Wie man ein starkes Passwort generiert (und was es schwach macht)
Ein sicheres Passwort ist schwer zu erraten oder zu knacken. Aber „hart“ bedeutet nicht, dass viele Symbole und Zahlen durcheinander geraten – es bedeutet Entropie: genug Zufallslänge, dass selbst ein schneller Computer, der Milliarden von Kombinationen überprüft, Jahrhunderte dauern würde. Der einfachste Weg, dorthin zu gelangen, ist die Verwendung eines lokalen Passwortgenerators, der sicherstellt, dass die Zufälligkeit aus der Kryptographie und nicht aus einem vorhersehbaren Algorithmus stammt.
Was macht ein Passwort schwach?
Die meisten Passwörter sind schwach, weil sie auf etwas Einprägsamem basieren: einem Namen, einem Datum, einem Wort mit einem Großbuchstaben und einer Zahl am Ende. Wenn ein Passwort auf einem Muster basiert – einem echten Wort, einem Geburtstag, einem Satz –, ist das erste Werkzeug eines modernen Angreifers ein Wörterbuch dieser Muster und nicht rohe Gewalt. Sogar MyDog2024! Für einen Menschen sieht es zufällig aus, wird aber sofort geknackt, weil es dem gängigsten Passwortrezept folgt.
Der zweite Killer: Wiederverwendung. Wenn Sie auf zehn Websites dasselbe Passwort verwenden und eine dieser Websites gehackt wird, werden alle zehn Konten gelöscht. Viele Menschen haben keine Ahnung, wie viele „Passwort-Dump“-Datenbanken öffentlich und online durchsuchbar sind.
Die Länge ist wichtiger als Sonderzeichen
Ein verbreiteter Mythos: Passwörter benötigen eine Kombination aus Groß- und Kleinschreibung, Zahlen und Symbolen, um sicher zu sein. In Wirklichkeit kommt es auf die Länge an. Ein 16-stelliges Passwort aus Kleinbuchstaben hat nur weitaus mehr Entropie – und ist viel schwieriger zu knacken – als ein 8-stelliges Passwort mit jedem Sonderzeichen. Hier ist der Grund: Jedes hinzugefügte Zeichen vervielfacht den Suchraum. Ein 8-stelliges Passwort, das nur aus Kleinbuchstaben besteht, hat 26^8 Möglichkeiten (ca. 200 Millionen). Ein 16-stelliges Kleinbuchstaben-Passwort hat 26^16 (ca. 43 Billiarden).
Deshalb empfehlen mittlerweile viele Sicherheitsexperten Passphrasen – Folgen zufälliger Wörter – über herkömmliche „komplexe“ Passwörter. Sie sind leichter zu merken und weitaus stärker.
Passphrasen: der Diceware-Ansatz
Eine Passphrase ist lediglich eine Folge zufälliger Wörter. Das klassische Beispiel ist „correct-horse-battery-staple“: vier zufällige Wörter, mehr als 20 Zeichen, absurd stark und nicht so schwer zu merken. Sie können damit zufällige Passphrasen generieren Passphrase-Generator, wodurch sie aus einer Liste gebräuchlicher englischer Wörter erstellt werden. Fünf Wörter aus einer Liste mit 1.000 Wörtern ergeben mehr Entropie als eine 20-stellige Zufallsfolge aus Groß- und Kleinschreibung und Symbolen.
Wenn Sie ein herkömmliches Passwort benötigen – Symbole, gemischte Groß- und Kleinschreibung, Zahlen – verwenden Sie das Passwortgenerator stattdessen. Aber für die meisten Berichte ist ein Satz stärker und praktischer.
Hören Sie auf, Passwörter wiederzuverwenden
Die beste Angewohnheit ist: ein Passwort pro Site. Wenn Sie Passwörter wiederverwenden, leben Sie von geliehener Zeit. Sobald eine Website durchgesickert ist, werden Ihre anderen Konten offengelegt. Ein sicheres Passwort ist nur so gut wie die schwächste Website, die es verwendet. Um zu überprüfen, ob eines Ihrer Passwörter bei einem bekannten Verstoß offengelegt wurde, verwenden Sie die Prüfgerät für die Passwortstärke – Fügen Sie ein Passwort ein (nur Sie sehen es; nichts verlässt Ihren Browser) und Sie werden darüber informiert, ob es in öffentlichen Datenbanken für Verstöße erscheint.
PINs und numerische Passwörter
Einige Systeme erfordern nur Ziffern – Geldautomaten, Telefon-PIN-Codes, bestimmte Schlösser. Es gilt das gleiche Entropieprinzip: Länger ist stärker. Eine 4-stellige PIN hat nur 10.000 Möglichkeiten und ist in Millisekunden zu knacken. Eine 6-stellige PIN ist besser (1 Million Möglichkeiten); Eine 8-stellige PIN ist solide (100 Millionen). Wenn Sie einen zufälligen numerischen Code benötigen, der PIN-Generator erstellt sie sofort.
Warum lokal generieren?
Vertrauen Sie niemals einem Passwortgenerator auf dem Server einer anderen Person. Selbst wenn es gut gemeint ist, können Sie nicht überprüfen, ob echte Zufälligkeit verwendet wird oder dass nicht protokolliert wird, was es generiert. TextArray-Tools laufen vollständig in Ihrem Browser – es gibt keinen Server, keinen Upload, kein Protokoll. Der Passwortgenerator verwendet das Ihres Browsers crypto.getRandomValues, was wirklich zufällig ist, nicht Math.random, was vorhersehbar und aus Sicherheitsgründen niemals akzeptabel ist. Sobald die Seite geladen ist, funktioniert alles offline. Sie können dies selbst bestätigen, indem Sie Ihre Internetverbindung schließen und ein neues Passwort generieren.
Ein sicheres Passwort beginnt mit echter Zufälligkeit, ausreichender Länge für echte Entropie und der Disziplin, überall ein anderes zu verwenden. Überlassen Sie die harte Arbeit dem Browser.