Was ist eine Passphrase?
Ein Passphrasen-Generator kann unabhängige Wörter auswählen, sollte dafür aber keine persönlichen Angaben verwenden. Eine Passphrase ist ein Passwort aus mehreren Wörtern. Je nach Dienst können Leerzeichen, Bindestriche oder andere Trennzeichen enthalten sein. Statt einer kurzen Zeichenfolge wie `P@ss2026` entsteht eine längere Folge unabhängiger Wörter. Sie lässt sich gut eingeben, ist aber nur dann widerstandsfähig, wenn die Wörter nicht aus einer offensichtlichen Geschichte stammen.
Mehr Länge erhöht die Zahl der Versuche, die ein Angreifer durchführen müsste. Eine zufällige Auswahl verhindert, dass Namen, Daten, Themen oder bekannte Sätze die Suche verkleinern. Verwenden Sie daher kein Haustier, Team, keine Stadt, keinen Geburtstag und kein Zitat. Wenn Sie erklären können, warum die Wörter zusammengehören, kann diese Verbindung vorhersehbar sein.
Der Begriff steht nicht für eine einzelne Technik. Ein Generator kann Wortlisten, Würfel oder die kryptografische Zufallsquelle des Browsers nutzen. Entscheidend sind unabhängige Auswahl aus einer bekannten Liste und die Verarbeitung auf dem Gerät. Eine Passphrase bleibt ein Zugang: Verwenden Sie sie nur einmal und wechseln Sie sie nach einem möglichen Leck.
Passphrase oder klassisches Passwort?
Beide Formate können sicher sein. Entscheidend sind die Regeln des Dienstes, die maximale Länge und der Aufbewahrungsort. Vergleichen Sie die Eigenschaften, bevor Sie sich entscheiden.
| Aspekt | Passphrase | Zufälliges Passwort |
|---|---|---|
| Lesbarkeit | Mehrere getrennte Wörter. | Gemischte Buchstaben, Zahlen und Symbole. |
| Länge | Durch weitere Wörter erweiterbar. | Durch das Formular begrenzt. |
| Merken | Angenehm, wenn Wörter unabhängig sind. | Wird meist aus einem Manager kopiert. |
| Typisches Risiko | Bekannter Satz oder verbundene Wörter. | Eine vorhersehbare Änderung wie 123. |
| Geeignet für | Master-Passwort, WLAN und Dienste mit Leerzeichen. | Kurze Felder oder Formulare ohne Leerzeichen. |
So funktioniert eine Diceware-Auswahl
Diceware ist ein Auswahlverfahren: Eine Folge von Würfelergebnissen verweist auf ein Wort in einer Liste. Ein digitaler Generator sollte dieses Prinzip mit einer kryptografisch sicheren Quelle nachbilden und Wörter nicht nach ihrer Bedeutung wählen.
Zweck festlegen
Entscheiden Sie, ob die Passphrase für ein Konto, WLAN, ein Master-Passwort oder Verschlüsselung gedacht ist. Daraus ergeben sich Mindestlänge und Dienstregeln.
Wörter einzeln ziehen
Wählen Sie pro unabhängiger Ziehung ein Wort. Ein lokaler Generator kann `crypto.getRandomValues` nutzen; echte Würfel funktionieren mit einer vertrauenswürdigen Liste und Anleitung.
Nicht nachbessern
Verbinden Sie die Wörter mit erlaubten Leerzeichen oder Bindestrichen. Tauschen Sie kein Wort aus, nur weil das Ergebnis seltsam klingt: Das senkt den Zufall.
Kopieren und speichern
Prüfen Sie das Ergebnis im offiziellen Formular, kopieren Sie es einmal und legen Sie es in einem Tresor ab. Lassen Sie es nicht in Verlauf, Chat, Tabelle oder Screenshot liegen.
Wie viele Wörter sind sinnvoll?
Eine allgemeingültige Zahl gibt es nicht. Mehr Wörter schaffen meist mehr Spielraum gegen Versuche, doch Dienste können Leerzeichen oder lange Eingaben ablehnen. Nutzen Sie die Tabelle als Startpunkt und prüfen Sie die Dienstregeln.
| Wörter | Sicherheits-Einordnung | Beispiel |
|---|---|---|
| 4 | Gute Basis für weniger wichtige Konten bei einer großen Wortliste. | Nebenaccount mit langer Eingabe. |
| 5–6 | Praktischer Spielraum für viele Konten und ein geschütztes Master-Passwort. | E-Mail, Tresor oder privates WLAN. |
| 7–8 | Mehr Länge für wertvolle Daten oder einen Wiederherstellungsschlüssel. | Dateiverschlüsselung und Admin-Zugang. |
| 9 oder mehr | Kann unnötig und schwer einzugeben sein; Limit und Manager prüfen. | Spezielle Fälle mit technischer Beratung. |
Die Tabelle garantiert keine genaue Zeit zum Knacken. Hardware, Versuchslimits, Leaks und die Speicherung des Dienstes verändern das Szenario. Länge und Zufall sind wichtige Signale, aber kein Zertifikat.
