So erstellen Sie ein starkes Passwort: Länge, Entropie und die Manager-Lösung

Der Rat, den Sie hundertmal gehört haben — Großbuchstaben, Zahlen, Symbole mischen — ist nicht falsch, aber er ist der Faktor zweiter Ordnung. Betrachtet man, wie Passwort-Manager gebaut sind, und öffentliche Leck-Datenbanken, ist das Muster klar: Die meisten geknackten Passwörter waren kurz (unter 14 Zeichen) oder wiederverwendet, nicht weil ihnen ein Ausrufezeichen fehlte.

Hier ist, was ein Passwort tatsächlich stark macht, ohne Fachjargon erklärt.

Länge schlägt Komplexität. Einzigartigkeit schlägt Länge. Ein Passwort-Manager erledigt beides automatisch.

01 — So erstellen Sie ein starkes Passwort: die richtige Methode

Ein starkes Passwort verbindet 3 Elemente: 16+ Zeichen, einzigartig pro Website und wirklich zufällig. Die zuverlässigste Methode: einen Passwort-Manager nutzen, um pro Website eine 20-Zeichen-Zufallsfolge zu erzeugen (tK3#mRpQ$wLnXb8v). Für das eine Master-Passwort, das Sie sich merken: eine 6-Wort-Diceware-Passphrase (cave-goblet-frost-parish-anvil-gloom ≈ 78 Bit Entropie). Vermeiden: Wörterbuchwörter, Daten, Ersetzungen wie p@ssw0rd — diese Muster werden von Knack-Tools zuerst getestet, egal wie komplex sie wirken.

02 — Warum Länge die eigentliche Variable ist

Passwortstärke wird in Bit Entropie gemessen — der Anzahl der Zufallsentscheidungen, die in seine Erstellung eingeflossen sind. Jedes zusätzliche Bit verdoppelt den Suchraum, den ein Angreifer abdecken muss.

Konkretes Beispiel:

Die Spalte, die zählt, ist die letzte. S@mmer2024! sieht komplex aus und hat genau die Komplexitätsregeln, die die meisten Websites verlangen. Aber es fällt in Minuten, weil Knack-Tools genau diese Regeln systematisch anwenden.

Die Formel: Jede 3 zusätzlichen Zeichen eines zufälligen Passworts fügen ~20 Bit Entropie hinzu. Von 12 auf 16 Zeichen zu gehen, ist die einzelne wirkungsvollste Änderung, die Sie vornehmen können.

02 — Entropie einfach erklärt

Denken Sie an Entropie als die Anzahl möglicher Passwörter angesichts der Art, wie Ihres gebaut wurde:

• 6 Zeichen, nur Kleinbuchstaben (monkey): 26^6 = 308 Millionen Kombinationen. Eine GPU schafft das in Sekunden.
• 8 Zeichen, gemischte Groß-/Kleinschreibung + Ziffern (MyDog7Qs): 62^8 = 218 Billionen Kombinationen. Schnelle Hardware: ein paar Stunden.
• 16 Zeichen, völlig zufällig (tK3#mRpQ$wLnXb8v): 95^16 = 4×10^31 Kombinationen. Außer Reichweite für jeden Angreifer.

Wo die meisten Menschen falsch liegen: ein echtes Wort als Basis zu verwenden. Angreifer brute-forcen nicht jede Zeichenkombination — sie beginnen mit Wörterbüchern der 10 Milliarden häufigsten Passwörter, geleakten Zugangsdaten, Namen und Wörtern und wenden dann Mutationsregeln an. P@ssw0rd! scheitert in unter einer Sekunde, weil es IN diesen Wörterbüchern steht.

Zufällig = unvorhersehbar. Das ist das Einzige, was Entropie tatsächlich misst.

03 — Die Diceware-/Passphrasen-Methode

Wenn Sie ein Passwort brauchen, das Sie tatsächlich tippen und sich merken können (Ihr Master-Passwort für einen Passwort-Manager oder Ihr Laptop-Login), ist eine Passphrase die beste Option.

Methode:

1. Besorgen Sie sich einen physischen Würfel (oder nutzen Sie EFFs Online-Diceware-Tool)
2. Werfen Sie 5-mal, um eine Zahl wie 25341 zu erzeugen
3. Schlagen Sie das Wort in der EFF Large Wordlist nach
4. Wiederholen Sie das für 5–6 Wörter
5. Trennen Sie mit Bindestrichen oder Leerzeichen

Ergebnis: etwas wie cellar-invoke-mossy-fright-blanket-groan

• 5 Wörter: ~65 Bit Entropie
• 6 Wörter: ~78 Bit Entropie (entspricht einem 13-Zeichen-Volltreffer-Zufallspasswort)
• Vollständig einprägsam
• Kein Muster, das ein Angreifer ausnutzen kann

Warum es funktioniert: Die Wörter wurden durch echte Zufälligkeit (einen physischen Würfel) gewählt, nicht von Ihrem Gehirn. Menschliche Entscheidungen sind vorhersehbar — wir wählen Wörter, die wir kennen, Dinge, die wir mögen, Daten, die wichtig sind. Ein Würfel nicht.

