Passphrasen richtig verwenden

Wie zufällig gewählte Wortketten (Diceware) funktionieren, wie viel Entropie sie liefern und wann sie einem generierten Zufallspasswort vorzuziehen sind.

Herausgegeben von Chiron Services GmbHVeröffentlicht: 19. August 2026Fachlich geprüft: 19. August 2026

Was eine Passphrase ist

Eine Passphrase besteht aus mehreren zufällig gezogenen Wörtern, zum Beispiel aus einer Wortliste mit 7 776 Einträgen (Diceware-Prinzip, fünf Würfelwürfe pro Wort). Der Vorteil: Sie ist deutlich leichter zu merken als eine Zeichenfolge, kann aber bei genügend Wörtern vergleichbare Entropie erreichen. Der entscheidende Punkt ist die Zufälligkeit: Ein selbst ausgedachter Satz ist keine Passphrase im sicherheitstechnischen Sinn, weil Grammatik und Wortwahl den Suchraum drastisch verkleinern.

Selbst gewählter Satz ≠ zufällige Passphrase

„MeinHundBelloIstDerBeste2019“ hat 28 Zeichen, aber nur wenige Bit echte Entropie: Der Satz folgt einem Muster, das Cracking-Tools mit Grammatikmodellen gezielt erzeugen. Die Entropieformel gilt nur für gezogene, nicht für gewählte Wörter.

Beispielrechnung: wie viele Wörter?

Bei einer Liste mit 7 776 Wörtern liefert jedes zufällig gezogene Wort log₂(7 776) ≈ 12,9 Bit. Der Angreifer darf dabei Wortliste und Aufbau kennen – die Sicherheit steckt allein in der Ziehung.

Entropie zufällig gezogener Wörter (Liste mit 7 776 Wörtern)
Anzahl Wörter	Entropie	Einordnung
3 Wörter	≈ 38,8 Bit	zu wenig für schützenswerte Konten
4 Wörter	≈ 51,7 Bit	gegen Offline-Angriffe grenzwertig
5 Wörter	≈ 64,6 Bit	solide Untergrenze für Master-Passwörter
6 Wörter	≈ 77,5 Bit	empfehlenswert für Passwortmanager und Geräteverschlüsselung
7 Wörter	≈ 90,4 Bit	hoher Schutz, weiterhin merkbar

Schritt für Schritt zur eigenen Passphrase

Eine veröffentlichte Wortliste wählen (deutschsprachige Diceware-Listen sind frei verfügbar).
Physische Würfel oder einen kryptografischen Zufallsgenerator verwenden – nicht selbst „irgendein“ Wort aussuchen.
Mindestens sechs Wörter ziehen und die Reihenfolge unverändert lassen.
Die Wörter mit einem festen Trennzeichen verbinden, etwa Bindestrich oder Leerzeichen, falls der Dienst das erlaubt.
Die Passphrase einige Tage lang bewusst eintippen, bis sie sitzt; erst dann den Notizzettel vernichten.
Nur dort verwenden, wo Sie sie wirklich auswendig brauchen: Master-Passwort, Geräteanmeldung, Festplattenverschlüsselung.

Passphrase oder Zufallspasswort?

Entscheidungshilfe
Situation	Empfehlung	Begründung
Master-Passwort des Passwortmanagers	Passphrase, 6+ Wörter	muss auswendig gekonnt und oft getippt werden
Anmeldung am Notebook oder Smartphone	Passphrase	häufige manuelle Eingabe, teils ohne Zwischenablage
Normale Online-Konten	Zufallspasswort, 20 Zeichen	wird vom Manager eingefügt, Merkbarkeit irrelevant
Dienst mit Längenbegrenzung (z. B. max. 16 Zeichen)	Zufallspasswort mit vollem Zeichenvorrat	bei knapper Länge zählt jedes Bit pro Zeichen
Dienst verbietet Leerzeichen	Passphrase mit Bindestrichen oder Zufallspasswort	Formatvorgaben des Anbieters prüfen

Keine Zitate, Songtexte oder Sprichwörter verwenden – sie stehen in Angreiferlisten.
Wörter nicht nachträglich „passend“ austauschen; das zerstört die Zufälligkeit.
Passphrasen wie Passwörter behandeln: pro Zweck genau eine, niemals wiederverwenden.

Für alle Konten, die Sie nicht auswendig brauchen, ist ein zufälliges Passwort aus dem Generator in Kombination mit einem Passwortmanager die praktikablere Lösung.

Quellen

Die Auswahlkriterien für Quellen sind auf der Seite Redaktionelle Richtlinien & Quellen dokumentiert.