Dieser Passwort-Generator, auch Kennwort-Generator genannt, erstellt kostenlos ein sicheres Zufallspasswort mit 8 bis 64 Zeichen, eine Passphrase aus deutschen Wörtern oder eine PIN. Alles entsteht direkt in deinem Browser über die Web Crypto API. Standard sind 16 Zeichen mit allen vier Zeichenarten, rund 103 Bit Entropie. Übertragen, gespeichert oder protokolliert wird dabei nichts.

Passwort generieren in drei Schritten

Länge wählen, Zeichenarten wählen, kopieren: So erstellst du ein neues Passwort.

Stelle die Länge zwischen 8 und 64 Zeichen ein. Für wichtige Konten sind 16 Zeichen oder mehr sinnvoll.
Wähle die Zeichenarten: Großbuchstaben, Kleinbuchstaben, Ziffern und Sonderzeichen. Standardmäßig kommt jede gewählte Art mindestens einmal vor. Lehnt eine Website Sonderzeichen ab, schalte sie ab und mach das Passwort dafür länger.
Klicke auf „Kopieren“ und füge das Passwort sofort in deinen Passwort-Manager, wie ihn auch das BSI empfiehlt, ein (notfalls markieren und Strg+C drücken). „Neues Passwort generieren“ liefert ein anderes, unter „Anzahl“ bekommst du 5 oder 10 auf einmal.

PIN generieren

Im Tab „PIN“ erzeugst du eine zufällige PIN mit 4 bis 12 Ziffern, Standard sind 6. Eine sechsstellige PIN hat nur rund 19,9 Bit Entropie und gehört deshalb hinter eine Sperre nach wenigen Fehlversuchen, etwa am Smartphone oder an der Bankkarte.

WLAN-Passwort generieren

Für WLAN mit WPA2 oder WPA3 empfiehlt das BSI mindestens 20 Zeichen. Der Knopf „WLAN: 20 Zeichen“ stellt das mit allen vier Zeichenarten ein, rund 129 Bit. Tippst du das Passwort am Fernseher ab, hilft „Verwechselbare Zeichen weglassen (I l 1 O 0)“: 83 statt 88 Zeichen kosten bei 20 Stellen nur rund 1,7 Bit.

Wie funktioniert der Passwortgenerator?

Der Passwortgenerator zieht jedes Zeichen mit crypto.getRandomValues, dem kryptografisch sicheren Zufallsgenerator der Web Crypto API deines Browsers. Werte, die nicht glatt in den Zeichenvorrat passen, verwirft er (Rejection Sampling), damit jedes Zeichen exakt gleich wahrscheinlich ist. Für „Mindestens ein Zeichen jeder gewählten Art“ würfelt er neu, bis jede Art vorkommt. Das fertige Passwort geht an keinen Server.

Was ist ein sicheres Passwort?

Laut BSI ist ein Passwort sicher, wenn es 8 bis 12 Zeichen mit vier Zeichenarten oder 20 bis 25 Zeichen mit zwei Zeichenarten hat, etwa als Folge von Wörtern. Außerdem rät das BSI zu überall unterschiedlichen Passwörtern. Ein langes, weniger komplexes Passwort sollte mindestens 25 Zeichen haben (BSI: Sichere Passwörter erstellen).

Messen lässt sich das in Bit Entropie: Entropie = Länge × log₂(Zeichenvorrat). Alle vier Zeichenarten ergeben 88 Zeichen (je 26 Groß-, Kleinbuchstaben und Sonderzeichen, 10 Ziffern), rund 6,46 Bit pro Zeichen. Die Länge wiegt schwerer: Jedes weitere Zeichen bringt 6,46 Bit, ohne Sonderzeichen verlieren 16 Zeichen nur rund 8,1 Bit.

BSI-Variante	Einstellung im Generator	Entropie
8 Zeichen, 4 Zeichenarten	Länge 8, alle Zeichenarten an	51,7 Bit
12 Zeichen, 4 Zeichenarten	Länge 12, alle Zeichenarten an	77,5 Bit
20 bis 25 Zeichen, 2 Zeichenarten	Länge 25, nur Groß- und Kleinbuchstaben	142,5 Bit
WLAN, mindestens 20 Zeichen	Länge 20, alle Zeichenarten an	129,2 Bit

Unter „BSI-Vorgaben“ stellst du die Varianten ab 12 Zeichen und eine Passphrase aus 6 Wörtern per Klick ein.

Wie lange dauert es, ein Passwort zu knacken?

Gegen einen schnellen Hash mit 10¹² Versuchen pro Sekunde fällt ein zufälliges Passwort mit 8 Zeichen im Schnitt nach rund 30 Minuten, eines mit 16 Zeichen nach rund 205 Milliarden Jahren. Der Generator zeigt die Knackzeit für drei Angriffsarten.

