Passwortsicherheit: So generieren, speichern und prüfen Sie starke Passwörter

Einführung

Schwache, wiederverwendete und falsch gespeicherte Passwörter sind die Ursache für die meisten Kontoübernahmen. Dieser Leitfaden löst vier konkrete Probleme: (1) Generieren von Passwörtern mit genügend Entropie, um Brute-Force-Angriffen zu widerstehen, (2) Hashing von Passwörtern mit einem langsamen KDF statt einem schnellen Hash, (3) Vermeiden der Wiederverwendung über Dienste hinweg und (4) Überwachen von durchgesickerten Anmeldeinformationen. Jede Lösung ist umsetzbar und werkzeuggestützt.

Schritt für Schritt

1. Generieren Sie ein Passwort mit hoher Entropie

   Verwenden Sie den Passwortgenerator, um ein Passwort mit mehr als 16 Zeichen zu erstellen, das Groß- und Kleinschreibung, Ziffern und Symbole mischt. Entropy = log2(charsetSize^length); Ein 16-Zeichen-Alphabet mit 94 Symbolen ergibt ~105 Bits, was selbst bei 10^12 Schätzungen/Sekunde mit roher Gewalt nicht durchführbar ist.

2. Verwenden Sie Passwörter niemals dienstübergreifend wieder

   Die Wiederverwendung eines Passworts bedeutet, dass ein einziger Verstoß jedes Konto gefährdet, das es teilt. Generieren Sie für jeden Dienst ein eindeutiges Passwort und speichern Sie es in einem Passwort-Manager (Bitwarden, 1Password, KeePassXC). Das Master-Passwort ist das einzige, das Sie sich merken müssen – machen Sie es zu einer langen Passphrase.

3. Hash-Passwörter mit einem langsamen KDF auf dem Server

   Speichern Sie Passwörter niemals mit MD5, SHA-1 oder unformatiertem SHA-256 – sie sind zu schnell und GPUs können Milliarden pro Sekunde ausprobieren. Verwenden Sie bcrypt mit Arbeitsfaktor 12+, scrypt mit N=2^17 oder Argon2id mit 64 MB Speicher. Diese KDFs sind bewusst langsam und speicherintensiv, um GPU-/ASIC-Angriffe nur schwer abzuwehren.

4. Benutze ein Salz, um Rainbow Tables zu besiegen

   Ein Salt ist ein eindeutiger Zufallswert pro Passwort, der vor dem Hashing vorangestellt oder kombiniert wird. Es stellt sicher, dass identische Passwörter unterschiedliche Hashes erzeugen, wodurch vorberechnete Rainbow-Tabellen unbrauchbar werden. bcrypt und Argon2 generieren und betten das Salt automatisch ein – rollen Sie nicht Ihr eigenes.

5. Prüfung auf gehackte Passwörter

   Bevor Sie ein Passwort akzeptieren, vergleichen Sie es mithilfe des k-Anonymitätsprotokolls mit „Have I Been Pwned API“: Senden Sie nur die ersten 5 Zeichen des SHA-1-Hashs, erhalten Sie die Liste der passenden Suffixe und vergleichen Sie den Vorgang lokal. Dadurch wird dem API niemals das vollständige Passwort preisgegeben.

Beispiele

Häufige Probleme

• Verwendung von MD5 oder SHA-256 für das Passwort-Hashing: Beide sind schnelle Hashes. Eine moderne GPU berechnet etwa 10 Milliarden SHA-256/s und knackt ein 8-stelliges Passwort in wenigen Minuten. Verwenden Sie immer bcrypt, scrypt oder Argon2id.
• Wiederverwendung eines Passworts auf mehreren Websites: Durch einen Verstoß auf der schwächsten Website wird das Passwort für alle Websites verloren. Generieren Sie einzigartige Passwörter und speichern Sie diese in einem Manager.
• Speichern von Passwörtern im Klartext oder mit reversibler Verschlüsselung: Wenn die Datenbank leckt, ist jedes Konto sofort gefährdet. Hashing ist einseitig und irreversibel – selbst der Server kann das Original nicht wiederherstellen.
• Niedriger Arbeitsfaktor in bcrypt: Kosten 4 waren im Jahr 2002 in Ordnung; im Jahr 2026 kostete die Nutzung 12+ (ungefähr 4096 Iterationen). Führen Sie bei der Anmeldung einen erneuten Hash durch, um alte Hashes zu aktualisieren, ohne ein Zurücksetzen des Passworts zu erzwingen.

Tipps

• Streben Sie bei hochwertigen Konten eine Entropie von mindestens 100 Bits an – das sind 16 zufällige Zeichen aus einem Alphabet mit 94 Symbolen oder 6 zufällige Diceware-Wörter.
• Aktivieren Sie die Zwei-Faktor-Authentifizierung (TOTP oder Hardwareschlüssel) für jedes Konto, das dies unterstützt – ein sicheres Passwort allein reicht nicht aus, wenn das Passwort gefälscht wird.
• Verwenden Sie die Option „Mehrdeutige Zeichen ausschließen“ (0/O, 1/l/I) unseres Passwortgenerators, wenn Passwörter vorgelesen oder ausgedruckt eingegeben werden.
• Rotieren Sie Passwörter nur nach einem bestätigten Verstoß, nicht nach einem festen Zeitplan – eine erzwungene Rotation führt Benutzer zu vorhersehbaren Mustern wie Frühjahr 2026!

Verwandte Tools

• Password Generator — Generate strong, random passwords with customizable length and character sets. Uses crypto.getRandomValues.
• Hash Generator — Generate SHA-256, SHA-1, SHA-512 and SHA-384 hashes from any text. Uses Web Crypto API, fully private.
• UUID Generator — Generate random UUIDs (v4) instantly in your browser. No upload, fully private.
• Base64 Encode & Decode — Encode and decode Base64 with UTF-8 support. Instant, private, browser-based. No upload, no signup.
• Random Number Generator — Generate random numbers within a range. Option for unique numbers. Up to 100 numbers at once.
• AES 256 Ver Entschlüsseln online Kostenlos, Im Browser — AES 256 Ver Entschlüsseln online Kostenlos, Im Browser online kostenlos. Verarbeitet Daten sofort in Ihrem Browser. Kein Upload, keine Registrierung, vollständig privat.
• AES Text Encrypter Decrypter — AES Text Encrypter Decrypter online kostenlos. Verarbeitet Daten sofort in Ihrem Browser. Kein Upload, keine Registrierung, vollständig privat.
• ASCII Table Reference — Browse the full ASCII table with decimal, hex, octal, and binary values in your browser. Free, online, no upload.

Verwandte Leitfäden

• Hash-Algorithmen erklärt: MD5, SHA-1, SHA-256, SHA-512
• So kodieren und dekodieren Sie Base64: Eine vollständige Anleitung

Referenzen

• OWASP Password Storage Cheat Sheet — Industry-standard password hashing guidance
• NIST SP 800-63B —Digital Identity Guidelines — Official US government password guidance
• Have I Been Pwned —API — k-anonymity breach lookup API