Wie lang sollte ein sicheres Passwort 2026 sein?
Viele Websites verlangen noch „einen Großbuchstaben, eine Zahl, ein Sonderzeichen". Das hilft ein wenig – entscheidend ist aber etwas Einfacheres: Länge und Zufall.
Was ein Passwort stark macht
Wer eine Passwortdatenbank erbeutet, kann Milliarden Kombinationen pro Sekunde testen. Dich schützt die Zahl möglicher Passwörter. Jedes zusätzliche zufällige Zeichen multipliziert sie mit der Größe des Zeichenvorrats – mit 26 bei Kleinbuchstaben, mit etwa 94 bei allen Tastaturzeichen.
Gemessen wird in Entropie-Bits: Jedes Bit verdoppelt den Rateaufwand. Ein zufälliges 12-Zeichen-Passwort mit Buchstaben, Ziffern und Sonderzeichen hat rund 79 Bit, eines mit 16 Zeichen rund 105.
Empfohlene Längen
| Zweck | Empfehlung |
|---|---|
| E-Mail, Bank, Passwortmanager | 16+ Zeichen (oder eine lange Passphrase) |
| Normale Konten im Passwortmanager | 16–20 zufällige Zeichen |
| WLAN | 16+ Zeichen, ohne verwechselbare Zeichen |
Das Schlüsselwort ist zufällig. „Sommer2026!" hat 11 Zeichen, gehört aber zu den ersten Versuchen jeder Angriffssoftware.
Sicher erzeugen
Der Passwort-Generator nutzt den kryptografischen Zufallsgenerator des Browsers (crypto.getRandomValues). Das Passwort verlässt die Seite nie – nichts wird gesendet oder gespeichert. Für Passwörter, die du abtippen musst (Fernseher, Router), aktiviere „verwechselbare Zeichen vermeiden".
Länge ist nicht alles
- Keine Passwörter wiederverwenden. Nach einem Leak werden sie überall ausprobiert.
- Passwortmanager nutzen – dann kostet ein 20-Zeichen-Passwort keine Mühe.
- Zwei-Faktor-Authentifizierung für E-Mail und Banking einschalten. Auch das BSI empfiehlt das.