10-stelliges Passwort generieren
Erzeugen Sie ein zufälliges 10-stelliges Passwort im Browser – für Systeme, die zehn Zeichen verlangen oder zulassen. Kostenlos, nichts wird gespeichert.
Zum Kopieren klicken
Zehn Zeichen begegnen Ihnen vor allem dort, wo andere die Regeln machen: als Mindestlänge in Firmenrichtlinien und Kundenportalen, als feste Obergrenze in älteren Systemen, Gerätemenüs und Fernwartungszugängen, die schlicht nicht mehr Stellen annehmen. Ein zufälliges 10-stelliges Passwort aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen erreicht rund 65 Bit Entropie. Ein Offline-Angreifer mit 10 Milliarden Versuchen pro Sekunde bräuchte im Schnitt etwa 58 Jahre, ein großer Rechnerverbund mit einer Billion Versuchen pro Sekunde dagegen nur rund sieben Monate. Das ist ein gewaltiger Schritt gegenüber acht Zeichen, bleibt aber hinter den heutigen Empfehlungen zurück: Bewährt haben sich 12 bis 16 Stellen, und NIST SP 800-63B verlangt von Diensten sogar mindestens 15 Zeichen, wenn das Passwort der einzige Faktor ist. Nutzen Sie diese Seite deshalb, wenn ein System Sie auf zehn Zeichen festlegt. Sind zehn Zeichen nur das Minimum, schieben Sie den Regler nach oben – im Passwort-Manager kosten zusätzliche Stellen nichts. Wo Sie bei zehn Zeichen bleiben müssen, gleicht ein zweiter Faktor die geringere Reserve am besten aus. Erzeugt wird jedes Passwort mit crypto.getRandomValues() direkt in Ihrem Browser: Nichts wird übertragen, protokolliert oder gespeichert.
Beispiele für 10-stellige Passwörter
Ein starkes 10-stelliges Passwort besteht aus zehn unabhängig gezogenen Zeichen – Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen, kein Wort, keine Jahreszahl, kein Tastaturmuster. Die Beispiele unten entstehen bei jedem Seitenaufruf neu in Ihrem Browser und werden nirgends veröffentlicht. Deshalb dürfen Sie sie verwenden – anders als jedes Beispiel, das irgendwo abgedruckt wurde und damit längst in den Wortlisten der Angreifer steht.
Diese Beispiele sind soeben in Ihrem Browser entstanden: Sie werden nicht gespeichert, niemandem sonst angezeigt und sind gefahrlos verwendbar. Nutzen Sie dagegen nie ein Beispielpasswort aus einem Artikel oder Screenshot – alles Veröffentlichte steht längst in den Wortlisten der Angreifer.
Häufige Fragen
Ist ein 10-stelliges Passwort sicher genug?
Für viele Konten ja, allerdings mit schmalerer Reserve als empfohlen. Ein zufälliges 10-stelliges Passwort mit allen vier Zeichenarten hat rund 65 Bit Entropie; ein Offline-Angriff mit 10 Milliarden Versuchen pro Sekunde dauert damit im Schnitt etwa 58 Jahre. Ein Rechnerverbund mit einer Billion Versuchen pro Sekunde schafft es aber in rund sieben Monaten. Betrachten Sie zehn Stellen deshalb als Vorgabe eines Systems, nicht als Länge, die Sie freiwillig wählen.
Wie lange dauert es, ein 10-stelliges Passwort zu knacken?
Das hängt vom Angreifer ab. Bei 10 Milliarden Versuchen pro Sekunde – der üblichen Annahme für einen Offline-Angriff auf einen schnellen Hash wie MD5 oder NTLM – im Schnitt etwa 58 Jahre, mit einer Billion Versuchen pro Sekunde rund sieben Monate. Speichert der Dienst mit einem bewusst langsamen Verfahren wie bcrypt, sind es rund 58 Millionen Jahre. Ein ausgedachtes Passwort mit zehn Zeichen fällt in jedem Fall viel früher, weil Angreifer Namen, Daten und Muster zuerst probieren.
Wie viel bringen zehn statt acht Zeichen?
Mehr, als die zwei Stellen vermuten lassen. Jedes zusätzliche Zufallszeichen vervielfacht den Suchraum um den Faktor 88: Aus rund 52 Bit bei acht Zeichen werden rund 65 Bit bei zehn, aus etwa 2,6 Tagen Rechenzeit etwa 58 Jahre. Derselbe Effekt trägt zwölf Zeichen in den Bereich von Hunderttausenden und 16 Zeichen in den Bereich von Billionen Jahren.
Sollte ein 10-stelliges Passwort Sonderzeichen enthalten?
Ja, wenn der Dienst sie annimmt. Sonderzeichen vergrößern den Zeichenvorrat von 62 auf 88 Zeichen und heben ein 10-stelliges Passwort von rund 60 auf 65 Bit – offline der Unterschied zwischen etwa 1,8 und 58 Jahren. Bei dieser Länge zählt jedes Bit; noch mehr bringt allerdings jede zusätzliche Stelle, sobald das System sie zulässt.
Reicht ein 10-stelliges Passwort für Online-Banking und E-Mail?
Die Vorgaben der Anbieter erfüllt es meist, für diese Konten ist die Reserve aber zu knapp. Über Ihr Haupt-E-Mail-Postfach lassen sich alle anderen Konten zurücksetzen. Nehmen Sie für das Postfach und das Online-Banking 16 Stellen oder mehr, für den Passwort-Manager selbst eine lange Passphrase, und schalten Sie überall einen zweiten Faktor ein.
Was tun, wenn ein System höchstens zehn Zeichen zulässt?
Schöpfen Sie die zehn Stellen vollständig aus, nutzen Sie alle Zeichenarten, die das System annimmt, und lassen Sie das Passwort zufällig erzeugen. Verwenden Sie es für genau dieses eine Konto und schalten Sie, wo angeboten, eine Zwei-Faktor-Anmeldung ein. Eine harte Obergrenze von zehn Zeichen ist ein Hinweis auf veraltete Technik – behandeln Sie das Konto entsprechend vorsichtig.
Weitere Generatoren
Verfasst und geprüft von Andrew Ivanov, Fractional CTO. Zuletzt geprüft am .