04 — Häufige Fehler, die starke Passwörter untergraben

Zu verstehen, was ein Passwort schwach macht, ist genauso wichtig wie zu wissen, was eines stark macht.

Vorhersehbare Ersetzungen: p@ssword, 3mail, s3cur1ty — diese Zeichenaustausche stehen seit 15 Jahren in Knack-Regeln. Sie bringen gegen moderne Tools fast nichts.

Angehängte Zahlen und Symbole: Password123!, Summer2024#. Knack-Software hängt im ersten Durchgang Zahlen von 1–9999 und alle gängigen Symbole an. Dauert Sekunden.

Persönliche Informationen: Geburtstage, Haustiernamen, Sportmannschaften, Kindernamen. Diese sind die Grundlage für gezielte Angriffe (Spear-Phishing) und stehen oft bereits in den Profilen von Datenhändlern.

Tastaturmuster: qwerty, 123456, asdfghjkl. Jedes Mal zuerst angegriffen.

Wiederverwendung über Websites hinweg: Diese ist der stille Killer. Wenn irgendeine der Hunderte von Websites, die Sie nutzen, geleakt wird (und Lecks passieren ständig — Have I Been Pwned listet 14 Milliarden geleakte Zugangsdaten), probieren Angreifer diese Benutzername/Passwort-Paare automatisch auf jedem anderen großen Dienst aus. Ein wiederverwendetes Passwort = ein Single Point of Failure für Ihr gesamtes digitales Leben.

05 — Bewertungskriterien: Wie wir diesen Leitfaden untermauern

Um die Aussagen in diesem Artikel zu untermauern, stützen wir uns auf die Standard-Entropieformel (log₂(N)^L, wobei N der Zeichenpool und L die Länge ist), das veröffentlichte Verhalten von Passwort-Managern und öffentliche Quellen:

Passwortlänge und Entropie

Entropie wächst mit der Länge. Die Tabelle unten wendet die Standardberechnung log₂(N)^L für einen vollständigen Zeichensatz an:

Fazit: Stellen Sie Ihren Passwort-Manager standardmäßig auf 20 Zeichen ein (nicht 16 — der Merkaufwand ist identisch, da der Manager sich für Sie erinnert).

Zeichentypen: echte Auswirkung auf die Entropie

Dieselbe Formel angewandt auf ein 16-Zeichen-Passwort über verschiedene Zeichenpools:

Schlussfolgerung: Symbole hinzuzufügen bringt bei 16 Zeichen ~9 Bit gegenüber rein alphanumerisch — entspricht 1–2 zusätzlichen Zeichen. Länge ist der dominante Hebel; Zeichentypen sind ein sekundärer Verstärker.

Generierungs-Algorithmus: crypto.getRandomValues vs Math.random

Ein kritischer Punkt, der oft übersehen wird: die Qualität des verwendeten Zufallsgenerators.

• Math.random() (JavaScript): pseudozufällig, nicht kryptografisch sicher. Wird von einigen minderwertigen Online-Generatoren verwendet. Für Passwörter unbedingt vermeiden.
• crypto.getRandomValues() (Web Crypto API): CSPRNG, gespeist vom Betriebssystem (Windows CryptGenRandom, Linux /dev/urandom, macOS SecRandomCopyBytes). Aktueller Standard für seriöse Manager.
• /dev/urandom (Linux/macOS nativ): dieselbe Quelle serverseitig. Alle seriösen Manager (Bitwarden, 1Password, NordPass) verwenden das BS-Äquivalent.

Unser Passwort-Generator verwendet ausschließlich crypto.getRandomValues() — überprüfbar durch Inspektion des Seitenquelltexts (keine Netzwerkanfrage während der Generierung).

Lokale vs. Cloud-Speicherung: der Sicherheits-/Komfort-Kompromiss

Urteil: Für die meisten Nutzer bietet geprüfte Zero-Knowledge-Cloud (Bitwarden, NordPass, 1Password) das beste Gleichgewicht. Rein lokal (KeePassXC) ist nur für Hochrisiko-Profile (Journalisten, Dissidenten) oder Anwendungsfälle ohne mobilen Sync-Bedarf relevant. Self-Hosting ist eine gute Option für technische Nutzer, die Kontrolle + Komfort wollen.

