Passphrase vs. Passwort: Was ist sicherer? (Gratis-Tool)

Eine Passphrase besteht aus mehreren zufälligen, aneinandergereihten Wörtern, etwa walnuss-hafen-ebbe-sauerstoff-klammer-geige. Ein Passwort ist eine Folge zufälliger Zeichen, etwa q7#Vd!m2Kp@x. Beide können gleich stark sein: Sechs zufällige Wörter aus einer großen Wortliste haben etwa dieselbe Stärke wie 12 zufällige Zeichen. Nimm Passwörter aus zufälligen Zeichen vom kostenlosen Passwort-Generator für alles, was ein Passwort-Manager ausfüllt, und eine Passphrase für die wenigen Dinge, die du dir merken oder von Hand tippen musst.

Das entscheidende Wort ist in beiden Fällen „zufällig“. Eine Passphrase, die du dir selbst aussuchst, etwa eine Liedzeile, ist schwach; eine Passphrase, die Würfel oder Software auswählen, ist stark.

Der schnelle Vergleich

	Zufälliges Passwort	Zufällige Passphrase
Sieht aus wie	q7#Vd!m2Kp@x	walnuss-hafen-ebbe-sauerstoff-klammer-geige
Die Stärke kommt von	Vielen möglichen Zeichen pro Stelle	Vielen möglichen Wörtern pro Stelle
Typische starke Länge	16–20 Zeichen	6–7 Wörter
Leicht zu merken?	Nein	Ziemlich
Leicht auf Handy oder TV-Fernbedienung zu tippen?	Nein, viel Umschalten für Sonderzeichen	Ja, meist Kleinbuchstaben
Überall akzeptiert?	Fast; manche Websites begrenzen die Länge oder verbieten manche Sonderzeichen	Manche Websites begrenzen die Länge unter der einer langen Phrase
Am besten für	Alles, was in einem Passwort-Manager gespeichert ist	Master-Passwort des Managers, Computer-Anmeldung, oft getipptes WLAN

Wie Stärke gemessen wird

Stärke wird in Bits an Entropie gezählt: Jedes Bit verdoppelt die Zahl der Versuche, die ein Angreifer eventuell braucht.

• Ein zufälliges Zeichen aus dem 85-Zeichen-Satz des Generators (Buchstaben, Ziffern und 23 Sonderzeichen) bringt etwa 6,4 Bits.
• Ein zufälliges Wort aus einer Liste mit 7.776 Wörtern (die Größe der weit verbreiteten Diceware-Listen, bei denen fünf Würfelwürfe jedes Wort bestimmen) bringt etwa 12,9 Bits.

Ein zufälliges Wort ist also etwa zwei zufällige Zeichen wert. Ein paar Entsprechungen:

Passphrase	Bits	Vergleichbares zufälliges Passwort
4 Wörter (Liste mit 7.776 Wörtern)	etwa 52	8 Zeichen (etwa 51 Bits)
5 Wörter	etwa 65	10 Zeichen (etwa 64 Bits)
6 Wörter	etwa 78	12 Zeichen (etwa 77 Bits)
8 Wörter	etwa 103	16 Zeichen (etwa 103 Bits)

Die Rechnung stimmt nur, wenn jedes Wort zufällig aus der ganzen Liste gezogen wird. Suchst du die Wörter selbst aus, nimmst du gängige, zusammenhängende Wörter, und die Werkzeuge der Angreifer probieren genau diese Kombinationen zuerst. Eine kleinere Liste bedeutet auch weniger Bits: Bei 2.000 Wörtern bringt jedes Wort etwa 11 Bits.

Was diese Bit-Zahlen in Zeit bedeuten, siehst du unter Wie lange dauert es, ein Passwort zu knacken?.

Wo Passwörter gewinnen

• Im Passwort-Manager. Du tippst sie nie und musst sie dir nie merken, mach sie also lang und völlig zufällig. 20 Zeichen aus allen vier Zeichenarten sind etwa 128 Bits, weit mehr als jede Passphrase, die du tippen wollen würdest.
• Websites mit kurzer Längenbegrenzung. Manche älteren Websites begrenzen Passwörter auf 16 oder 20 Zeichen. Zufällige Zeichen packen mehr Stärke in weniger Zeichen.
• API-Schlüssel, Dienstkonten und gemeinsame Geheimnisse. Maschinen ist es egal, ob man sich etwas merken kann.

