Passwort vs. Passphrase: Was ist sicherer?
Ein Passwort ist eine zufällige Zeichenkette, eine Passphrase eine Folge zufälliger Wörter. Beide können sehr stark sein, punkten aber in verschiedenen Situationen. Entscheidend ist die Entropie — der tatsächliche Zufallsanteil — zusammen mit der Frage, ob du das Geheimnis tippen und dir merken musst oder es einfach im Passwortmanager liegt. So wählst du richtig.
| Aspekt | Zufälliges Passwort | Passphrase |
|---|---|---|
| Beispiel | kR9#mW2@pN4$xQ8! | korrekt-pferd-batterie-klammer |
| Quelle der Entropie | Zufällige Zeichen | Zufällige Wörter |
| Leicht zu tippen | Nein | Ja |
| Leicht zu merken | Nein | Ja |
| Kompakt bei gleicher Stärke | Ja | Nein — braucht mehr Länge |
| Am besten aufbewahrt | Im Passwortmanager | Im Kopf (wenn es getippt wird) |
| Idealer Einsatz | Die meisten Online-Konten | Hauptpasswörter, Festplattenverschlüsselung |
Am Ende zählt die Entropie
Sicherheit misst sich in Bit Entropie — dem Logarithmus der Zahl gleich wahrscheinlicher Möglichkeiten. Ein 16 Zeichen langes Zufallspasswort aus allen druckbaren Zeichen hat rund 10^29 Kombinationen, was per Brute Force nicht durchsuchbar ist. Eine Passphrase erreicht vergleichbare Stärke, braucht dafür aber mehrere wirklich zufällige Wörter — typischerweise fünf oder mehr.
Das entscheidende Wort ist zufällig. Eine Passphrase aus einem Zitat oder einer geläufigen Redewendung hat kaum Entropie, weil Angreifer bekannte Wendungen zuerst testen. Beide Verfahren funktionieren nur bei echter Zufallsauswahl.
Wann das zufällige Passwort gewinnt
Für die Hunderte Konten, die du nie von Hand tippst — alles, was im Passwortmanager liegt —, ist ein zufälliges Zeichenpasswort die bessere Wahl. Es packt maximale Entropie in wenige Zeichen, und da der Manager es einfüllt, spielen Tippbarkeit und Merkbarkeit keine Rolle.
Nimm für jedes Konto ein eigenes Passwort mit 16 bis 20 Zeichen. Mehrfachnutzung ist die häufigste Ursache für Kontoübernahmen: Wird eine Website kompromittiert, probieren Angreifer das geleakte Passwort bei Hunderten weiteren.
Wann die Passphrase gewinnt
Die Passphrase glänzt, wenn du das Geheimnis merken und tippen musst: das Hauptpasswort deines Passwortmanagers, eine Festplattenverschlüsselung oder die Passphrase eines SSH-Schlüssels. Fünf zufällige Wörter sind viel leichter zu behalten und zu tippen als 20 zufällige Zeichen und bleiben dabei stark.
Der Kniff ist, die Wörter zufällig erzeugen zu lassen, statt sie selbst zu wählen — Menschen greifen zu vorhersehbaren Wörtern mit wenig Entropie. Eine echte Zufallsauswahl gewöhnlicher Wörter liefert ein Geheimnis, das zugleich merkbar und schwer zu erraten ist.
Häufig gestellte Fragen
Ist eine Passphrase sicherer als ein Passwort?
Nicht automatisch — es kommt auf die Entropie an. Ein zufälliges 16-Zeichen-Passwort und eine Passphrase aus fünf zufälligen Wörtern können ähnlich stark sein. Eine Passphrase aus einem merkbaren Satz ist schwach. Am stärksten ist, was für deine Situation mehr echten Zufall enthält.
Warum ist Länge wichtiger als Komplexität?
Jedes zusätzliche Zeichen oder Wort vervielfacht die Zahl der Möglichkeiten, während zusätzliche Zeichenarten sie nur linear erhöhen. Ein langes Geheimnis aus Kleinbuchstaben kann stärker sein als ein kurzes mit vielen Zeichenarten. Deshalb schlägt eine lange Passphrase oder ein 20-Zeichen-Passwort ein komplexes mit 8 Zeichen.
Soll ich für jedes Konto eine Passphrase nehmen?
Nein. Für Konten im Passwortmanager ist ein kompaktes Zufallspasswort praktischer. Passphrasen sind für die wenigen Geheimnisse gedacht, die du dir merken und tippen musst — Hauptpasswort oder Verschlüsselungsschlüssel.
Wie viele Wörter braucht eine Passphrase?
Mindestens fünf zufällig gewählte Wörter für starke Sicherheit. Weniger Wörter senken die Entropie schnell. Die Wörter müssen zufällig ausgewählt sein — nicht von dir gewählt und nicht aus einer bekannten Wendung —, sonst bricht die Stärke ein.