Warum Wörter funktionieren
Eine Passphrase besteht aus mehreren Wörtern, die der Generator zufällig aus einer Liste zieht. Jedes Wort bringt so viel Stärke mit, wie die Liste lang ist. Bei 1.708 Wörtern sind das 10,7 Bit pro Wort. Sieben Wörter kommen auf 75 Bit, fast so viel wie ein zufälliges Passwort aus zwölf Zeichen mit allen vier Zeichenarten (77 Bit).
Der Unterschied liegt beim Tippen. Zwölf Zeichen wie q7#Rv2!mZ$pK brauchen volle Aufmerksamkeit. Kompass-Tulpe-Regen-Laterne-Bison-Mehl-Takt tippst du nach einer Woche blind.
Beim Merken hilft ein Bild: Ein Kompass liegt in einer Tulpe, es regnet auf die Laterne, darunter steht ein Bison im Mehl und klopft den Takt. Albern? Gerade deshalb bleibt es hängen.
Die Wörter nicht selbst aussuchen
Das Ganze funktioniert nur mit echtem Zufall. Menschen wählen Wörter, die zusammenpassen, die ihnen gefallen oder die gerade auf dem Schreibtisch liegen. Angreifer wissen das und probieren solche Kombinationen zuerst.
Lass also den Generator ziehen. Gefällt dir das Ergebnis nicht, erzeug ein neues, statt einzelne Wörter zu tauschen.
Die Wortliste
Die Liste umfasst 1.708 Wörter mit drei bis neun Buchstaben, alle ohne Umlaute und ß. Das ist Absicht: An einer englischen Tastatur, auf der Fernseher-Tastatur oder am Rechner im Hotel findest du kein ä. Drin stehen Alltagswörter wie Brunnen, Zirkus und Walnuss, die jeder richtig schreibt.
Die Großschreibung ändert nichts an der Stärke, erfüllt aber die Regel „mindestens ein Großbuchstabe“, die viele Dienste noch haben. Wählst du als Trennzeichen „Zufällige Ziffer“, kommen pro Trennstelle 3,3 Bit dazu, und die Pflicht zur Ziffer ist gleich mit erledigt.
Wo Passphrasen passen
- Masterpasswort für den Passwortmanager
- Anmeldung an Rechner und Laptop
- Verschlüsselte Festplatten und Backups, etwa mit BitLocker, FileVault oder VeraCrypt
- WLAN-Passwörter, die Besuch abtippen muss
Für die übrigen Konten bleibt der zufällige Zeichen-Mix die bessere Wahl. Den tippst du nie, dein Passwortmanager füllt ihn aus.