Lang statt kompliziert
Acht Zeichen sind die Untergrenze, wenn Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen vorkommen. Bei einer Passphrase aus wenigen Zeichenarten sollten es mindestens 25 Zeichen sein.
Kostenloses Werkzeug · Stand August 2026
Passwort-Generator: sichere Passwörter erzeugen
Erzeugt im Browser, über die kryptografische Zufallsquelle deines Geräts. Mit Entropie in Bit statt einer Ampel – damit du nachrechnen kannst, wie sicher das Passwort wirklich ist.
Wie viele auf einmal?1
Dein Passwort
Stärke128 Bit · sehr stark
Ein Angreifer mit 100 Milliarden Versuchen je Sekunde bräuchte im Mittel länger als das Alter des Universums. Die Entropie ergibt sich aus 86 möglichen Zeichen und 20 Stellen.
Nichts verlässt deinen Browser. Die Passwörter entstehen auf deinem Gerät über die kryptografische Zufallsquelle des Browsers und werden weder gespeichert noch übertragen. Wer ganz sichergehen will, trennt vor dem Erzeugen die Internetverbindung – die Seite funktioniert auch offline weiter.
Ein sicheres Passwort ist vor allem lang. Das BSI nennt acht Zeichen als Untergrenze, wenn alle vier Zeichenarten vorkommen, und 25 Zeichen, wenn es eine Passphrase aus wenigen Zeichenarten ist. In der Praxis sind zwölf bis zwanzig zufällige Zeichen aus Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen ein guter Richtwert.
Das Wichtigste in Kürze
- Länge schlägt Komplexität: Jedes zusätzliche Zeichen vervielfacht den Aufwand für einen Angreifer, ein zusätzliches Sonderzeichen nicht.
- Das BSI rät seit einigen Jahren ausdrücklich davon ab, Passwörter in festen Intervallen zu wechseln – gewechselt wird, wenn ein Verdacht besteht.
- Für WLAN-Passwörter nach WPA2 und WPA3 empfiehlt das BSI mindestens 20 Zeichen, weil Angriffe dort offline laufen können.
- Umlaute und länderspezifische Zeichen besser meiden: Auf fremden Tastaturen und in älteren Systemen führen sie zu Anmeldeproblemen.
- Ein Passwortmanager ist die einzige praktikable Lösung für viele lange Passwörter – merken kann sich das niemand.
- Dieser Generator arbeitet ausschließlich im Browser; die Passwörter werden nirgends übertragen oder gespeichert.
Stand der Angaben: 27. August 2026 · geprüft von Advertal, offizieller ActiveCampaign-Partner seit 2017
200+ Unternehmen im Advertal Partner-Netzwerk · offizieller ActiveCampaign-Partner · seit 2017 auf eine Plattform spezialisiert
Was Entropie bedeutet und warum wir sie anzeigen
Die meisten Generatoren zeigen eine Ampel: rot, gelb, grün. Das sagt nichts darüber, wie die Einschätzung zustande kommt. Wir zeigen stattdessen die Entropie in Bit – eine Zahl, die sich nachrechnen lässt.
Die Rechnung ist einfach: Der Logarithmus zur Basis 2 der Zeichenvorratsgröße, multipliziert mit der Länge. Bei 26 Kleinbuchstaben, 26 Großbuchstaben, 10 Ziffern und 24 Sonderzeichen sind das 86 mögliche Zeichen je Stelle, also rund 6,4 Bit pro Zeichen. Ein Passwort mit 20 Stellen kommt damit auf etwa 128 Bit.
Was das praktisch heißt: Bei 100 Milliarden Versuchen je Sekunde – eine großzügige Annahme für einen gut ausgestatteten Angreifer – braucht das Durchprobieren von 128 Bit länger als das bisherige Alter des Universums. Bei 40 Bit sind es Sekunden.
Wie lange ein Angreifer braucht
Angenommen sind 100 Milliarden Versuche je Sekunde und ein Angreifer, der den Zeichenvorrat kennt. Gerechnet ist die mittlere Dauer, also die Hälfte aller Möglichkeiten.
| Länge | Zeichenvorrat | Entropie | Mittlere Dauer |
|---|---|---|---|
| 8 Zeichen | nur Kleinbuchstaben | 37 Bit | unter einer Sekunde |
| 8 Zeichen | alle vier Arten | 52 Bit | rund eine Stunde |
| 12 Zeichen | alle vier Arten | 77 Bit | einige zehntausend Jahre |
| 16 Zeichen | alle vier Arten | 102 Bit | Milliarden von Jahren |
| 20 Zeichen | alle vier Arten | 128 Bit | länger als das Alter des Universums |
Die Zahlen gelten für tatsächlich zufällige Passwörter. Ein selbst ausgedachtes Passwort mit 20 Zeichen hat deutlich weniger Entropie, weil Sprache und Muster die Möglichkeiten einschränken.
Was das BSI empfiehlt
Zusammengefasst aus der Empfehlungsseite „Sichere Passwörter erstellen" des Bundesamts für Sicherheit in der Informationstechnik, abgerufen am 27.08.2026.
Nicht turnusmäßig wechseln
Der regelmäßige Zwangswechsel gilt als überholt: Er führt zu vorhersehbaren Abwandlungen wie Sommer2025, Sommer2026. Gewechselt wird, wenn ein Passwort kompromittiert sein könnte.
Keine Muster, keine Namen
Tastaturfolgen, Namen, Geburtsdaten und ein angehängtes Ausrufezeichen an einem Wörterbuchwort sind für Angriffsprogramme trivial. Genau solche Muster probieren sie zuerst.
