Passwort-Generator für starke Zufallspasswörter

Entropie: so wird die Stärke gemessen

Stärke heißt hier Entropie, gemessen in Bit. Bei einem Zufallspasswort ist das einfache Mathematik: die Länge mal log2 der Zahl möglicher Zeichen. Jedes zusätzliche Bit verdoppelt die Zahl der Versuche, die nötig sind, um jede Möglichkeit durchzuprobieren.

Mit allen vier Zeichengruppen und ohne Verwechsler umfasst der Vorrat 81 Zeichen, etwa 6,34 Bit pro Zeichen. Octoolo stuft das Ergebnis unter 50 Bit als Schwach ein, ab 50 als Mittel, ab 75 als Stark und ab 100 als Ausgezeichnet.

Länge bringt mehr als Vielfalt. Sonderzeichen bringen einem Passwort mit 16 Zeichen etwa 8 Bit, vier Zeichen mehr Länge etwa 25. Und die Rechnung gilt nur für zufällig gewählte Passwörter. Eins, das sich ein Mensch ausdenkt, etwa Sommer2024!, hat nur einen Bruchteil der Entropie, die seine Länge vermuten lässt, weil Angreifer solche Muster zuerst probieren.

Zufall, aber richtig

Zwei Details trennen einen guten Generator von einem schwachen, und beide sieht man dem Ergebnis nicht an.

• Die Zufallsquelle. Octoolo nutzt crypto.getRandomValues, den kryptografischen Zufallsgenerator der Web-Engine, auf der es läuft, dieselbe Art, mit der auch Verschlüsselungsschlüssel erzeugt werden. Gewöhnliche Zufallsfunktionen vieler Programmiersprachen werden vorhersagbar, sobald ein Angreifer genug von ihrer Ausgabe gesehen hat.
• Keine Verzerrung. Wer eine Zufallszahl mit einem einfachen Rest in eines von 81 Zeichen umwandelt, macht ein paar Zeichen etwas wahrscheinlicher als die anderen. Octoolo verwirft die Zufallszahlen, die das verursachen würden, und zieht neu, deshalb ist jedes Zeichen im Vorrat genau so wahrscheinlich wie jedes andere.

Was er nicht macht: jede Zeichenart in jedes Passwort zwingen. Jedes Zeichen wird aus dem ganzen Vorrat gezogen, ein Passwort kann also ohne Ziffer oder Sonderzeichen herauskommen, umso öfter, je kürzer es ist. Verlangt ein Dienst von jeder Art eins, generier ein paar und nimm eins, das passt.

Die Regeln von Websites erfüllen

• Ein Sonderzeichen wird abgelehnt? Die Sonderzeichen sind ! @ # $ % ^ & * ( ) - _ = + [ ] { } ; : , . ? / ~, und manche Dienste lehnen ein paar davon ab. Schalte !@# aus und gib zwei oder drei Zeichen Länge dazu, um die Entropie auszugleichen.
• Eine Längenbegrenzung? Manche älteren Systeme kürzen Passwörter, manchmal ohne Hinweis. Klappt ein neues Passwort beim Anmelden nicht, stell eine kürzere Länge ein und versuch es noch einmal.
• Eine PIN oder ein Zahlencode? Nimm nur 0–9 und schalte Keine Verwechsler aus, denn es lässt die Ziffern 0 und 1 weg.
• Eingabe auf einem Fernseher oder einer Spielkonsole? Buchstaben und Ziffern ohne Verwechsler und ein paar Zeichen mehr Länge lassen sich mit einer Fernbedienung leichter eingeben.

Egal, welche Regeln gelten: Nutze jedes Passwort für nur ein Konto. Ein starkes Passwort, das auf zwei Websites im Einsatz ist, ist nur so sicher wie die schwächere der beiden.

Nach dem Generieren

Ein starkes Passwort hilft nur, wenn es zu genau einem Konto gehört und sicher aufbewahrt wird. Das ist die Aufgabe eines Passwort-Managers, und Octoolo hat einen in der App Passwörter: Der Passwort-Manager bewahrt deine Logins in einem verschlüsselten Tresor auf deinem PC auf, und sein eigener Generator erstellt auch Passphrasen aus 3 bis 10 Wörtern, die sich leichter tippen und merken lassen. Ob ein altes Passwort in einem Datenleck aufgetaucht ist, verrät dir die Passwort-Leak-Prüfung.

Ein Hinweis zum Kopieren: Ist der Zwischenablageverlauf von Windows (Win V) eingeschaltet, bleibt alles, was du kopierst, auch ein Passwort aus dieser Liste, in diesem Verlauf, bis du ihn leerst. Der Kopierknopf des Passwort-Managers hält Geheimnisse aus dem Verlauf heraus und leert die Zwischenablage nach kurzer Zeit.