Das BSI empfiehlt für viele Anwendungen eine Passwortlänge von mindestens 8 bis 12 Zeichen mit vier Zeichenarten, für reine Passphrasen eher 20 bis 25 Zeichen. NIST SP 800-63B setzt eine Mindestlänge von 8 Zeichen für nutzergewählte Passwörter, erlaubt aber mindestens 64 Zeichen und betont Länge vor Komplexität. Für wichtige Konten sind 14 oder mehr zufällige Zeichen oder eine Passphrase aus 4+ unabhängigen Wörtern ein guter Zielwert.

Nein. NIST SP 800-63B verzichtet bewusst auf erzwungene Zusammensetzungsregeln, weil sie Nutzer zu vorhersagbaren Mustern wie 'Passwort1!' drängen. Auch die BSI-Empfehlungen stellen Länge und echte Zufälligkeit in den Vordergrund. Gemischte Zeichenklassen sind ein nützlicher Multiplikator zusätzlich zur Länge, aber kein Ersatz dafür.

Beide können stark sein, wenn die Entropie ausreicht. Eine Passphrase aus 4 bis 6 zufälligen Wörtern aus einer großen Liste (z. B. der Diceware-Liste mit 7.776 Wörtern) liefert rund 12,9 Bits pro Wort, eine 5-Wort-Phrase also etwa 64 Bits und eine 6-Wort-Phrase rund 77 Bits. Passphrasen sind in der Regel leichter zu tippen und zu merken, was für die wenigen Zugangsdaten zählt, die Sie auswendig wissen müssen.

Ja. Das BSI und NIST empfehlen Passwort-Manager, damit jedes Konto ein eindeutiges, hochentropisches Geheimnis bekommen kann, das Sie sich nicht merken müssen. Stiftung Warentest hat in ihrem Passwort-Manager-Test mehrere Lösungen geprüft und gibt etablierten Open-Source- und kommerziellen Programmen gute Bewertungen. Sie merken sich nur eine starke Master-Passphrase und schützen diese mit 2FA.

Immer, wenn sie angeboten wird. Das BSI empfiehlt Zwei-Faktor-Authentisierung ausdrücklich für E-Mail, Online-Banking und alle Konten mit sensiblen Daten. Bevorzugen Sie phishing-resistente Faktoren wie FIDO2-Sicherheitsschlüssel oder Plattform-Passkeys; als zweitbeste Option gilt TOTP (zeitbasiertes Einmalpasswort) über eine Authenticator-App. SMS-Codes sind besser als nichts, aber anfällig für SIM-Swap-Angriffe.

Nutzen Sie den Dienst 'Pwned Passwords' von Have I Been Pwned, der Ihr Passwort per k-Anonymitätsmodell gegen Milliarden geleakter Zugangsdaten prüft, ohne dass das vollständige Passwort Ihr Gerät verlässt. Auch der HPI Identity Leak Checker des Hasso-Plattner-Instituts ist eine etablierte deutsche Anlaufstelle. Erscheint ein generiertes Passwort in einer Liste, erzeugen Sie es neu.

Ja, sofern die Erzeugung clientseitig erfolgt und eine kryptografisch sichere Quelle nutzt. Dieses Tool läuft vollständig in Ihrem Browser und verwendet crypto.getRandomValues der Web Crypto API, denselben CSPRNG, den OWASP für Sicherheitstoken empfiehlt. Nichts wird an einen Server gesendet oder gespeichert. Kopieren Sie das Passwort dennoch direkt in Ihren Passwort-Manager, statt es in Chat-Fenster oder Notiz-Apps einzufügen.