Verstehen Sie Passwortsicherheit, Zwei-Faktor-Authentifizierung und moderne Login-Verfahren – mit interaktiven Tools zum Ausprobieren und verständlichen Erklärungen für jedermann.
Jeden Tag werden Millionen von Konten kompromittiert. Die meisten Angriffe nutzen schwache, wiederverwendete oder gestohlene Zugangsdaten aus. Verstehen Sie die Grundlagen, um sich wirksam zu schützen.
Ein starkes Passwort ist Ihre erste Verteidigungslinie. Lange, zufällige Zeichenfolgen sind für Angreifer exponentiell schwerer zu knacken als kurze, vorhersagbare Kombinationen. Ein Passwort mit 20 zufälligen Zeichen zu knacken, würde Milliarden von Jahren dauern.
Selbst wenn Ihr Passwort gestohlen wird, blockiert ein zweiter Faktor den Zugriff. Zeitbasierte Einmalpasswörter (TOTP) generieren alle 30 Sekunden einen neuen 6-stelligen Code, den nur Ihr Gerät kennt – eine enorm effektive Zusatzsicherung.
Die Zukunft der Authentifizierung ist passwortlos. Passkeys nutzen kryptographische Schlüsselpaare, die an Ihr Gerät und biometrische Merkmale gebunden sind. Kein Passwort, das gestohlen werden kann – und dabei bequemer als jede andere Methode.
Milliarden von Zugangsdaten wurden bereits bei Hacker-Angriffen erbeutet und im Darknet veröffentlicht. Prüfen Sie regelmäßig, ob Ihre E-Mail oder Passwörter betroffen sind, und ändern Sie kompromittierte Zugangsdaten sofort.
Die Stärke eines Passworts wird in Entropy gemessen – je mehr Bits, desto sicherer. Entscheidend sind Länge und Zeichenvielfalt.
| Passwort | Länge | Entropy | Crack-Zeit* |
|---|---|---|---|
123456 |
6 | ~20 Bit | Sofort |
Sommer2024! |
11 | ~36 Bit | Minuten |
kT9#mPv2x& |
10 | ~66 Bit | ~7 Jahre |
Gx7m#Kp2@vR9!nTf4&qZ |
20 | ~131 Bit | Trillionen Jahre |
korrekt-batterie-pferd-heftklammer |
35 | ~56 Bit | ~Jahrhunderte |
* Geschätzt bei 10 Milliarden Versuchen pro Sekunde (moderner GPU-Cluster)
Alle Tools laufen lokal in Ihrem Browser. Keine Daten werden an unsere Server gesendet – Ihre Eingaben bleiben bei Ihnen.
Erstellen Sie kryptographisch sichere Passwörter, die mit heutiger Technologie praktisch unknackbar sind. Unser Generator nutzt die Web Crypto API Ihres Browsers für echten Zufall – nicht Pseudozufall.
Der Generator erstellt einen Pool aus den gewählten Zeichentypen. Mittels crypto.getRandomValues() werden kryptographisch sichere Zufallszahlen erzeugt, die als Index in den Zeichenpool dienen. Das Ergebnis: Ein Passwort, das für Angreifer nicht vorhersagbar ist, egal wie viel Rechenleistung sie aufwenden.
Verwirrende oder schwer lesbare Zeichen können ausgeschlossen werden.
TOTP (Time-based One-Time Password) ist der Standard hinter Apps wie Google Authenticator, Authy oder Microsoft Authenticator. So funktioniert das Verfahren Schritt für Schritt:
Der Server und Ihre Authenticator-App teilen sich denselben geheimen Schlüssel. Beide berechnen unabhängig voneinander aus der aktuellen Uhrzeit (geteilt durch 30 Sekunden) und dem Schlüssel denselben 6-stelligen Code. So kann der Server prüfen, ob Sie Zugang zum Schlüssel haben – ohne dass der Code selbst übertragen werden muss. Jeder Code ist nur 30 Sekunden gültig.
Erleben Sie live, wie zeitbasierte Einmalpasswörter (TOTP) funktionieren. Geben Sie einen Base32-kodierten Schlüssel ein oder nutzen Sie unseren Beispielschlüssel, und beobachten Sie, wie sich der Code alle 30 Sekunden erneuert.
