15-stelliges Passwort generieren
Erzeugen Sie ein zufälliges 15-stelliges Passwort im Browser – die Mindestlänge nach NIST SP 800-63B. Kostenlos, ohne Konto, nichts wird gespeichert.
Zum Kopieren klicken
15 Zeichen sind seit der vierten Fassung von NIST SP 800-63B, der maßgeblichen US-Richtlinie für digitale Identitäten, die Mindestlänge für Passwörter, die allein schützen: Ist das Passwort der einzige Faktor der Anmeldung, müssen Dienste mindestens 15 Zeichen verlangen; nur mit einem zusätzlichen Faktor dürfen es acht sein. Ein zufälliges 15-stelliges Passwort aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen erreicht rund 97 Bit Entropie. Ein Offline-Angreifer mit 10 Milliarden Versuchen pro Sekunde bräuchte im Schnitt etwa 251 Milliarden Jahre – rund das Achtzehnfache des Alters des Universums –, und selbst ein Rechnerverbund mit einer Billion Versuchen pro Sekunde käme erst nach etwa 2,5 Milliarden Jahren durch. Brute Force ist damit vom Tisch; was bleibt, sind Phishing, Schadsoftware und mehrfach verwendete Passwörter. Das BSI rät ohnehin „je länger, desto besser“, und 15 Zeichen passen in nahezu jedes Eingabefeld. Nutzen Sie diese Seite, wenn eine Richtlinie genau 15 Zeichen vorgibt oder sich auf NIST beruft; ansonsten ist der Schritt auf 16 Stellen ebenso mühelos. Erzeugt wird Ihr Passwort mit crypto.getRandomValues() direkt in Ihrem Browser – nichts wird übertragen, protokolliert oder gespeichert. Kopieren Sie es mit einem Klick in Ihren Passwort-Manager und verwenden Sie es für genau ein Konto.
Beispiele für 15-stellige Passwörter
Ein starkes 15-stelliges Passwort erfüllt die NIST-Mindestlänge mit rund 97 Bit Entropie – fünfzehn Zufallszeichen über alle vier Zeichenarten, ohne Wort, ohne Datum, ohne Muster. Die Beispiele unten erzeugt Ihr Browser bei jedem Seitenaufruf neu; sie werden weder übertragen noch gespeichert. Anders als veröffentlichte Beispielpasswörter dürfen Sie sie deshalb unverändert übernehmen.
Diese Beispiele sind soeben in Ihrem Browser entstanden: Sie werden nicht gespeichert, niemandem sonst angezeigt und sind gefahrlos verwendbar. Nutzen Sie dagegen nie ein Beispielpasswort aus einem Artikel oder Screenshot – alles Veröffentlichte steht längst in den Wortlisten der Angreifer.
Häufige Fragen
Warum gerade 15 Zeichen?
Weil NIST SP 800-63B in der vierten Fassung von 2025 genau hier die Grenze zieht: Dienste müssen mindestens 15 Zeichen verlangen, wenn das Passwort der einzige Faktor der Anmeldung ist, und mindestens acht, wenn ein zweiter Faktor hinzukommt. Ein zufälliges 15-stelliges Passwort mit allen Zeichenarten kommt auf rund 97 Bit und liegt damit weit außerhalb jedes Brute-Force-Angriffs.
Ist ein 15-stelliges Passwort schwächer als ein 16-stelliges?
Rechnerisch ja, praktisch nicht. Die sechzehnte Stelle bringt rund sechs Bit – 103 statt 97 –, doch beide Längen sind gegen Brute Force unangreifbar. Nehmen Sie 15 Zeichen, wenn eine Richtlinie genau diese Zahl vorgibt, und sonst gern 16 oder mehr. Wichtiger als eine einzelne Stelle ist, dass das Passwort zufällig ist und nur für ein Konto gilt.
Wie lange dauert es, ein 15-stelliges Passwort zu knacken?
Bei rund 97 Bit Entropie und 10 Milliarden Versuchen pro Sekunde – der üblichen Annahme für einen Offline-Angriff auf einen schnellen Hash – im Schnitt etwa 251 Milliarden Jahre, mit einer Billion Versuchen pro Sekunde immer noch rund 2,5 Milliarden Jahre. Ohne Sonderzeichen sind es rund 89 Bit und etwa 981 Millionen Jahre. Realistische Gefahren für ein solches Passwort sind Phishing, Schadsoftware und Wiederverwendung, nicht das Ausprobieren.
Verlangt NIST wirklich 15 Zeichen?
Von den Diensten, ja: Nach NIST SP 800-63B Revision 4 müssen sie mindestens 15 Zeichen verlangen, wenn das Passwort allein schützt; mit Mehr-Faktor-Anmeldung liegt die Untergrenze bei acht Zeichen. Dass Dienste auch Passwörter mit 64 Zeichen und mehr annehmen, ist dagegen nur eine Empfehlung. Regeln wie „mindestens ein Sonderzeichen“ und einen turnusmäßigen Wechsel ohne Anlass untersagt NIST ausdrücklich – geändert wird ein Passwort, wenn es kompromittiert sein könnte.
Reichen 15 Zeichen für E-Mail und Online-Banking?
Ja. Mit rund 97 Bit liegt ein zufälliges 15-stelliges Passwort weit jenseits dessen, was sich durchprobieren lässt. Für die Konten, über die sich alle anderen zurücksetzen lassen – das Haupt-E-Mail-Postfach, das Online-Banking, den Passwort-Manager –, lohnt trotzdem ein zweiter Faktor: Er schützt auch dann, wenn das Passwort durch Phishing oder Schadsoftware abhandenkommt.
Kann ich mir ein 15-stelliges Passwort merken?
Als Zufallsfolge kaum, und für jedes Konto eine eigene schon gar nicht. Legen Sie es im Passwort-Manager ab, der es für Sie einträgt. Für die wenigen Passwörter, die Sie auswendig tippen müssen, ist eine Passphrase aus mehreren zufälligen Wörtern die bessere Wahl – sie erreicht die Grenze von 15 Zeichen ohnehin fast immer.
Weitere Generatoren
Verfasst und geprüft von Andrew Ivanov, Fractional CTO. Zuletzt geprüft am .