Sicherer Passwort-Generator — zufällige Passwörter & Passphrasen

Erzeuge ein sicheres Zufallspasswort, eine einprägsame Passphrase oder eine PIN. Läuft komplett in deinem Browser, nichts wird gesendet oder gespeichert.

Ausgezeichnet · etwa 126 Bit Entropie

Anzahl

Massenmodus: Stell „Anzahl“ ein, um bis zu 1.000 auf einmal mit denselben Einstellungen zu erzeugen.

Länge: 20 Zeichen

Großbuchstaben (A-Z)Ziffern (0-9)SonderzeichenVerwechselbare vermeiden (0/O, 1/l/I)

Erzeugt in deinem Browser mit crypto.getRandomValues, derselben Zufallsquelle, die Browser für Verschlüsselungsschlüssel nutzen. Nichts wird an uns gesendet, gespeichert oder protokolliert, und kein Passwort taucht in der Adresszeile auf. Es funktioniert sogar ohne Internetverbindung.

Ein Problem gefunden oder etwas, das besser sein könnte? Wir lesen jede Nachricht und beheben Fehler schnell.

Dieser kostenlose Passwort-Generator erstellt sichere Zufallspasswörter, einprägsame Passphrasen und PINs direkt in deinem Browser. Nichts wird übertragen, nichts gespeichert und nichts protokolliert: Das Passwort existiert nur auf deinem Bildschirm, bis du es kopierst. Du kannst die Internetverbindung trennen, und das Tool funktioniert weiter – der einfachste Beweis, dass es dein Passwort nirgendwohin schickt. Du brauchst eine ganze Reihe, für Testkonten oder den Rollout im Team? Stelle „Anzahl“ ein, und es erzeugt bis zu 1.000 auf einmal mit denselben Einstellungen, jedes unabhängig gezogen, bereit zum Kopieren oder zum Download als .txt- oder .csv-Datei.

Der Zufall stammt aus crypto.getRandomValues, dem kryptografischen Zufallszahlengenerator des Browsers, und nicht aus Math.random. Dieser Unterschied ist wichtiger als jede Option auf dieser Seite. Math.random ist so vorhersagbar, dass ein Angreifer, der einige Ausgaben sieht, die Folge rekonstruieren kann – jedes darauf basierende Passwort ist damit wertlos. Jedes Zeichen hier wird ohne Modulo-Verzerrung gezogen, sodass jedes wirklich genauso wahrscheinlich ist wie jedes andere.

So funktioniert’s

Wähle einen Typ: ein Zufallspasswort für alles, was in einem Passwort-Manager liegt, eine Passphrase für die wenigen Passwörter, die du aus dem Gedächtnis eintippen musst, oder eine PIN für ein Gerät.
Lege die Länge fest. Für ein Zufallspasswort 16 Zeichen oder mehr; für eine Passphrase 7 Wörter oder mehr, denn eine kurze Passphrase ist schwächer, als sie aussieht.
Passe die Zeichensätze an, wenn eine Website Sonderzeichen ablehnt, oder aktiviere „Verwechselbare vermeiden“, wenn du das Passwort abtippen oder vorlesen wirst.
Prüfe den Entropiewert unter dem Balken. Strebe 80 Bit oder mehr an; das ist die Zahl, die tatsächlich beschreibt, wie schwer das Passwort zu erraten ist.
Kopiere es und füge es direkt in deinen Passwort-Manager ein. Schick es dir nicht per E-Mail und speichere es nicht in einer Notiz.
Du brauchst mehrere? Stelle „Anzahl“ ein (bis zu 1.000) und kopiere dann alle oder lade die Liste als .txt oder .csv herunter.

Häufige Fragen

Kann ich mehrere Passwörter auf einmal erzeugen?

Ja. Stelle „Anzahl“ auf einen beliebigen Wert bis 1.000, und der Generator erzeugt so viele mit deinen aktuellen Einstellungen (Zufallspasswort, Passphrase oder PIN), jedes unabhängig aus crypto.getRandomValues gezogen, exakte Wiederholungen werden entfernt. Kopiere alle auf einmal oder lade sie als .txt-Datei (eines pro Zeile) oder als .csv-Datei herunter. Wie einzelne Passwörter wird auch die Liste in deinem Browser erstellt und nie irgendwohin gesendet. Bei einer PIN mit nur wenigen Ziffern gibt es womöglich weniger verschiedene Werte, als du angefordert hast; das Tool sagt dir, wenn das passiert.

Ist dieser Passwort-Generator sicher?

Das Passwort wird in deinem Browser von crypto.getRandomValues erzeugt, derselben Zufallsquelle, mit der Browser Verschlüsselungsschlüssel erzeugen. Es wird nie über das Netzwerk gesendet, nie gespeichert, nie in die Seitenadresse geschrieben und nie protokolliert. Das kannst du prüfen, indem du die Internetverbindung trennst: Der Generator funktioniert weiter. Das einzige Risiko bei jedem Online-Generator ist eine manipulierte Seite selbst – deshalb ist der eingebaute Generator eines Passwort-Managers für deine wichtigsten Konten immer noch die sicherste Wahl.

Wie lang sollte ein Passwort 2026 sein?

Für ein Passwort, das in einem Passwort-Manager gespeichert ist, 16 Zeichen oder mehr Zufallstext. NIST SP 800-63B Revision 4 empfiehlt mindestens 15 Zeichen, wenn ein Passwort der einzige Authentifizierungsfaktor ist, und sagt, dass Systeme mindestens 64 akzeptieren sollten. Länge leistet weit mehr als Komplexität: Ein Passwort aus 16 Kleinbuchstaben ist deutlich schwerer zu erraten als eines mit 8 Zeichen aus Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen.