Wo Passphrasen gewinnen

• Das Master-Passwort deines Passwort-Managers. Das ist das eine, das du dir merken musst, und es schützt alles andere. Sechs oder sieben zufällige Wörter sind ein gutes Ziel.
• Die Anmeldung an Computer oder Handy, wenn du dort ein Passwort statt einer PIN oder eines Fingerabdrucks nutzt.
• Alles, was auf einer umständlichen Tastatur getippt wird: Smart-TVs, Spielkonsolen, ein WLAN-Passwort, das Gäste von Hand eingeben.
• Etwas, das du laut vorlesen musst, wo quarz-zitrone-hafen ein Telefonat besser übersteht als q7#Vd!m2.

Laut NIST SP 800-63B (Revision 4, 2025) sind lange Passwörter und Passphrasen willkommen, Websites sollten Leerzeichen und mindestens 64 Zeichen erlauben und keine Zusammensetzungsregeln oder regelmäßigen Wechsel erzwingen. Manche Websites verlangen trotzdem einen Großbuchstaben, eine Ziffer und ein Sonderzeichen. Füg sie an einer vorhersehbaren Stelle ein, etwa Walnuss-hafen-ebbe-sauerstoff-klammer-geige-7. Das bringt kaum zusätzliche Stärke, erfüllt aber die Regel, ohne die zufälligen Wörter zu schwächen.

So erstellst du beides

Ein zufälliges Passwort: Öffne den kostenlosen Passwort-Generator, stell die Länge ein (sie steht anfangs auf 20 und reicht von 8 bis 128), lass Kleinbuchstaben, Großbuchstaben, Zahlen und Sonderzeichen angehakt, drück auf Erzeugen und dann auf Kopieren. Es wird auf deinem Gerät erstellt und nirgendwohin gesendet.

Eine zufällige Passphrase: Der Passwort-Generator erstellt nur Passwörter aus Zeichen; Wörter wählt er nicht aus. Zwei Wege zu einer zufälligen Passphrase:

1. Würfel. Nimm eine veröffentlichte Diceware-Wortliste und würfle für jedes Wort mit fünf Würfeln. Jeder Wurf wählt eines der 7.776 Wörter. Das dauert, geht aber komplett offline.
2. Unsere Zufallsauswahl. Öffne den kostenlosen Zufallszahlengenerator, wähle Aus einer Liste wählen, füg eine lange Wortliste ein (ein Wort pro Zeile, je länger, desto besser), stell Wie viele auswählen auf 6 und drück auf Auswählen. Er nutzt die sichere Zufallsquelle deines Browsers, und nichts wird hochgeladen. Verbinde die Wörter mit Bindestrichen oder Leerzeichen.

Egal, wofür du dich entscheidest: Bearbeite das Ergebnis nicht zu etwas „Schönerem“. Ein zufälliges Wort gegen ein Lieblingswort zu tauschen ist genau der Weg, auf dem Stärke verloren geht.

Verbreitete Irrtümer

„Passphrasen sind immer stärker, weil sie länger sind.“ Die Länge in Buchstaben zählt nicht, die Zahl der zufälligen Entscheidungen schon. correcthorsebattery hat 19 Buchstaben, aber nur 3 zufällige Wörter, etwa 39 Bits aus einer Liste mit 7.776 Wörtern, schwächer als ein zufälliges Passwort mit 8 Zeichen.

„Buchstaben durch Sonderzeichen zu ersetzen macht es stark.“ P@ssw0rd gehört zu den ersten Versuchen jedes Knackprogramms. Ersetzungen wie a→@ und o→0 sind bestens bekannt.

„Ich hashe mein Passwort vorher, damit es zufällig wird.“ Ein schwaches Passwort zu hashen ergibt eine lange Zeichenkette, aber ein Angreifer, der deine Methode errät, kann dieselben Versuche hashen. Der kostenlose Hash-Generator ist für Prüfsummen gedacht, nicht zum Erstellen von Passwörtern.

Eine vollständige Routine, einschließlich der Frage, wie lang ein Passwort für welche Art von Konto sein sollte, findest du unter Sicheres Passwort erstellen.

Erzeug jetzt eins

Für jedes Konto, das dein Passwort-Manager verwaltet, ist ein zufälliges Passwort mit 16–20 Zeichen die stärkste und einfachste Wahl. Erstell eins mit dem kostenlosen Passwort-Generator, kopier es direkt in deinen Manager und heb dir Passphrasen für die Handvoll Dinge auf, die du selbst tippst.