Base32-Kodierung (A–Z, 2–7). Leerzeichen werden ignoriert.
Passkeys ersetzen Passwörter durch kryptographische Schlüsselpaare, die an Ihr Gerät gebunden sind. Das Prinzip: Ihr Gerät beweist seine Identität, ohne jemals ein Geheimnis preiszugeben.
| Eigenschaft | Passwort | Passkey |
|---|---|---|
| Phishing-Schutz | ✕ Keiner | ✓ Eingebaut |
| Replay-Angriffe | ✕ Möglich | ✓ Unmöglich |
| Server-Leak-Risiko | ✕ Hoch | ✓ Harmlos (Public Key) |
| Benutzerfreundlichkeit | Merken / Tippen | ✓ Biometrie / PIN |
| Brute-Force-Schutz | ✕ Abhängig von Stärke | ✓ Kryptographisch sicher |
Erleben Sie Passkeys in Aktion. Diese Demo nutzt die WebAuthn-API Ihres Browsers, um ein kryptographisches Schlüsselpaar zu erzeugen und eine Authentifizierung zu simulieren. Alles passiert lokal – es wird keine Verbindung zu einem Server hergestellt.
Jedes Jahr werden Milliarden von Zugangsdaten bei Hacker-Angriffen gestohlen. Oft dauert es Monate, bis Unternehmen den Vorfall bemerken und die Nutzer informieren. In dieser Zeit können Angreifer Ihre Daten missbrauchen.
Bei der Passwort-Prüfung wird Ihr Passwort zunächst lokal gehasht (SHA-1). Dann werden nur die ersten 5 Zeichen des Hashes an die API gesendet (k-Anonymity). Die API liefert alle Hashes zurück, die mit diesen 5 Zeichen beginnen, und der Abgleich findet lokal in Ihrem Browser statt. So erfährt niemand Ihr tatsächliches Passwort – nicht einmal der Prüf-Dienst.
Prüfen Sie, ob Ihre E-Mail-Adresse in bekannten Datenlecks aufgetaucht ist oder ob eines Ihrer Passwörter bereits kompromittiert wurde. Powered by „Have I Been Pwned" – dem weltweit größten Verzeichnis für Datenlecks.
Benötigt einen API-Key von haveibeenpwned.com.
Ihr Passwort wird lokal gehasht. Nur die ersten 5 Zeichen des SHA-1-Hashes werden gesendet.
Testen Sie die Stärke eines beliebigen Passworts. Unser Analyzer bewertet Länge, Zeichenvielfalt, bekannte Muster und berechnet die geschätzte Zeit, die ein moderner Angreifer zum Knacken benötigen würde.
Diese praxiserprobten Maßnahmen schützen Ihre Konten wirksam vor den häufigsten Angriffsarten.
Nutzen Sie für jeden Dienst ein eigenes Passwort. Wird ein Dienst kompromittiert, sind die anderen nicht betroffen.
Tools wie Bitwarden, 1Password oder KeePass speichern und generieren sichere Passwörter – Sie müssen sich nur noch eins merken.
Aktivieren Sie Zwei-Faktor-Authentifizierung auf allen Diensten, die es anbieten. Bevorzugen Sie TOTP-Apps oder Hardware-Keys über SMS.
Stellen Sie auf Passkeys um, wenn ein Dienst sie unterstützt. Sie sind phishing-resistent und bequemer als Passwörter.
Längere Passwörter sind exponentiell sicherer. 16 Zeichen mit Zeichenmix bieten über 100 Bit Entropy.
Überprüfen Sie Ihre E-Mail-Adressen regelmäßig auf Datenlecks und ändern Sie betroffene Passwörter sofort.
Prüfen Sie Absender, URLs und Formulierungen kritisch. Seriöse Dienste fragen nie per E-Mail nach Passwörtern.
Updates schließen Sicherheitslücken, die Angreifer ausnutzen könnten. Aktivieren Sie automatische Updates.
Speichern Sie 2FA-Wiederherstellungscodes offline an einem sicheren Ort – nicht auf dem gleichen Gerät.
Geburtsname der Mutter, erste Schule – diese Infos sind oft öffentlich auffindbar. Verwenden Sie stattdessen zufällige Antworten.