Sind Passphrasen besser als Zufallspasswörter?

Sie sind besser für die Handvoll Passwörter, die du aus dem Gedächtnis eintippen musst, etwa deine Geräteanmeldung und das Master-Passwort deines Passwort-Managers. NIST empfiehlt Passphrasen ausdrücklich. Eine Passphrase aus sieben Wörtern aus der Liste dieses Tools mit 1.169 Wörtern hat etwa 71 Bit, ist leicht zu merken und schwer zu erraten, während eine zufällige Zeichenfolge mit 20 Zeichen keins von beidem ist. Für alles andere nimm ein Zufallspasswort und lass den Manager es sich merken.

Was bedeutet der Entropiewert?

Entropie in Bit ist ein Maß dafür, wie viele Versuche ein Angreifer bräuchte. Jedes zusätzliche Bit verdoppelt diese Zahl. Unter 45 Bit ist schwach gegen einen Offline-Angriff auf eine geleakte Passwortdatenbank; 80 Bit sind komfortabel; über 100 Bit liegt jenseits jedes absehbaren Brute-Force-Aufwands. Das ist ein ehrlicheres Maß als die übliche farbige Stärkeanzeige, die 'P@ssw0rd!' oft dafür belohnt, dass es ein Sonderzeichen enthält, und übersieht, dass es eines der meisterratenen Passwörter überhaupt ist.

Sollte ich meine Passwörter alle 90 Tage ändern?

Nein, und NIST rät inzwischen davon ab. Erzwungener regelmäßiger Wechsel treibt Menschen zu kleinen, vorhersehbaren Änderungen (Summer2025, Summer2026), die leichter zu erraten sind, nicht schwerer. Die aktuelle Empfehlung lautet: pro Konto ein langes, einzigartiges Passwort verwenden und es nur ändern, wenn es Hinweise auf eine Kompromittierung gibt, etwa eine Benachrichtigung über ein Datenleck.

Brauche ich trotzdem einen Passwort-Manager, wenn ich das hier nutze?

Ja. Ein Generator löst ein Problem: ein Passwort zu erstellen, das schwer zu erraten ist. Ein Manager löst das schwierigere: für jedes Konto ein anderes starkes Passwort zu haben, ohne sich eines davon merken zu müssen. Ein starkes Passwort zu erzeugen und es dann überall wiederzuverwenden, macht dich in dem Moment angreifbar, in dem eine dieser Websites gehackt wird.

Länge schlägt Komplexität – und zwar deutlich

Der alte Rat – ein Großbuchstabe, eine Zahl, ein Sonderzeichen – stammt aus einer Zeit, in der Passwörter kurz waren. Er führt zu Passwörtern, die sich Menschen nicht merken und Angreifer vorhersagen können, weil alle die Regel gleich erfüllen: ersten Buchstaben groß, Ziffer und Ausrufezeichen ans Ende.

Vergleiche den tatsächlichen Suchraum. Ein 8-stelliges Passwort aus Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen hat rund 52 Bit Entropie. Ein 16-stelliges Passwort nur aus Kleinbuchstaben hat rund 75 Bit. Das zweite ist ungefähr acht Millionen Mal schwerer zu erraten – und leichter zu tippen.

Deshalb hat NIST SP 800-63B Revision 4 verpflichtende Zusammensetzungsregeln gestrichen und stattdessen die empfohlene Länge erhöht. Wenn du von dieser Seite nur eins mitnimmst: Mach deine Passwörter länger statt verschnörkelter.

Welcher Typ wann

• Zufallspasswort mit 16 bis 24 Zeichen: alles, was in einem Passwort-Manager liegt, also fast jedes Konto, das du hast. Diese tippst du nie ein, Länge kostet dich also nichts.

• Passphrase mit 7 Wörtern oder mehr: die zwei, drei Passwörter, die du aus dem Gedächtnis eintippen musst. Die Größe der Wortliste zählt, prüfe also die Bitzahl, statt dich auf die Wortzahl zu verlassen. Das Master-Passwort deines Passwort-Managers, deine Laptop-Anmeldung, dein Smartphone-Backup.

• PIN: nur zum Entsperren von Geräten, bei denen die Hardware begrenzt, wie viele Versuche ein Angreifer hat. Eine 6-stellige PIN hat etwa 20 Bit Entropie – hoffnungslos gegen einen Offline-Angriff, aber völlig ausreichend gegen jemanden, der dein Smartphone mit drei Versuchen in der Hand hält.

Was ein Generator nicht beheben kann

Ein starkes Passwort schützt ein Konto. Gegen die drei Fehlerquellen, die die meisten echten Kompromittierungen verursachen, hilft es nicht: dasselbe Passwort auf mehreren Websites, sodass ein Leck den Rest öffnet; Phishing, bei dem du das Passwort selbst herausgibst; und das Fehlen eines zweiten Faktors, der verhindert, dass ein gestohlenes Passwort ausreicht.

Aktiviere die Zwei-Faktor-Authentifizierung überall, wo sie angeboten wird, bevorzuge eine Authenticator-App oder einen Passkey gegenüber SMS und verwende überall ein anderes Passwort. Ein Generator ist ein Teil davon, kein Ersatz dafür.

Für Unternehmen gilt dieselbe Logik in größerem Maßstab: eindeutige Zugangsdaten pro Person, Zugriff nach dem Least-Privilege-Prinzip und eine Möglichkeit, jemandem beim Ausscheiden an einer Stelle alle Zugriffe zu entziehen. Genau diese Zugriffskontrolle setzen wir im Rahmen unserer Projekte zu Cloud-Infrastruktur und Cybersicherheit um.