Wie lang sollte ein Passwort sein? Die Rechnung einfach erklärt

Passwortregeln lieben Sonderzeichen: ein Großbuchstabe, eine Ziffer, ein Sonderzeichen. Angreifer interessiert etwas ganz anderes viel mehr: wie viele mögliche Passwörter sie durchprobieren müssten.

Jedes Zeichen vervielfacht den Aufwand

Mit Klein- und Großbuchstaben, Ziffern und Sonderzeichen wählt der 4Dev-Generator aus 88 möglichen Zeichen. Jedes zusätzliche Zeichen multipliziert die Zahl der Kombinationen mit 88. Mehr Länge lässt den Suchraum exponentiell wachsen; ein Sonderzeichen mehr in einem kurzen Passwort hilft kaum.

8 Zeichen   88^8  ≈ 3,6 × 10^15  ≈ 52 Bit
12 Zeichen  88^12 ≈ 2,2 × 10^23  ≈ 78 Bit
16 Zeichen  88^16 ≈ 1,3 × 10^31  ≈ 103 Bit

Was das praktisch bedeutet

Wird eine Datenbank mit Passwort-Hashes geleakt, testen Angreifer offline mit Grafikkarten, Milliarden Versuche pro Sekunde gegen schnelle Hashes. Ein zufälliges 8-stelliges Passwort kann in Stunden oder Tagen fallen. Bei 12 Zeichen würde es Zehntausende Jahre dauern, und 16 Zeichen liegen außerhalb jedes realistischen Angriffs.

Das entscheidende Wort ist zufällig

Diese Zahlen gelten nur für wirklich zufällige Passwörter. Sommer2024! hat 11 Zeichen, gehört aber zu den ersten Versuchen eines Angreifers, weil es einem menschlichen Muster folgt. Wörter, Namen, Daten und Tastaturfolgen werden lange vor zufälligen Zeichenketten getestet.

Praktische Tipps

Nimm mindestens 12 Zeichen, und 16 oder mehr für E-Mail, Bank und alles, womit sich andere Konten zurücksetzen lassen. Für jede Website ein eigenes Passwort, gespeichert in einem Passwort-Manager, und Zwei-Faktor-Authentifizierung, wo immer es geht. Lehnt eine Seite Sonderzeichen ab, hänge stattdessen ein paar Zeichen an.

Passphrasen: lang und leicht zu merken

Für die wenigen Passwörter, die du tippen oder dir merken musst, etwa das Master-Passwort deines Passwortmanagers, eignet sich eine Passphrase aus zufälligen Wörtern sehr gut. Mit der Diceware-Liste von 7.776 Wörtern bringt jedes zufällig gewählte Wort etwa 12,9 Bit.

5 Zufallswörter  7776^5 ≈ 2,8 × 10^19  ≈ 64 Bit
6 Zufallswörter  7776^6 ≈ 2,2 × 10^23  ≈ 77 Bit

Sechs zufällige Wörter sind etwa so stark wie ein zufälliges Passwort mit 12 Zeichen und viel leichter zu tippen. Die Wörter müssen wirklich zufällig gewählt werden, mit Würfeln oder einem Generator: Ein Zitat, eine Liedzeile oder ein selbst ausgedachter Satz ist viel schwächer, als es aussieht.

Regeln, die nicht helfen

Die NIST-Richtlinien (SP 800-63B) raten davon ab, regelmäßige Passwortwechsel zu erzwingen oder Zusammensetzungsregeln wie „eine Ziffer und ein Sonderzeichen“ vorzuschreiben. Beides treibt Menschen zu vorhersehbaren Mustern wie Password1! und Password2!. Bessere Regeln: lange Passwörter erlauben, Einfügen erlauben, damit Passwortmanager funktionieren, und neue Passwörter mit Listen von Passwörtern aus bekannten Datenlecks abgleichen.

Wenn ein Dienst, den du nutzt, gehackt wird

Ändere dieses Passwort sofort, und auch überall sonst, wo du es wiederverwendet hast. Angreifer probieren geleakte Kombinationen aus E-Mail und Passwort innerhalb von Stunden auf anderen Seiten aus, eine Technik namens Credential Stuffing. Ein eigenes Passwort pro Dienst macht aus einem Datenleck ein Problem statt vieler.

Sicher eines erzeugen

Der Passwort-Generator von 4Dev erzeugt Passwörter in deinem Browser mit crypto.getRandomValues, dem kryptografisch sicheren Zufallsgenerator des Browsers. Wähle 4 bis 128 Zeichen und die gewünschten Zeichengruppen; nichts wird an einen Server gesendet oder gespeichert.

Passwort-Generator öffnen