Passphrase-Generator

Ein sicheres Passwort, das man sich merken kann

Eine Passphrase, auf Deutsch auch Passwortsatz genannt, ist ein Passwort aus mehreren gewöhnlichen Wörtern, die zufällig gezogen werden, zum Beispiel giraffe-trommel-zitrone-leiter. Gleich beim Öffnen der Seite schlägt das Werkzeug einen Satz aus 4 Wörtern mit Bindestrichen vor. Jede Änderung einer Einstellung und jeder Klick auf „Neuer Satz“ zieht einen neuen.

Warum Wörter? Weil sich das Gedächtnis vier Bilder viel leichter merkt als eine Folge wie K7#qz!Lp. Und weil die Sicherheit aus Länge und Zufall entsteht, nicht aus seltsamen Zeichen: Ein kurzes, „kompliziertes“ Passwort, das sich ein Mensch ausdenkt, etwa Sommer2024!, folgt Mustern, die Angriffsprogramme zuerst ausprobieren.

So funktioniert es

1. Wählen Sie die Anzahl der Wörter, von 3 bis 10.
2. Wählen Sie die Sprache der Wörter: Deutsch ist voreingestellt, außerdem gibt es Französisch, Englisch, Spanisch und Italienisch.
3. Wählen Sie das Trennzeichen: Bindestrich, Leerzeichen, Punkt, Unterstrich oder keins.
4. Setzen Sie bei Bedarf ein Häkchen bei „Jedes Wort großschreiben“, „Eine Ziffer hinzufügen“ oder „Ein Sonderzeichen hinzufügen“. „Umlaute ersetzen (ä → ae)“ ist von Anfang an aktiv: Aus käse wird kaese, aus löwe wird loewe. So lässt sich der Satz auf jeder Tastatur tippen, auch im Urlaub oder am Fernseher.
5. Stellen Sie die Anzahl der Sätze (1 bis 10) ein, wenn Sie auswählen möchten, und klicken Sie auf „Kopieren“. Die Leertaste zieht neu.

Ohne die Option Großschreibung erscheinen alle Wörter klein, auch die Substantive. Unter dem Satz zeigt das Werkzeug seine Länge in Zeichen (30 beim Beispiel oben) und seine Stärke: eine Zahl in Bit, eine Stufe (schwach unter 40 Bit, ausreichend von 40 bis 60, stark von 60 bis 80, sehr stark darüber) und einen Satz, der die Rechnung erklärt.

So wird die Stärke berechnet

Die deutsche Liste enthält 1.296 gebräuchliche Wörter. Jedes Wort wird mit dem kryptografischen Zufallsgenerator Ihres Browsers aus dieser Liste gezogen, es gibt also 1.296 Möglichkeiten pro Wort. In Bit ausgedrückt: log2(1.296) = 10,34 Bit pro Wort.

Die Ziffer ist eine von 10 und hängt am Ende eines der Wörter: Bei 4 Wörtern sind das 40 Möglichkeiten, also 5,32 Bit mehr. Das Sonderzeichen ist eines von 8 (! ? # $ % & * @), ebenfalls am Ende eines Wortes: 32 Möglichkeiten bei 4 Wörtern, 5 Bit mehr. Die Rechnung geht davon aus, dass ein Angreifer die Liste und Ihre Einstellungen kennt: Die Sicherheit beruht allein auf dem Zufall. Zum Vergleich: 8 echt zufällige Zeichen aus 94 ergeben 52,4 Bit. 5 Wörter liegen gleichauf, 6 Wörter darüber, und beide merkt man sich viel leichter.

Wie viele Wörter?

4 Wörter reichen für ein gewöhnliches Konto bei einem Dienst, der Anmeldeversuche begrenzt (Sperre nach mehreren Fehlversuchen, Wartezeit zwischen zwei Versuchen): Bei Billionen von Kombinationen ist Raten über das Netz aussichtslos.

6 Wörter oder mehr für alles, was offline und ohne Begrenzung angegriffen werden kann: das Hauptpasswort eines Passwort-Managers oder das Passwort einer Festplattenverschlüsselung. Jedes weitere Wort vervielfacht die Kombinationen um den Faktor 1.296. Das ist ein Sicherheitspolster, keine Garantie.

Worauf es ankommt

• Zufällig gezogene Wörter, nicht ausgesuchte. Tauschen Sie ein Wort gegen ein schöneres, stimmt die Rechnung nicht mehr. Ein Zitat, ein Sprichwort oder eine Liedzeile ist kein Passwortsatz: Solche Texte stehen in den Listen, die Angreifer durchprobieren.
• Für jedes Konto ein eigener Satz. Wird ein Dienst gehackt, bleiben die anderen Konten geschützt.
• Ein Passwort-Manager merkt sich alle anderen Passwörter: Sie lernen nur noch einen Satz auswendig.
• Zwei-Faktor-Authentisierung, wo immer sie angeboten wird: ein Code auf dem Handy oder ein Sicherheitsschlüssel zusätzlich zum Passwort.

Passwort merken leicht gemacht: Stellen Sie sich eine Szene mit den Wörtern in ihrer Reihenfolge vor: Eine Giraffe trommelt auf einer Leiter und hat eine Zitrone im Maul. Tippen Sie den Satz in den ersten Tagen ein paar Mal, statt ihn nur zu lesen.

Ein Dienst verlangt eine Ziffer, einen Großbuchstaben oder ein Sonderzeichen? Setzen Sie die passenden Häkchen, statt den Satz von Hand zu ändern.

Was das Werkzeug nicht tut

Der Satz entsteht in Ihrem Browser und wird weder übertragen noch gespeichert: Nur Ihre Einstellungen bleiben für den nächsten Besuch auf Ihrem Gerät. Das Werkzeug prüft nicht, ob ein Satz in einem Datenleck auftaucht, und bewahrt ihn nicht auf: Kopieren Sie ihn, bevor Sie die Seite schließen. Für ein klassisches Passwort aus zufälligen Zeichen bietet die Seite außerdem einen Passwort-Generator.

Häufige Fragen

Ist ein Satz nur aus Kleinbuchstaben sicher genug?

Ja. Die Stärke kommt von der Zahl der zufällig gezogenen Wörter. Großbuchstaben ändern an der Rechnung fast nichts; sie dienen vor allem Diensten, die welche verlangen.

Warum werden die Umlaute ersetzt?

Damit Sie den Satz auch auf einer ausländischen Tastatur, am Handy oder am Fernseher eingeben können. Kein Wort der Liste fällt dabei mit einem anderen zusammen.

Ist ein Leerzeichen ein gutes Trennzeichen?

Es tippt sich leicht, aber manche Dienste lehnen Leerzeichen ab oder entfernen sie. Der Bindestrich wird fast überall akzeptiert.

Darf ich so lange neu ziehen, bis mir die Wörter gefallen?

Zwei- oder dreimal neu ziehen ändert wenig. Wer lange nach „sprechenden“ Wörtern sucht, verringert den Zufall: Nehmen Sie lieber ein Wort mehr.