Zufallspasswort-Generator

Was ein Zufallspasswort-Generator ist und warum er wichtig ist

Ein Zufallspasswort-Generator erzeugt Zugangsdaten, indem er Zeichen aus einem großen Zeichenvorrat über eine kryptografisch sichere Zufallsquelle zieht – statt aus irgendetwas, das du dir ausdenkst. Von Menschen erfundene Passwörter folgen Mustern, die Angreifer vorhersagen können – Tastatur-Wanderungen, Namen, Daten und Ersetzungen wie @ für a –, während eine wirklich zufällige Zeichenkette überhaupt keinem Muster entspricht. Das ist der Kerngrund, warum es starke Zufallspasswort-Generatoren gibt, und der Grund, warum Sicherheitsexperten Zufall für alles, was zählt, als unverhandelbar ansehen.

Infinite Password Generator ist ein kostenloses Tool, das auf genau diesem Prinzip aufbaut. Es läuft zu 100 % clientseitig in deinem Browser über die Web Crypto API (crypto.getRandomValues); die erzeugten Passwörter verlassen den Browser also nie, und nichts wird gespeichert oder übertragen. Es gibt kein Konto, das du anlegen musst, kein Server-Log dessen, was du erzeugt hast, und keine Obergrenze dafür, wie viele Passwörter du produzieren kannst. Wenn du einen Zufallspasswort-Generator online suchst, dem du vertrauen kannst, dann ist die Architektur selbst die Garantie – das Passwort reist schlicht nirgendwo hin.

So holst du das Beste aus einem starken Zufallspasswort-Generator heraus

Fang mit der Länge an. Zwölf Zeichen sind ein sinnvoller Ausgangspunkt; sechzehn sind besser für E-Mail, Banking und überall dort, wo Wiederherstellungsabläufe leben. Aktiviere alle vier Zeichenklassen – Kleinbuchstaben, Großbuchstaben, Zahlen und Symbole –, damit jede Position maximale Entropie trägt. Wenn eine Website Symbole ablehnt, wechsle stattdessen zu einer längeren alphanumerischen Zeichenkette, statt das Alphabet zu verkleinern. Die meisten Tools lassen dich mehrdeutige Zeichen wie l, 1, O und 0 ausschließen; dieser Kompromiss ist in Ordnung, wenn du das Passwort vorlesen oder auf einem Telefon eintippen willst, denn der kleine Entropieverlust wiegt weniger als der Gewinn an Nutzbarkeit.

Vermeide es, das Ergebnis von Hand zu optimieren. Nur Zeichen auszuwählen, die sich richtig anfühlen, oder Vokalmuster von Hand zu justieren, führt genau die Vorhersehbarkeit wieder ein, der du entkommen wolltest – und am Ende hast du ein Passwort, das zufällig aussieht, aber gegen echte Cracking-Tools schwach abschneidet. Erzeuge, kopiere und mach weiter, ohne es zu inspizieren. Wenn du unbedingt ein Geheimnis brauchst, das du ohne Hilfe im Kopf behalten kannst, wechsle das Tool, statt den Zufall zu kompromittieren: Ein merkfähiger Passwortgenerator auf Basis zufälliger Wortlisten gibt dir beides – Merkbarkeit und echte Entropie.

Was du nach dem Erzeugen online tun solltest

Das Erzeugen ist nur die halbe Arbeit. Speichere das Passwort in einem vertrauenswürdigen Passwortmanager, nicht in einer Notiz-App, einer Tabellenkalkulation oder einer Nachricht an dich selbst. Der Manager füllt es für dich aus, sodass du es nie auswendig lernen musst, und stellt sicher, dass jedes Konto sein eigenes, einzigartiges Geheimnis bekommt – wiederverwendete Passwörter sind nach wie vor die häufigste Ursache für Kontoübernahmen. Wenn du gern überprüfst, was du erzeugt hast, wirf es durch einen Passwort-Stärkeprüfer, um seine Entropie zu sehen, statt deinem Bauchgefühl zu vertrauen.

