Das BSI (Bundesamt für Sicherheit in der Informationstechnik) hat seine eigene Passwort-Empfehlung in den letzten Jahren deutlich geändert: Statt starrer Regeln wie "mindestens ein Sonderzeichen, eine Zahl, ein Großbuchstabe" empfiehlt es inzwischen vor allem ausreichende Länge und rät ausdrücklich von erzwungenem regelmäßigem Passwortwechsel ab, weil dieser in der Praxis oft zu vorhersehbaren Mustern wie einer hochgezählten Ziffer am Ende führt.
Was Passwort-Entropie ist
Entropie wird in Bit gemessen und hängt von der Größe des Zeichenalphabets und der Passwortlänge ab: Entropie = log2(Alphabetgröße ^ Länge). Ein längeres Passwort mit kleinerem Alphabet (z. B. nur Kleinbuchstaben) kann eine höhere Entropie haben als ein kurzes Passwort mit komplexem Alphabet — genau der Gedanke hinter der neueren BSI-Empfehlung, auf Länge statt auf erzwungene Zeichenvielfalt zu setzen.
Warum Generatoren trotzdem Zeichentypen mischen
Viele Systeme verlangen weiterhin Zahlen, Großbuchstaben und Sonderzeichen — das erhöht nicht immer die reale Entropie, schützt aber vor den einfachsten Wörterbuchangriffen und veralteten Richtlinien, die außerhalb BSI-konformer Systeme immer noch verbreitet sind. Ein guter Passwortgenerator balanciert Länge und Alphabetvielfalt entsprechend dem gewünschten Entropieniveau.
Wofür man das braucht
- Starke Passwörter für neue Konten erzeugen, ohne sich auf das menschliche Gedächtnis zu verlassen.
- Verstehen, warum die Anforderung "mindestens eine Zahl und ein Symbol" nicht der wichtigste Sicherheitsfaktor ist.
- Die tatsächliche Brute-Force-Resistenz bestehender Passwörter einschätzen.
Passphrasen gegen zufällige Zeichen
Eine Passphrase aus mehreren zufälligen Wörterbuchwörtern (z. B. „correct-horse-battery-staple") kann eine höhere Entropie haben als ein kurzes Passwort mit Sonderzeichen und ist dabei für einen Menschen deutlich leichter zu merken. Bei Passwörtern, die in einem Passwort-Manager gespeichert und nie manuell eingegeben werden, spielt das keine Rolle — zufällige Zeichen liefern eine höhere Entropie pro Zeichen. Aber für das „Master-Passwort" des Passwort-Managers selbst, das man sich merken muss, ist eine Passphrase oft die praktischere Wahl.