, unzusammenhängende Wörter aneinander (nach der Diceware-Methode) statt einzelner Zeichen. Vier Wörter aus einer großen Wortliste (rund 7.776 Wörter, etwa 12,9 Bit pro Wort) erreichen zusammen ungefähr 40 bis über 50 Bit Entropie, lassen sich dabei aber deutlich leichter tippen und merken als ein gleich starkes Zufallspasswort. Für ein einprägsames Master-Passwort, etwa für den eigenen Passwort-Manager, ist das eine gute Wahl. Für jedes andere Konto ist ein generiertes Zufallspasswort aus diesem Manager bei gleicher Länge einfacher und stärker.