Sicheres Passwort erstellen: Die BSI-Empfehlungen praktisch erklärt
Fast jede Anleitung zu sicheren Passwörtern wiederholt dieselben Faustregeln, oft ohne Quelle. Für diesen Artikel habe ich mich deshalb an eine Stelle gehalten, die in Deutschland maßgeblich ist: das Bundesamt für Sicherheit in der Informationstechnik (BSI). Ich fasse seine Empfehlungen zusammen, rechne nach, was „sicher“ in Zahlen bedeutet, und zeige, wie Sie die Regeln mit einem Generator in Sekunden umsetzen.
Ich habe den Passwort-Generator von ToolPry selbst gebaut. Beim Schreiben dieses Artikels habe ich ihn noch einmal Zeile für Zeile geprüft – dazu mehr am Ende.
Die Grundregel des BSI: Je länger, desto besser
Das BSI stellt die Länge an die erste Stelle: Je länger ein Passwort ist, desto besser. Konkret nennt das BSI mehrere Beispiele für sichere Passwörter:
| Variante | BSI-Empfehlung |
|---|---|
| Kurz und komplex | 8 bis 12 Zeichen, mit allen vier Zeichenarten (Groß- und Kleinbuchstaben, Ziffern, Sonderzeichen) |
| Zwei Zeichenarten | 20 bis 25 Zeichen gelten als sicher |
| Lang und weniger komplex | mindestens 25 Zeichen, zum Beispiel eine Folge von Wörtern |
| WLAN (WPA2/WPA3) | mindestens 20 Zeichen, weil Angriffe hier offline möglich sind |
| Mit Zwei-Faktor-Anmeldung | 8 Zeichen mit drei Zeichenarten, wenn das Konto zusätzlich durch einen zweiten Faktor abgesichert ist |
Der WLAN-Wert verdient besondere Beachtung. Bei einem Online-Konto kann der Anbieter Anmeldeversuche begrenzen. Beim WLAN sind laut BSI dagegen Offline-Angriffe möglich. Dabei greift keine Begrenzung der Anmeldeversuche durch einen Anbieter. Darum verlangt das BSI hier mehr Länge.
Was das BSI ausdrücklich nicht empfiehlt
- Einfache Passwörter mit Anhängsel: Ziffern oder gängige Sonderzeichen wie
$,!,?oder#am Anfang oder Ende eines einfachen Passworts machen es nicht sicher.Sommer2026!ist ein typisches Beispiel für dieses Muster. - Persönliche Daten: Namen von Familienmitgliedern oder Haustieren und Geburtsdaten.
- Tastaturmuster wie
asdfgh. - Umlaute und Zeichen wie ß oder €: Sie fehlen auf ausländischen Tastaturen oder werden von manchen Diensten anders kodiert. Im Urlaub am fremden Rechner kommen Sie dann nicht mehr in Ihr Konto.
- Wiederverwendung: Jedes Passwort sollte nur für ein Konto genutzt werden. Wird ein Dienst gehackt, sind sonst alle Konten mit demselben Passwort gefährdet.
Drei Methoden, die das BSI vorschlägt
1. Die Satzmethode
Sie nehmen einen Satz, den Sie sich merken können, und verwenden jeweils den ersten (oder zweiten oder letzten) Buchstaben jedes Wortes. Einzelne Buchstaben können Sie durch Ziffern oder Sonderzeichen ersetzen. Ein Beispiel, das Sie natürlich nicht verwenden sollten:
„Mein Fahrrad hat 21 Gänge und quietscht seit dem Winter 2019!“
→ MFh21GuqsdW2019!Heraus kommen 16 Zeichen mit allen vier Zeichenarten – deutlich über dem BSI-Minimum für komplexe Passwörter.
2. Ein ganzer Satz
Alternativ verwenden Sie den ganzen Satz oder verbinden mehrere Wörter mit Sonderzeichen. Das ergibt schnell 25 und mehr Zeichen.
3. Zufällige Wörter
Das BSI nennt fünf bis sechs zufällige Wörter aus dem Wörterbuch, getrennt durch Leerzeichen. Wichtig ist das Wort zufällig: Ein Liedtext oder ein bekanntes Zitat ist keine zufällige Wortfolge.
Nachgerechnet: Was heißt „sicher“ in Zahlen?
Die Stärke eines zufällig erzeugten Passworts misst man in Bit Entropie. Die Formel ist einfach: Länge × log2(Größe des Zeichenvorrats). Jedes zusätzliche Bit verdoppelt die Zahl der Möglichkeiten, die ein Angreifer durchprobieren muss.
Der ToolPry-Generator wählt mit allen vier Zeichenarten aus 88 Zeichen (26 Groß-, 26 Kleinbuchstaben, 10 Ziffern, 26 Sonderzeichen). Für Passphrasen nutzt er eine Liste mit 1.063 englischen Wörtern. Daraus ergeben sich diese Werte:
| Passwort (zufällig erzeugt) | Entropie |
|---|---|
| 8 Zeichen, vier Zeichenarten | ca. 52 Bit |
| 12 Zeichen, vier Zeichenarten | ca. 78 Bit |
| 20 Zeichen, vier Zeichenarten | ca. 129 Bit |
| 4 Wörter aus 1.063 | ca. 40 Bit |
| 6 Wörter aus 1.063 | ca. 60 Bit |
Zwei Dinge fallen auf. Erstens: Jedes zusätzliche Zeichen bringt rund 6,5 Bit. Länge wirkt also stark, genau wie das BSI betont. Zweitens: Bei Passphrasen zählt die Zahl der Wörter, nicht die Zahl der Buchstaben. Vier Wörter ergeben über 20 Zeichen, sind aber mit rund 40 Bit deutlich schwächer als ein zufälliges 12-Zeichen-Passwort. Nehmen Sie deshalb mindestens fünf, besser sechs Wörter – das deckt sich mit der BSI-Empfehlung.