WLAN besonders lang
Für WPA2 und WPA3 empfiehlt das BSI mindestens 20 Zeichen. Der Grund: Ein Angreifer kann den Datenverkehr mitschneiden und das Passwort danach offline durchprobieren, ohne Sperren.
Passwort oder Passphrase?
Eine Passphrase besteht aus mehreren zufälligen Wörtern – etwa „Anker-Wolke-Ziegel-Motte". Sie ist leichter zu merken und zu tippen als eine Zeichenfolge und kann dieselbe Sicherheit erreichen, wenn sie lang genug ist.
Der Haken liegt in der Zufälligkeit. Vier Wörter aus einer Liste von 8.000 sind rund 52 Bit – so viel wie acht zufällige Zeichen aus allen vier Arten. Wer die Wörter selbst wählt, statt sie zu würfeln, kommt deutlich darunter, weil Menschen zu denselben Wörtern greifen.
Praktisch heißt das: Wo du das Passwort selten eintippst, nimm eine lange Zeichenfolge aus dem Generator und speichere sie im Passwortmanager. Wo du es häufig eintippst – etwa das Hauptpasswort des Managers selbst –, ist eine wirklich zufällige Passphrase aus fünf oder sechs Wörtern die praktikablere Wahl.
Der Unterschied, den kaum jemand kennt
Gleicher Preis, gleicher Funktionsumfang – plus deutschsprachiger Ansprechpartner
ActiveCampaign kostet über das Advertal Partner-Netzwerk exakt so viel wie im Direktbezug. Du startest deinen Account über uns oder verknüpfst deinen bestehenden; Preis und Funktionsumfang bleiben unverändert. Dazu bekommst du einen persönlichen Ansprechpartner auf Deutsch – ohne Aufschlag, ohne zusätzliche Vertragsbindung. Der offizielle Support von ActiveCampaign bleibt dir daneben erhalten.
Häufige Fragen
Wie lang muss ein sicheres Passwort sein?
Das BSI nennt acht Zeichen als Untergrenze, wenn Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen vorkommen. Praktisch sollten es zwölf bis zwanzig sein: Zwölf zufällige Zeichen kommen auf rund 77 Bit Entropie, zwanzig auf etwa 128 Bit. Für WLAN empfiehlt das BSI mindestens 20 Zeichen.
Speichert der Generator mein Passwort?
Nein. Die Passwörter entstehen ausschließlich in deinem Browser über die kryptografische Zufallsquelle deines Geräts. Es gibt keinen Server-Aufruf, nichts wird gespeichert oder übertragen. Wer ganz sichergehen will, trennt vor dem Erzeugen die Internetverbindung – die Seite arbeitet auch offline weiter.
Wie sicher ist ein online generiertes Passwort?
Das hängt allein daran, wo es erzeugt wird. Läuft der Generator auf einem Server, muss man dem Betreiber vertrauen. Läuft er im Browser und nutzt dabei die Web-Crypto-Schnittstelle statt einfacher Pseudozufallszahlen, ist das Ergebnis so gut wie in einem Passwortmanager. Beides trifft hier zu.
Wie oft sollte ich mein Passwort ändern?
Nicht nach festem Zeitplan. Das BSI rät ausdrücklich vom turnusmäßigen Wechsel ab, weil er zu vorhersehbaren Abwandlungen führt. Wechsle, wenn ein Dienst ein Datenleck meldet, wenn du das Passwort weitergegeben hast oder wenn du es an mehreren Stellen verwendet hast.
Warum sind Umlaute in Passwörtern problematisch?
Nicht wegen der Sicherheit, sondern wegen der Anmeldung. Auf einer fremden Tastatur, in einem Anmeldebildschirm vor dem Systemstart oder in älteren Anwendungen lassen sich ä, ö, ü und ß oft nicht eingeben. Das kostet im Zweifel den Zugang. Dieser Generator verwendet deshalb keine Umlaute.
Was ist Zwei-Faktor-Authentifizierung, und ersetzt sie ein starkes Passwort?
Sie ergänzt es. Neben dem Passwort tritt ein zweiter Nachweis – ein Einmalcode aus einer App, ein Sicherheitsschlüssel oder ein Fingerabdruck. Selbst wenn das Passwort in falsche Hände gerät, fehlt der zweite Faktor. Ein schwaches Passwort wird dadurch aber nicht gut.
Was bedeuten die Bit in der Stärkeanzeige?
Sie geben die Entropie an, also das Maß an Zufälligkeit. Berechnet wird sie als Logarithmus zur Basis 2 der Zeichenvorratsgröße, multipliziert mit der Länge. Jedes zusätzliche Bit verdoppelt den Aufwand für einen Angreifer. Ab etwa 75 Bit gilt ein Passwort als stark, ab 100 Bit als sehr stark.
Geprüft von
Tom Wenk, Gründer und Geschäftsführer von Advertal
Tom Wenk arbeitet seit 2017 ausschließlich mit ActiveCampaign. Mit Advertal betreut er heute über 200 Unternehmen im deutschsprachigen Raum, sitzt im ActiveCampaign Customer Advisory Board und im Partner Advisory Subcommittee und hat über 280 kostenlose Tutorials zur Plattform veröffentlicht. Die Angaben auf dieser Seite stammen aus dieser Praxis und aus Quellen, die wir am 27. August 2026 selbst geprüft haben.
Zugänge im Team sauber organisieren?
Wer mit mehreren Personen dieselben Werkzeuge nutzt, braucht mehr als gute Passwörter – nämlich klare Zugriffsrechte und ein Verfahren beim Ausscheiden. Zwanzig Minuten, unverbindlich, auf Deutsch.
Jetzt kennenlernenAuch spannend: die ActiveCampaign Agentur, der kostenlose Kurs und unsere Fallstudien.