Passwortgenerator

Entropie nach Länge und Zeichensatz

Was Entropie praktisch bedeutet

• 40 Bit: lässt sich heute mit einer einzelnen GPU in Tagen knacken. Für Wegwerfkonten vertretbar.
• 60 Bit: widersteht Online-Angriffen, ist aber gegen gezieltes Offline-Cracking anfällig.
• 80 Bit: stark gegen Offline-Cracking mit aktueller Hardware.
• 100 Bit: praktisch nicht knackbar, bis Quantencomputer deutlich reifer sind.
• 128 Bit: entspricht der Stärke eines AES-128-Schlüssels.

Für die meisten Online-Konten sind 16 Zeichen aus dem vollen Zeichensatz (105 Bit) mehr als genug. Bankkonten, Master-Passwörter für Passwortmanager, Krypto-Wallets und vollständige Festplattenverschlüsselung verdienen 20 oder mehr Zeichen.

Warum Zeichenklassen wichtig sind

Jede Klasse fügt pro Zeichen weitere Möglichkeiten hinzu. Bei 26 Kleinbuchstaben trägt ein Zeichen log₂(26) = 4,7 Bit bei. Mit Großbuchstaben sind es 52 Zeichen und 5,7 Bit pro Zeichen. Mit Ziffern steigt der Zeichensatz auf 62 Zeichen und 5,95 Bit. Mit Symbolen werden es 94 Zeichen und 6,55 Bit. Über 16 Zeichen summiert sich dieser Unterschied auf rund 30 Bit, also auf den Unterschied zwischen “knackbar” und “den Versuch nicht wert”.

Wann verwechselbare Zeichen sinnvoll ausgeschlossen werden

Wenn ein Passwort ohne Kopieren und Einfügen von einem Bildschirm abgetippt werden muss, etwa bei Konsoleninstallern, manchen Hardware-Wallets oder beim Vorlesen für eine andere Person, verhindern ausgeschlossene Zeichen wie 0, O, 1, l und I Übertragungsfehler. Der Entropieverlust ist gering, meist 2-3 Bit von über 80 Bit.

Workflow mit einem Passwortmanager

1. Installiere einen Passwortmanager wie Bitwarden, 1Password oder KeePass.
2. Setze eine starke Master-Passphrase aus 6-8 zufälligen Wörtern. Der Passphrase-Generator hilft dabei.
3. Nutze den Generator des Managers für jede Website und akzeptiere die starken Standardeinstellungen.
4. Verwende Passwörter niemals mehrfach, auch nicht für scheinbar unwichtige Konten.
5. Aktiviere 2FA überall, wo es unterstützt wird.

Manuell getippte Passwörter sollten selten sein: für das Master-Passwort, für vollständige Festplattenverschlüsselung und eventuell für die Anmeldung am Arbeitsrechner.

Dinge, die nicht helfen

• Alle 90 Tage wechseln. Erzwungene Rotation fördert vorhersehbare Muster wie Sommer2024 zu Herbst2024. NIST SP 800-63B rät ausdrücklich davon ab.
• Auf Papier im Portemonnaie notieren. Sicherer als schwache Passwörter wiederzuverwenden, aber schlechter als ein Passwortmanager.
• Sicherheitsfragen mit echten Antworten. Die “erste Schule” lässt sich bei vielen Menschen leicht recherchieren. Erzeuge zufällige falsche Antworten und speichere sie im Passwortmanager.