06 — Warum ein Passwort-Manager die eigentliche Antwort ist

Das Ziel der Passwortsicherheit ist, für jedes einzelne Konto ein einzigartiges, zufälliges, langes Passwort zu haben. Das ist im Kopf wirklich unmöglich, sobald Sie über 50 Konten haben.

Ein Passwort-Manager löst das vollständig:

1. Generator: erstellt auf Anforderung ein 20-Zeichen-Zufallspasswort (tK3#mRpQ$wLnXb8v) — Sie sehen oder denken nie darüber nach. Sie können auch gleich eines mit unserem kostenlosen Passwort-Generator ausprobieren
2. Verschlüsselter Tresor: speichert alles hinter AES-256- oder XChaCha20-Verschlüsselung, Zero-Knowledge-Modell (der Anbieter kann Ihre Passwörter nicht sehen)
3. Autofill: füllt das richtige Passwort auf der richtigen Website aus — schützt auch vor Phishing (passt die URL nicht, füllt es nicht aus)
4. Leck-Warnungen: überwacht Ihre E-Mails gegen Datenbanken geleakter Zugangsdaten und warnt Sie, wenn eine von Ihnen genutzte Website kompromittiert ist

Sie müssen sich nur ein Passwort merken: Ihr Master-Passwort. Machen Sie es zu einer 6-Wort-Diceware-Passphrase. Schreiben Sie es auf Papier und bewahren Sie es sicher auf. Das ist alles.

07 — Die besten Optionen im Vergleich

Drei erwägenswerte Manager in unterschiedlichen Preisklassen:

Bitwarden (kostenlos oder 10 $/Jahr Premium)

• Open Source, Code öffentlich geprüft von Cure53 und Insight Risk
• Unbegrenzter kostenloser Tarif über alle Geräte — ohne Sternchen
• Starke Wahl für datenschutzbewusste oder technische Nutzer
• Mit Vaultwarden selbst hostbar

Proton Pass (kostenlos oder 1,99 $/Monat Pass Plus)

• Open-Source-Clients, Schweizer Gerichtsbarkeit
• In das Proton-Ökosystem integriert (Mail, VPN, Drive)
• Gute Option, wenn Sie bereits Proton-Dienste nutzen

NordPass (1,49 $/Monat im 2-Jahres-Tarif)

• Moderne, ausgefeilte Bedienung mit nativer Biometrie
• XChaCha20- + Argon2id-Verschlüsselung
• Cure53 2022 + SOC 2 Type 2 Audits veröffentlicht
• Nord-Security-Ökosystem (NordVPN, NordLocker)

Alle drei erzeugen starke Zufallspasswörter und speichern sie sicher. Die richtige Wahl hängt von Ihrem bestehenden Ökosystem ab und davon, wie viel Sie zahlen möchten.

Siehe unseren Vergleich der besten Passwort-Manager 2026 für den vollständigen Benchmark und unsere ausführliche Bitwarden-Bewertung für einen tiefen technischen Blick auf Bitwardens Sicherheitsmodell.

08 — Praktischer Aktionsplan

Wenn Sie nichts anderes aus diesem Leitfaden mitnehmen:

1. Heute: Prüfen Sie haveibeenpwned.com mit Ihrer Haupt-E-Mail. Erscheint ein Leck, ändern Sie diese Passwörter sofort. Nutzen Sie unseren Passwort-Stärke-Prüfer, um Ihre aktuellen Passwörter zu bewerten, bevor Sie sie ersetzen.
2. Diese Woche: Installieren Sie Bitwarden (kostenlos). Importieren Sie Ihre gespeicherten Passwörter aus Ihrem Browser. Es übernimmt die Migration automatisch.
3. Künftig: Jedes Mal, wenn Sie ein Konto erstellen oder ein Passwort aktualisieren, lassen Sie es den Manager erzeugen. Tippen Sie nie etwas, das Sie selbst erfunden haben.
4. Master-Passwort: Erstellen Sie eine 6-Wort-Diceware-Passphrase. Bewahren Sie sie auf Papier an einem sicheren Ort auf. Speichern Sie sie nirgends digital.

Das Passwort-Problem ist ein gelöstes Problem — Passwort-Manager haben es gelöst. Der einzige verbleibende Schritt ist, einen zu nutzen.

Siehe unseren Vergleich Proton Pass vs Bitwarden, wenn Sie zwischen den beiden Open-Source-Optionen schwanken.

Für eine schnelle Referenz zu den in diesem Leitfaden verwendeten Fachbegriffen (Entropie, PBKDF2, Argon2id, Brute Force, Credential Stuffing) siehe das PwdFortress-Glossar zur Passwortsicherheit.

PwdFortress erhält möglicherweise eine Provision auf Käufe, die über Links in diesem Artikel getätigt werden. Das beeinflusst unsere redaktionellen Empfehlungen nicht — alle genannten Manager werden nach denselben Kriterien verglichen.