Checkliste für eine Passphrase
Prüfen Sie diese Punkte, bevor Sie das Ergebnis übernehmen. So wird eine Wortfolge zu einer Sicherheitsentscheidung, die Sie später nachvollziehen können.
Echte Auswahl
Stammen die Wörter aus unabhängigen Zufallsziehungen und nicht aus Ihrer Vorstellung?
Regeln passen
Akzeptiert der Dienst Länge, Leerzeichen und Trennzeichen der Passphrase?
Kein persönlicher Kontext
Enthält sie keine Namen, Orte, Daten, Hobbys, Liedtexte oder suchbare Hinweise?
Keine Wiederverwendung
Ist sie für diesen Dienst neu und keine kleine Abwandlung eines anderen Passworts?
Zusätzliche Schicht
Bietet das Konto 2FA, Passkey oder Anmeldewarnungen?
Sicher speichern und verwenden
Eine starke Passphrase verliert ihren Wert, wenn sie sichtbar bleibt oder mehrfach verwendet wird. Ein Passwortmanager hilft beim Alltag, braucht aber ein eigenes Master-Passwort und ein vertrauenswürdiges Gerät.
- Tresor verwenden: Wählen Sie einen Manager mit Sperre und geschützter Synchronisierung. Unverschlüsselte Notizen, Fotos und geteilte Dateien sind ungeeignet.
- Richtige Website öffnen: Nutzen Sie eine selbst eingegebene oder vertrauenswürdig gespeicherte Domain. Phishing kann auch eine perfekte Passphrase stehlen.
- Zweiten Faktor aktivieren: Authenticator-App, Hardware-Schlüssel oder Passkey begrenzen den Schaden bei einem bekannt gewordenen Passwort.
- Warnungen prüfen: Nach einem Leak oder fremden Login Sitzungen beenden, Zugang wechseln und nach Wiederverwendung suchen.
Was ein Passphrasen-Generator nicht garantiert
Die Erzeugung im Browser verringert die Sichtbarkeit während der Erstellung, löst aber nicht jedes Kontorisiko. Folgendes bleibt außerhalb des Werkzeugs.
Das Tool kann nicht beweisen, wie ein ferner Dienst Passwörter speichert, Versuche begrenzt oder die Kontowiederherstellung schützt.
Wer Bildschirm, Verlauf oder Zwischenablage gesehen hat, kennt das Geheimnis. Feld und Zwischenablage nach der Nutzung leeren.
Eine Wortliste ersetzt keine Updates, Phishing-Abwehr, Malware-Schutz, Sitzungsprüfung und Gerätepflege.
Quellen zum Verfahren
Diese Quellen erklären Diceware und Browser-Zufall. Sie sind keine Anleitung, ein veröffentlichtes Passwort zu übernehmen.
- Diceware.comErklärt Wortlisten, Wortanzahl und die Auswahl mit Würfeln.
- diceware auf GitHubBeispiel eines lokalen Generators mit crypto.getRandomValues ohne Upload der Passphrase.
- Web Crypto API bei MDNDokumentation der kryptografischen Zufallsquelle im Browser-JavaScript.
Fragen zu Passphrasen
Ist eine Passphrase sicherer als ein Passwort mit Symbolen?
Nicht automatisch. Länge und unvorhersehbare Auswahl zählen. Ein langes zufälliges Passwort kann sehr gut sein, während ein bekannter Satz mit vorhersehbaren Symbolen schwach bleibt.
Wie viele Wörter sollte sie enthalten?
Beginnen Sie mit fünf oder sechs zufällig gewählten Wörtern und beachten Sie das Dienstlimit. Für Master-Passwort oder Verschlüsselung können Sie weitere Wörter nutzen und die Eingabe dem Manager überlassen.
Darf ich einen persönlichen Satz erfinden?
Besser nicht. Persönliche Geschichten, Zitate, Titel und Witze tauchen in Kontextangriffen auf. Verwenden Sie unabhängig ausgewählte Wörter.
Sind Leerzeichen überall erlaubt?
Nein. Manche Formulare entfernen Leerzeichen oder haben ein kurzes Limit. Prüfen Sie die Regeln und nutzen Sie bei Bedarf ein erlaubtes Trennzeichen oder den normalen Generator.
Speichert die Website die erzeugte Passphrase?
Dieser Leitfaden empfiehlt lokale Erzeugung, doch prüfen Sie die Richtlinie jedes Dienstes. Eine öffentliche Website ist kein Tresor; geben Sie ein aktives Passwort nicht nur zum Test ein.
Ersetzt eine Passphrase 2FA?
Nein. 2FA, Passkeys und Anmeldewarnungen helfen gegen Phishing, Wiederverwendung und gestohlene Sitzungen. Aktivieren Sie sie, wenn der Dienst sie anbietet.
Kann ich das Beispiel im Artikel verwenden?
Nein. Veröffentlichte Beispiele sind öffentlich. Erzeugen Sie eine neue Kombination, speichern Sie sie im Tresor und nutzen Sie für jedes wichtige Konto eine andere Passphrase.