Was ein Passwort stark macht
Ein Angreifer probiert Passwörter nicht von Hand durch, sondern automatisiert — je nach Verfahren Milliarden pro Sekunde. Dagegen hilft nur eines: die Zahl der Möglichkeiten so groß machen, dass Durchprobieren aussichtslos wird. Diese Zahl ergibt sich aus zwei Größen, dem Zeichenvorrat und der Länge — und die beiden wirken sehr unterschiedlich.
Der Zeichenvorrat multipliziert: Wer statt nur Kleinbuchstaben auch Großbuchstaben, Ziffern und Sonderzeichen zulässt, wächst von 26 auf rund 90 mögliche Zeichen je Stelle. Die Länge dagegen potenziert — jedes zusätzliche Zeichen multipliziert die Gesamtzahl erneut mit dem vollen Vorrat. Deshalb schlägt Länge Komplexität: Ein Passwort aus 20 Kleinbuchstaben hat mehr Möglichkeiten als eines aus 12 Zeichen mit allen Sonderzeichen.
Die Stärke-Anzeige über dem Generator rechnet genau das aus und gibt es in Bit an. Ein Bit mehr bedeutet doppelt so viele Möglichkeiten. Die Angabe gilt allerdings nur für zufällig erzeugte Passwörter wie die hier generierten — ein selbst ausgedachtes „P@ssw0rt2026!" erreicht rechnerisch ähnliche Werte, ist aber trivial zu knacken, weil Angreifer genau solche Muster zuerst durchprobieren.
Woher der Zufall kommt
Ein Passwort ist nur so unvorhersehbar wie der Zufall, aus dem es entsteht. Dieser Generator nutzt deshalb die kryptografisch sichere Zufallsquelle des Browsers und nicht die übliche Standardfunktion für Zufallszahlen — letztere ist auf Geschwindigkeit ausgelegt und ihre Ausgabe unter Umständen vorhersagbar, was für Spielereien genügt, für Passwörter aber nicht.
Zusätzlich achten wir darauf, den Zufall unverzerrt in Zeichen zu übersetzen. Der naheliegende Weg — eine Zufallszahl durch die Vorratsgröße teilen und den Rest nehmen — bevorzugt systematisch die vorderen Zeichen des Vorrats, wenn die Größe nicht glatt aufgeht. Der Generator verwirft solche Zufallswerte stattdessen und zieht neu, sodass jedes Zeichen exakt gleich wahrscheinlich ist. Und: Ist eine Zeichenart angehakt, kommt sie im Ergebnis garantiert mindestens einmal vor.
Was ein starkes Passwort nicht leisten kann
Selbst ein perfektes Passwort schützt nicht gegen alles. Wird es bei einem Anbieter im Klartext gespeichert und dieser gehackt, liegt es offen — unabhängig von seiner Länge. Wer es auf einer täuschend echt nachgebauten Anmeldeseite eingibt, übergibt es freiwillig. Und wer dasselbe Passwort mehrfach nutzt, macht aus einem fremden Datenleck ein eigenes Problem.
Deshalb gehören zu einem starken Passwort zwei Gewohnheiten: für jeden Dienst ein eigenes, und wo immer verfügbar die Zwei-Faktor-Anmeldung. Sie ist der wirksamste einzelne Schutz überhaupt, weil ein gestohlenes Passwort allein dann nicht mehr genügt.