Eine sichere Passphrase aus Wörtern erzeugen

Die Stärke einer Passphrase entsteht nicht durch komplizierte Sonderzeichen, sondern durch ihre schiere Länge und die zufällige Auswahl der Wörter. Wird jedes Wort unabhängig aus einer großen Liste gezogen, steckt in jedem einzelnen Wort ein fester Betrag an Zufall, den Fachleute Entropie nennen. Mit jedem zusätzlichen Wort vervielfacht sich die Zahl der möglichen Kombinationen. Eine Kette aus fünf oder sechs echt zufälligen Wörtern erreicht dadurch eine Sicherheit, die ein kurzes Zeichenpasswort nur schwer erreicht. Entscheidend ist, dass die Wörter wirklich zufällig ausgewählt werden und nicht ein selbst ausgedachter Satz sind. Genau das übernimmt der Generator für Sie, indem er den kryptografisch sicheren Zufallsgenerator Ihres Geräts nutzt und jedes Wort ohne menschliche Vorliebe bestimmt.

Der große Unterschied zwischen einer zufälligen Zeichenkette und einer Passphrase liegt in der Handhabung. Ein Passwort wie ein wirres Gemisch aus Buchstaben, Ziffern und Symbolen ist auf engem Raum extrem stark, lässt sich aber kaum merken oder fehlerfrei abtippen. Eine Passphrase braucht mehr Zeichen für dieselbe Sicherheit, dafür können Sie sie vorlesen, per Hand eingeben und sich im Zweifel sogar merken. Für Zugänge, die Sie regelmäßig ohne Passwort-Manager eintippen, etwa das Entsperren des Computers oder das Hauptpasswort des Managers selbst, ist eine Passphrase oft die angenehmere Wahl. Für Konten, die ohnehin automatisch ausgefüllt werden, spricht dagegen nichts gegen eine kompakte, rein zufällige Zeichenkette.

Das Verfahren hinter diesem Werkzeug wird Diceware genannt und stammt aus einer Zeit, in der man Wörter tatsächlich mit Würfeln aus einer Liste auswählte. Der Kern ist einfach: Jedes Wort wird durch echten Zufall bestimmt, nicht durch menschliches Gefühl. Das ist wichtig, weil von Menschen erdachte Sätze meist vorhersehbaren Mustern folgen, bekannte Zitate, Redewendungen oder grammatisch logische Reihenfolgen enthalten und dadurch angreifbar werden. Der Generator ersetzt die Würfel durch den kryptografisch sicheren Zufallsgenerator Ihres Browsers und zieht jedes Wort unabhängig. So erhalten Sie eine Kombination ohne inneren Zusammenhang, die für Sie zwar aussprechbar bleibt, für einen Angreifer aber keinerlei Anhaltspunkt bietet, um die Reihenfolge oder die Wortwahl zu erraten.

Auch bei Passphrasen gilt bei FixTools der Grundsatz, dass Ihre Zugangsdaten Ihr Gerät nicht verlassen. Die Wortketten werden vollständig lokal in Ihrem Browser zusammengesetzt. Es gibt keinen Server, der die Wörter auswählt, und keine Datenbank, in der eine erzeugte Passphrase landet. Nichts wird hochgeladen, gespeichert oder protokolliert. Sobald Sie die Seite verlassen, ist die angezeigte Passphrase weg, sofern Sie sie nicht selbst gesichert haben. Das bedeutet einerseits maximale Privatsphäre, andererseits tragen Sie selbst die Verantwortung für die Aufbewahrung. Weil wir bewusst nichts speichern, empfehlen wir, Ihre Passphrasen in einem Passwort-Manager abzulegen, der sie verschlüsselt hinter einem einzigen Hauptpasswort schützt und bei Bedarf über Ihre Geräte synchronisiert.

So gut merkbar eine Passphrase auch ist, sie ersetzt nicht die wichtigste Regel der Passworthygiene: Jedes Konto verdient ein eigenes, einmaliges Passwort. Verwenden Sie also nicht ein und dieselbe Lieblings-Passphrase für mehrere Dienste, denn ein einziges Datenleck würde sonst gleich mehrere Konten öffnen. Nutzen Sie den Generator lieber, um für jeden Zugang eine frische Wortkette zu erzeugen. Achten Sie außerdem auf die Vorgaben des jeweiligen Dienstes, denn manche Anmeldeformulare begrenzen die Länge oder verlangen ausdrücklich Ziffern und Großbuchstaben. In solchen Fällen helfen die optionalen Zahlen und die Großschreibung einzelner Anfangsbuchstaben, ohne dass die Passphrase ihre gute Merkbarkeit verliert. Aktivieren Sie zusätzlich, wo immer möglich, die Zwei-Faktor-Authentifizierung.