Was macht 2026 ein starkes Passwort aus?

Ein starkes Passwort geht nicht mehr darum, Buchstaben durch Symbole zu tauschen oder eine Regel zu erfinden, die nur Sie erinnern. Angreifer raten Milliarden Kandidaten pro Sekunde mit GPUs, geleakten Passwortlisten und automatisiertem Stuffing wiederverwendeter Credentials ueber Sites hinweg. 2026 ist das, was ein Passwort stark macht, einfach: genug Laenge und Zufaelligkeit, dass Raten unpraktikabel ist, Einzigartigkeit, sodass ein Breach nicht alles andere freischaltet, und eine Gewohnheit, die diese Geheimnisse in einem Passwort-Manager hinter Multi-Faktor-Authentifizierung haelt. Dieser Guide erklaert Laenge vs. Komplexitaet, Entropie in Klartext, Passphrases, was Sie vermeiden sollten und wie Sie sichere Passwoerter kostenlos in Ihrem Browser generieren.

Warum Laenge Komplexitaet schlaegt

Jahrelang pushte Passwort-Ratschlag Komplexitaet: Grossbuchstaben, Kleinbuchstaben, Zahlen und Symbole mischen. Das hilft weiterhin - ein groesserer Zeichensatz erhoeht den Suchraum - aber Laenge ist der groessere Hebel. Ein kurzes Passwort mit jeder Sonderzeichen-Anforderung kann einer modernen Cracking-Rig trotzdem fallen, wenn es nur acht Zeichen hat. Ein laengeres Passwort, selbst mit weniger Symboltypen, braucht oft laenger zum Brute-Forcen, weil jedes zusaetzliche Zeichen die Zahl der noetigen Vermutungen multipliziert.

Klassisches "Komplexitaets-Theater" schadet Menschen auch. Regeln wie "muss ein Symbol enthalten" foerdern vorhersagbare Muster: Password1!, Summer2026! oder Name123!. Angreifer kennen diese Muster und versuchen sie zuerst. NIST-artige Guidance hat sich zu laengeren Geheimnissen und weniger willkuerlichen Composition-Regeln verschoben, mit Checks gegen bekannte geleakte Passwoerter statt Nutzer in fragile Ersetzungen zu zwingen.

• Acht Zeichen mit gemischten Typen koennen immer noch schnell geknackt werden, wenn der String gaengig oder gemustert ist.
• Sechzehn oder mehr zufaellige Zeichen (oder eine lange Passphrase) sind 2026 eine praktische Baseline fuer wichtige Konten.
• Wo eine Site die Laenge deckelt oder Symbole verbietet, maximieren Sie Laenge und Einzigartigkeit - und aktivieren Sie 2FA.
• Nutzen Sie ein "starkes" Passwort nicht ueber Sites hinweg wieder; Wiederverwendung ist ein groesseres Risiko als ein etwas kuerzeres einzigartiges Passwort.

Passwort-Entropie einfach erklaert

Entropie ist ein Mass fuer Unvorhersagbarkeit - grob, wie viele Vermutungen ein Angreifer im Worst Case brauchte, wenn er jedes moegliche Geheimnis dieser Form ausprobiert. Hoehere Entropie bedeutet ein staerkeres Passwort. Sie muessen Bits nicht von Hand berechnen, aber die Idee hilft Ihnen, Optionen zu vergleichen.

Wenn jedes Zeichen unabhaengig aus einem Satz der Groesse N gewaehlt wird, multipliziert jedes zusaetzliche Zeichen den Suchraum mit N. Ein Passwort aus 95 druckbaren ASCII-Zeichen waechst viel schneller als eines nur aus Ziffern. Deshalb zaehlt es, Grossbuchstaben, Kleinbuchstaben, Zahlen und Symbole in einem Generator umzuschalten - und deshalb ist ein kurzer PIN schwach, selbst wenn er "zufaellig" aussieht.

• Zufaelligkeit zaehlt: echte kryptografische Zufaelligkeit schlaegt menschlich erfundene Muster.
• Zeichensatzgroesse zaehlt: mehr erlaubte Symbole pro Position erhoehen die Entropie.
• Laenge zaehlt am meisten fuer Alltags-Passwoerter: jedes zusaetzliche zufaellige Zeichen multipliziert die Arbeit.
• Menschlich gewaehlte Passwoerter haben weit weniger Entropie, als sie aussehen - Tricks im Stil "Tr0ub4dor&3" sind Crackern wohlbekannt.