Angriff	8 Zeichen (51,7 Bit)	16 Zeichen (103,4 Bit)
Online-Login, 10 Versuche pro Sekunde	rund 5,7 Millionen Jahre	rund 2,0 × 10²² Jahre
bcrypt (Kosten 5), eine RTX 4090	rund 310 Jahre	rund 1,1 × 10¹⁸ Jahre
Schneller Hash wie NTLM, 10¹² pro Sekunde	rund 30 Minuten	rund 205 Milliarden Jahre

Länge	Zeichenarten	Entropie	Knackzeit, schneller Hash
8	alle vier (88 Zeichen)	51,7 Bit	rund 30 Minuten
10	alle vier (88 Zeichen)	64,6 Bit	rund 161 Tage
12	alle vier (88 Zeichen)	77,5 Bit	rund 3.400 Jahre
16	alle vier (88 Zeichen)	103,4 Bit	rund 205 Milliarden Jahre

Annahmen

Knackzeit in Sekunden = 2^Entropie ÷ 2 ÷ Versuche pro Sekunde, denn im Schnitt trifft ein Angreifer nach der Hälfte aller Möglichkeiten. Online-Login: 10 pro Sekunde, Sperren ignoriert. bcrypt mit Kosten 5: 184.000 pro Sekunde auf einer RTX 4090; höhere Kosten bremsen stärker. NTLM: 10¹² pro Sekunde, rund 3,5 RTX 4090 mit je 288,5 Milliarden (hashcat-Benchmark). Ab 10¹⁵ Jahren zeigt der Generator „länger als das Alter des Universums“. Ein Jahr hat 365,25 Tage.

Passphrase: Passwort aus Wörtern generieren

Sechs zufällige Wörter aus einer Liste mit 7.776 Wörtern sind so stark wie 12 Zufallszeichen mit allen Zeichenarten und leichter zu tippen: Jedes Wort bringt rund 12,9 Bit, sechs ergeben 77,5 Bit. Im Tab „Passphrase“ wählst du 4 bis 10 Wörter aus der deutschen Wortliste fossarchive/wordlists-de, die ohne Umlaute auskommt. Trennzeichen sind Bindestrich, Leerzeichen, Punkt oder Zufallsziffer. Jede Zufallsziffer und „Ziffer anhängen“ bringen je rund 3,3 Bit, „Wörter großschreiben“ ändert die Entropie nicht.

Sichere Passwort-Beispiele

Beispiele zeigen nur das Muster; ein veröffentlichtes Passwort ist nicht mehr geheim.

Muster	Beispiel	Entropie
16 Zeichen, alle vier Zeichenarten	`HHrOQ4@-v>FebtK+`	103,4 Bit
25 Zeichen, Groß- und Kleinbuchstaben	`xbQRiTNjSHXSzXrAQGheevmQo`	142,5 Bit
Passphrase aus 6 Wörtern	`Irreparabel-Glimpflich-Bohrloch-Erbeben-Kompendium-Kuppe`	77,5 Bit*

* Gilt nur bei zufälliger Wahl aus 7.776 Wörtern.

Sicheres Passwort erstellen: typische Fehler

Der häufigste Fehler ist, ein Passwort für mehrere Konten zu verwenden, denn ein einziges Datenleck öffnet dann alle.

Muster statt Zufall: Namen, Daten und „123!“ stehen in jeder Angreifer-Wortliste.
Zu kurz: Acht Zeichen fallen gegen einen schnellen Hash in rund 30 Minuten, auch mit Sonderzeichen.
Aufschreiben im Klartext: Browser-Notizen und Textdateien sind kein sicherer Speicher.
Nur ein Faktor: Ohne Zwei-Faktor-Authentisierung reicht ein erbeutetes Passwort für den Zugriff.

Häufige Fragen

Ist ein Online-Passwort-Generator sicher?

Ja, wenn das Passwort lokal entsteht, und das prüfst du selbst. Öffne mit F12 die Entwicklerwerkzeuge, wechsle in den Tab „Netzwerk“ und erzeuge ein paar Passwörter: Keine Anfrage enthält das Passwort. Die einzige Anfrage ist die Wortliste, die beim ersten Öffnen des Passphrase-Tabs einmal lädt. Alternativ trennst du nach dem Laden die Internetverbindung und generierst weiter. Klappt das, kommt das Passwort aus deinem Browser.

Wie lang sollte ein Passwort sein?

Für wichtige Konten mindestens 16 zufällige Zeichen, 12 sind eine vertretbare Untergrenze. Das US-Institut NIST verlangt mindestens 15 Zeichen, wenn ein Passwort allein ein Konto schützt (NIST SP 800-63B). Ein Passwort mit 10 Zeichen und allen Zeichenarten hält einem schnellen Hash-Angriff nur rund 161 Tage stand.

Passwort generieren mit Google oder Chrome: Was ist der Unterschied?

Chrome schlägt beim Registrieren ein starkes Passwort vor und speichert es im Google Passwortmanager, allerdings nur in Formularen, die Chrome erkennt, und gebunden an Browser und Google-Konto. Hier bestimmst du Länge und Zeichenarten, siehst die Knackzeit und nutzt das Ergebnis überall, etwa fürs WLAN oder einen anderen Passwort-Manager. Mehr Werkzeuge findest du in der Übersicht der ghacks-Tools.

Wo speichere ich generierte Passwörter?

In einem Passwort-Manager, geschützt durch ein langes Master-Passwort, das du dir merkst. So hat jedes Konto ein eigenes Zufallspasswort, ohne dass du eines auswendig kennst. Schalte zusätzlich die Zwei-Faktor-Authentisierung ein. Wo möglich, ersetzen Passkeys für die passwortlose Anmeldung das Passwort ganz.

Quellen

BSI: Sichere Passwörter erstellen, abgerufen am 8. November 2026
NIST SP 800-63B: Digital Identity Guidelines, Authentication and Authenticator Management
MDN Web Docs: Crypto.getRandomValues()
hashcat v6.2.6: Benchmark einer RTX 4090 (Chick3nman, 2022)
Wortliste: fossarchive/wordlists-de (CC0)