Wichtig: Diese Rechnung gilt nur für echte Zufallspasswörter. Ein selbst ausgedachter Satz mit 25 Zeichen hat weit weniger Entropie, als die Länge vermuten lässt, weil menschliche Sprache vorhersehbar ist. Selbst ausgedachte Passwörter sollten Sie daher eher länger wählen.
Passwortmanager und Zwei-Faktor-Anmeldung
Niemand kann sich für Dutzende Konten jeweils ein eigenes, langes Passwort merken. Das BSI empfiehlt deshalb einen Passwortmanager: Er speichert für jeden Dienst ein eigenes Passwort, und Sie müssen sich nur noch ein starkes Master-Passwort merken. Für dieses Master-Passwort sollten Sie besonders viel Sorgfalt walten lassen: Eine zufällig erzeugte Passphrase aus sechs Wörtern (ca. 60 Bit) ist das Minimum. Mehr Sicherheit bietet ein zufälliges Passwort mit 16 oder mehr Zeichen, das Sie sich einprägen und zusätzlich sicher offline aufbewahren.
Zusätzlich rät das BSI zur Zwei-Faktor-Authentisierung. Ein zweiter Faktor bietet laut BSI ein höheres Maß an Sicherheit als Benutzername und Passwort allein. Als Beispiele nennt das BSI SMS-Codes, TAN-Generatoren, Bestätigungen per App, Fingerabdruck und PIN; hardwarebasierte Verfahren stuft es als besonders sicher ein. Aktivieren Sie den zweiten Faktor zuerst bei E-Mail, Online-Banking und Ihrem Passwortmanager – über das E-Mail-Konto lassen sich die meisten anderen Passwörter zurücksetzen.
Schritt für Schritt mit dem ToolPry-Generator
- Öffnen Sie den Passwort-Generator.
- Für Konten im Passwortmanager: Länge auf 20 oder mehr stellen, alle vier Zeichenarten aktiv lassen, erzeugen und direkt in den Passwortmanager kopieren. Merken müssen Sie es sich nicht.
- Für das WLAN: mindestens 20 Zeichen, wie vom BSI empfohlen. Falls Sie das Passwort häufig abtippen, wählen Sie nur Buchstaben und Ziffern und gehen dafür auf 25 Zeichen.
- Für ein Master-Passwort: mindestens auf „Passphrase“ mit 6 Wörtern wechseln (rund 60 Bit; die Stärkeanzeige rechnet bei Passphrasen mit der Wortanzahl) – oder besser ein zufälliges Passwort mit 16+ Zeichen erzeugen.
- Mit der Prüffunktion können Sie ein bestehendes Passwort grob einschätzen lassen. Wichtig: Sie berechnet nur die Zeichenvielfalt und erkennt keine Wörter oder Muster. Ein Passwort wie „Sommer2026!“ wird dort hoch bewertet, ist aber nach den BSI-Regeln unsicher.
Der Generator läuft vollständig in Ihrem Browser und nutzt crypto.getRandomValues(), den kryptografisch sicheren Zufallsgenerator des Browsers. Erzeugte Passwörter werden nicht übertragen und nicht gespeichert.
Ein ehrlicher Hinweis: Beim Prüfen für diesen Artikel habe ich festgestellt, dass die Auswahl der Zeichenarten im Generator nicht korrekt ausgewertet wurde und die Stärkeanzeige Passphrasen zu hoch bewertete. Beides ist seit dem 13. Oktober 2026 behoben.
Verwandte Werkzeuge: Mit dem Hash-Generator prüfen Sie Download-Prüfsummen, und im Artikel SHA-256 Prüfsumme verifizieren erfahren Sie, warum das wichtig ist.
Häufige Fragen
Wie lang sollte ein sicheres Passwort laut BSI sein?
Das BSI nennt mehrere Varianten: 8 bis 12 Zeichen mit allen vier Zeichenarten, 20 bis 25 Zeichen mit zwei Zeichenarten oder mindestens 25 Zeichen für weniger komplexe Passwörter wie Wortfolgen. Für WLAN-Passwörter empfiehlt das BSI mindestens 20 Zeichen.
Reicht ein Passwort mit 8 Zeichen?
Laut BSI gilt ein Passwort mit 8 Zeichen und drei Zeichenarten als sicher, wenn es zusätzlich durch eine Zwei-Faktor-Anmeldung abgesichert ist. Ohne zweiten Faktor sollten es mindestens 8, besser 12 Zeichen mit allen vier Zeichenarten sein – länger ist besser.
Sollte ich Umlaute in Passwörtern verwenden?
Das BSI rät davon ab. Umlaute sowie Zeichen wie ß oder € fehlen auf ausländischen Tastaturen oder werden von manchen Diensten anders kodiert, sodass Sie sich unter Umständen nicht mehr anmelden können.
Wie viele Wörter braucht eine sichere Passphrase?
Das BSI nennt fünf bis sechs zufällige Wörter. Rechnerisch ergeben sechs zufällig gewählte Wörter aus einer Liste mit gut 1.000 Wörtern rund 60 Bit Entropie, vier Wörter nur rund 40 Bit. Entscheidend ist, dass die Wörter wirklich zufällig gewählt werden.
Werden meine Passwörter bei ToolPry gespeichert?
Nein. Der Generator läuft vollständig im Browser und nutzt den kryptografisch sicheren Zufallsgenerator crypto.getRandomValues(). Erzeugte oder geprüfte Passwörter werden weder übertragen noch gespeichert.