Ein Generator, der crypto.getRandomValues des Browsers nutzt (nicht Math.random) und mindestens ein Zeichen aus jedem gewaehlten Typ garantiert, liefert Ihnen High-Entropy-Output, ohne dass Sie ihn erfinden muessen. Genau so funktioniert der Password Generator - nur clientseitig, nichts hochgeladen.

Passphrases: stark und einpraegsam

Eine Passphrase ist eine Sequenz von Woertern (oft vier oder mehr), so gewaehlt, dass die ganze Phrase lang und schwer zu raten ist, aber leichter zu tippen als ein String aus zufaelligen Symbolen. Konstruktion im Stil correct-horse-battery-staple funktioniert, wenn die Woerter wirklich unueblich zusammen sind - kein beruehmtes Zitat, kein Songtext und keine einzelne Woerterbuchphrase.

Passphrases glaenzen, wenn Sie ein Master-Passwort fuer Ihren Passwort-Manager auswendig lernen, ein Geraet entsperren oder eine Site nutzen muessen, die Passwort-Manager blockiert. Fuer alles andere ist ein zufaelliges High-Entropy-Passwort im Manager meist besser: Sie muessen nie Dutzende einzigartiger Geheimnisse erinnern.

• Nutzen Sie vier oder mehr unzusammenhaengende Woerter; fuegen Sie Leerzeichen, Bindestriche oder eine Zahl/ein Symbol hinzu, wenn die Site es erlaubt.
• Vermeiden Sie Filmzitate, Sportslogans und alles, was in Phrasenlisten vorkommt.
• Diceware-artige zufaellige Wortlisten schlagen Woerter aus Ihrem Alltagswortschatz.
• Behandeln Sie die Passphrase trotzdem als einzigartig - nutzen Sie Ihre Master-Passphrase nicht als Site-Passwort wieder.

Was Sie vermeiden sollten

Die meisten geknackten Passwoerter scheitern nicht an reiner Mathematik - sie scheitern, weil Menschen sie wiederverwenden, aus vorhersagbaren Listen waehlen oder persoenliche Details encoden. Vermeiden Sie diese Gewohnheiten:

• Wiederverwendung: ein Breach dump't ein Passwort, das E-Mail, Banking und Work-Apps freischaltet, wenn Sie es recycled haben.
• Woerterbuchwoerter und gaengige Muster: password, qwerty, 123456, Welcome1, saisonale Namen mit einem Jahr.
• Persoenliche Infos: Name, Geburtstag, Haustier, Adresse, Telefonnummer, Firmenname - alles erscheint in Social Profiles und Phishing-Kits.
• Keyboard Walks und Leetspeak allein: 1qaz2wsx, P@ssw0rd und aehnliche Muster stehen in jeder Wordlist.
• Passwoerter in Chat, E-Mail oder Screenshots teilen - nutzen Sie die Share-Funktion eines Managers oder ein One-Time-Secret, wenn Sie muessen.
• Nur im Browser speichern ohne Backup oder Sync, den Sie kontrollieren - Browser helfen, aber ein dedizierter Manager ist sicherer fuer Cross-Device-Recovery.

Passwort-Manager nutzen und 2FA einschalten

Ein Passwort-Manager laesst jedes Konto ein einzigartiges, langes, zufaelliges Passwort bekommen, waehrend Sie nur ein starkes Master-Geheimnis erinnern (idealerweise eine lange Passphrase). Moderne Manager generieren, speichern, autofillen und syncen sicher. Das ist der praktische Weg, dem Ratschlag "Laenge + Einzigartigkeit" zu folgen, ohne Geheimnisse auf Sticky Notes zu schreiben.

Zwei-Faktor-Authentifizierung (2FA) fuegt einen zweiten Check hinzu - einen Authenticator-App-Code, Hardware-Security-Key oder Push-Approval - sodass ein gestohlenes Passwort allein nicht reicht. Bevorzugen Sie app-basierte oder Hardware-2FA gegenueber SMS, wenn Sie koennen; SIM-Swap-Angriffe passieren weiterhin. Aktivieren Sie 2FA zuerst bei E-Mail (es ist der Recovery-Hub fuer alles andere), dann Banking, Work-SSO und Social Accounts.