Danach gib wichtigen Konten mehrschichtige Verteidigung. Aktiviere die Zwei-Faktor-Authentifizierung überall dort, wo sie angeboten wird – fang mit deinem E-Mail-Postfach an, denn das Postfach ist der Wiederherstellungsknoten für nahezu alles andere, was dir gehört. Sieh dir ein paar Mal im Jahr den Wiederverwendungsbericht deines Passwortmanagers an und rotiere alles, was über mehrere Websites geteilt wird. Wird eine Website gehackt, beschränkt ein einzigartiges Zufallspasswort den Schaden auf genau dieses eine Konto – das ist der wahre Lohn des Workflows mit dem besten Zufallspasswort-Generator: nicht Stärke um ihrer selbst willen, sondern Schadensbegrenzung, wenn etwas schiefgeht.

Häufige Fehler beim Umgang mit einem Zufallspasswort-Generator

Der häufigste Fehler passiert nach dem Erzeugen, nicht währenddessen. Leute erzeugen ein starkes Passwort, schauen es kurz an und speichern es nirgends zuverlässig; drei Tage später klicken sie auf den Zurücksetzungslink und fragen sich, was schiefgelaufen ist. Das Ergebnis auf einen Klebezettel zu kopieren, in eine Chat-Nachricht an sich selbst oder nur kurz in eine Notiz-App, hebelt den ganzen Sinn des Zufalls von vornherein aus. Speichere das Passwort in deinem Passwortmanager, bevor der Tab geschlossen wird, und bestätige, dass die Speicherung geklappt hat, solange du noch siehst, was gespeichert wurde. Wenn du einen erzeugten Kandidaten jemals in ein Feld auf einem geteilten oder öffentlichen Rechner einfügst, behandle diesen Kandidaten als kompromittiert und erzeuge später von deinem eigenen Gerät einen frischen. Im Zweifel: Rotiere das Geheimnis und beginne den Speichervorgang von vorn.

Ein weiterer Fehler ist, den Stärke-Meter als endgültiges Urteil zu behandeln. Meter schätzen; sie zertifizieren nicht. Eine Zeichenkette kann gut abschneiden und trotzdem ins falsche Feld eingefügt, auf zwei verschiedenen Websites wiederverwendet oder auf einem kompromittierten Laptop eingetippt werden – nichts davon zeigt sich in der Farbe des Balkens. Umgekehrt schützt dich eine lange alphanumerische Zeichenkette, die gegen eine seltene Regel verstößt, völlig ausreichend. Beurteile dein Passwort nach dem Prozess, der es erzeugt und speichert, nicht nach dem, was ein Widget sagt: Länge, alle vier Zeichenklassen, Eindeutigkeit und Speicherung zählen weit mehr als jedes Adjektiv, das ein Checker vergibt. Wenn du eine nüchterne Zweitmeinung willst, schick den Kandidaten durch einen Passwort-Stärkeprüfer und schau dir den Entropiewert an – niemals das Adjektiv darunter.

Ein subtileres Versagen ist das Erzeugen aus dem Gedächtnis statt aus dem Tool. Das Ergebnis selbst einzutippen, um Zwischenablage-Manager zu vermeiden, führt all die menschlichen Verzerrungen wieder ein – wiederholte Formen, Rhythmus, Lieblingsbuchstaben, sichere Muster –, die der Generator eigentlich beseitigen soll. Einfügen, nicht abtippen, und leere die Zwischenablage, wenn die Arbeit erledigt ist. Und zum Schluss: Vermeide es, auf Geräten zu erzeugen, denen du nicht vollständig vertraust – Hotelterminals, geliehene Telefone und geteilte Firmenrechner können Tastatureingaben oder Zwischenablage-Inhalte ohne sichtbares Zeichen mitprotokollieren. Erzeuge auf deinem eigenen Gerät, melde dich sofort an und leere die Zwischenablage danach. Gute Hygiene beim Erzeugen ist unglamourös – und genau dort passieren die meisten realen Fehler. Bremse dich an dem entscheidenden Moment um zehn Sekunden ab, und du bist den meisten Kompromittierungen schon einen Schritt voraus.