Länge schlägt Komplexität
Die alte Regel — ein Großbuchstabe, eine Ziffer, ein Sonderzeichen — führt zu Passwörtern, die Menschen schwer merken und Rechner leicht raten, weil alle dieselben Muster benutzen: großer Anfangsbuchstabe, Ziffer und Ausrufezeichen am Ende.
Was tatsächlich zählt, ist die Länge. Jedes zusätzliche Zeichen multipliziert den Suchraum. Zwölf Zeichen sind ein sinnvolles Minimum, sechzehn die vernünftige Voreinstellung, und für einen Passwortmanager, der sich alles merkt, kosten dich zwanzig oder mehr gar nichts.
Warum der Zufall hier kryptografisch ist
Ein Passwort ist nur so gut wie die Zufälligkeit, aus der es entsteht. Math.random(), was die meisten Online-Generatoren verwenden, ist nicht kryptografisch: seine Folge ist vorhersagbar, wer genug Ausgaben beobachtet. Für ein Spiel egal, für ein Bankkonto nicht.
Hier stammen die Bytes aus der crypto-API des Browsers, und sie verlassen deinen Rechner nie — im Gegensatz zu Generatoren, die auf einem Server laufen und dir dein frisches Passwort über das Netz zurückschicken.
Häufige Fragen
Wird mein Passwort irgendwo gespeichert?
Nein. Es entsteht in deinem Browser, wird nicht gesendet und nicht gespeichert. Ein Neuladen der Seite löscht es.
Welche Länge soll ich wählen?
Mindestens 16 Zeichen. Wenn ein Passwortmanager es verwaltet, nimm 24 oder mehr — es kostet dich nichts.
Soll ich Sonderzeichen einschalten?
Ja, außer wenn ein Dienst sie ablehnt. In dem Fall gleiche es mit mehr Länge aus.
Ist das sicherer als ein selbst ausgedachtes Passwort?
Deutlich. Menschen erzeugen keine echte Zufälligkeit: wir greifen zu Namen, Daten und Tastaturmustern, die Angriffswerkzeuge zuerst probieren.