1. Waehlen Sie einen renommierten Passwort-Manager und erstellen Sie eine lange, einzigartige Master-Passphrase.
2. Generieren Sie fuer jedes wichtige Konto ein neues zufaelliges Passwort (16+ Zeichen, wenn erlaubt).
3. Speichern Sie es im Manager - mailen Sie es sich nicht selbst und nutzen Sie keinen alten Favoriten wieder.
4. Aktivieren Sie 2FA auf diesem Konto, bevorzugt mit Authenticator-App oder Security Key.
5. Aktualisieren Sie alte wiederverwendete Passwoerter ueber die Zeit, beginnend mit E-Mail und Finanzen.

Starkes Passwort kostenlos generieren (in Ihrem Browser)

Sie muessen Entropie nicht selbst erfinden. Nutzen Sie einen Generator, der Passwoerter mit kryptografisch sicherer Zufaelligkeit baut, Laenge setzen laesst (zielen Sie auf 16-64) und Grossbuchstaben, Kleinbuchstaben, Zahlen und Symbole umschaltet, um Site-Regeln zu treffen.

• Password Generator - starke zufaellige Passwoerter erstellen (8-64 Zeichen) mit Grossbuchstaben, Kleinbuchstaben, Zahlen und Symbolen - laeuft vollstaendig in Ihrem Browser, nichts hochgeladen.

Oeffnen Sie das Tool, setzen Sie die Laenge auf mindestens 16, aktivieren Sie alle Zeichentypen, die die Site erlaubt, generieren, in Ihren Passwort-Manager kopieren und 2FA auf dem Konto aktivieren. Dieser Workflow ist, wie "starkes Passwort" 2026 in der Praxis aussieht.

Haeufig gestellte Fragen

Was macht 2026 ein Passwort stark?

Laenge, Zufaelligkeit und Einzigartigkeit. Bevorzugen Sie 16+ zufaellige Zeichen (oder eine lange zufaellige Passphrase), nutzen Sie es nie wieder, halten Sie es in einem Passwort-Manager und schuetzen Sie das Konto mit 2FA. Clevere Ersetzungen auf einem kurzen Basiswort reichen gegen modernes Cracking und Credential Stuffing nicht.

Reicht ein 12-Zeichen-Passwort?

Es kann akzeptabel sein, wenn es wirklich zufaellig und einzigartig ist, aber 16+ ist ein sichererer Default fuer wichtige Konten, wenn die Site es erlaubt. Sites, die kurze Maxima erzwingen, sollten immer 2FA aktiviert haben.

Sind Passphrases staerker als zufaellige Passwoerter?

Eine lange zufaellige Passphrase kann sehr stark und leichter aus dem Gedaechtnis zu tippen sein. Ein zufaelliges Zeichen-Passwort aehnlicher Laenge hat meist gleiche oder hoehere Entropie und ist ideal, wenn ein Manager es fuer Sie speichert. Nutzen Sie eine Passphrase fuer das Master-Geheimnis, das Sie erinnern muessen; nutzen Sie zufaellige Passwoerter fuer alles andere.

Sollte ich Passwoerter alle 90 Tage aendern?

Erzwungene periodische Rotation fuehrt oft zu schwachen Mustern (Season2026!). Aendern Sie ein Passwort, wenn es exponiert worden sein koennte, wenn Sie es wiederverwendet haben oder wenn ein Service einen Breach meldet - und machen Sie das neue einzigartig und lang.

Ist ein Online-Passwort-Generator sicher?

Er ist sicher, wenn die Generierung vollstaendig in Ihrem Browser mit kryptografisch sicherer Zufaelligkeit passiert und nichts an einen Server gesendet wird. Bevorzugen Sie Tools, die das klar sagen - der ToolsMinify Password Generator laedt Ihr Ergebnis nie hoch und speichert es nicht.

Brauche ich trotzdem 2FA, wenn mein Passwort stark ist?

Ja. Phishing, Malware und Session-Diebstahl koennen selbst exzellente Passwoerter umgehen. 2FA - besonders eine Authenticator-App oder ein Hardware-Key - ist das zweite Schloss an der Tuer.