Starke Passwörter und UUIDs
Zufallswerte erfüllen zwei verschiedene Aufgaben: Passwörter müssen schwer zu erraten sein, UUIDs müssen eindeutig sein. Diese Anleitung erklärt, was ein Passwort stark macht, was Entropiewerte bedeuten und wie sich UUID v4 und v7 unterscheiden.
Länge und Zufälligkeit
Ein Passwort ist stark, wenn ein Angreifer zu viele Versuche bräuchte, um es zu finden. Am wichtigsten sind zwei Dinge: wie lang es ist und wie es gewählt wurde. Jedes zusätzliche Zeichen vervielfacht die Zahl der Möglichkeiten, daher hilft Länge meist mehr als eine weitere Zeichenart.
Wie ein Passwort gewählt wird, ist genauso wichtig. Menschen wählen gern Wörter, Namen, Daten und vorhersehbare Ersetzungen wie „P@ssw0rd“, und Angreifer probieren genau diese Muster zuerst. Ein Passwort, das von einer sicheren Zufallsquelle erzeugt wird, vermeidet solche Muster. Der LeedyBox-Generator verwendet den Zufallszahlengenerator von Web Crypto im Browser statt Math.random(), das nicht für Sicherheitszwecke ausgelegt ist.
Diese Anleitung bietet allgemeine Informationen, keine fachliche Sicherheitsberatung. Folgen Sie den Vorgaben Ihrer Organisation oder des Dienstes, bei dem Sie sich registrieren.
Was Entropie-Bits bedeuten
Die Entropie, gemessen in Bit, schätzt, wie viele Versuche ein zufälliges Passwort erfordern würde. Für ein Passwort der Länge L, das gleichverteilt aus N möglichen Zeichen gezogen wird, beträgt die Entropie L × log2(N). Jedes zusätzliche Bit verdoppelt den Suchraum.
| Zeichensatz | Bit pro Zeichen | 16 zufällige Zeichen |
|---|---|---|
| Ziffern (10) | etwa 3,3 | etwa 53 Bit |
| Kleinbuchstaben (26) | etwa 4,7 | etwa 75 Bit |
| Groß- und Kleinbuchstaben und Ziffern (62) | etwa 6,0 | etwa 95 Bit |
| Druckbares ASCII (94) | etwa 6,6 | etwa 105 Bit |
Die Schätzung hat Grenzen. Sie ist nur aussagekräftig, wenn jedes Zeichen zufällig gewählt wurde. Ein selbst ausgedachtes Passwort wie „Summer2026!“ mag nach dieser Formel viele Bits zu haben scheinen, ist aber weit leichter zu erraten. Die Entropie sagt auch nichts darüber aus, wie ein Dienst Passwörter speichert, ob das Passwort mehrfach verwendet wurde oder ob es durch Phishing abgegriffen wurde.
Passwort-Manager und einzigartige Passwörter
Zufällige Passwörter sind schwer zu merken – hier hilft ein Passwort-Manager: Er erzeugt, speichert und füllt für jede Website ein anderes Passwort aus. Überall ein eigenes Passwort zu verwenden ist wichtig, weil Datenlecks vorkommen und ein mehrfach verwendetes Passwort es einem Angreifer ermöglicht, dieselben Zugangsdaten bei anderen Diensten auszuprobieren. Für die wenigen Passwörter, die Sie sich merken müssen, etwa das Master-Passwort des Managers, ist eine lange Passphrase aus mehreren zufällig gewählten Wörtern ein gängiger Ansatz.
Zwei-Faktor-Authentifizierung
Auch ein starkes Passwort kann durch Phishing oder Schadsoftware gestohlen werden. Die Zwei-Faktor-Authentifizierung (2FA) fügt eine zweite Prüfung hinzu, etwa einen Code aus einer Authenticator-App, einen Hardware-Sicherheitsschlüssel oder einen Passkey. Sie für E-Mail, Onlinebanking und andere wichtige Konten zu aktivieren, verringert den Schaden, den ein gestohlenes Passwort anrichten kann. Bewahren Sie die Wiederherstellungscodes an einem sicheren Ort auf.
UUID v4 vs. UUID v7
Eine UUID (Universally Unique Identifier) ist ein 128-Bit-Wert, der als 36 Zeichen geschrieben wird, etwa 550e8400-e29b-41d4-a716-446655440000. Die Ziffer nach dem zweiten Bindestrich gibt die Version an.
- UUID v4 ist größtenteils zufällig (122 ihrer 128 Bit). Sie verrät nichts darüber, wann oder wo sie erzeugt wurde, und die Wahrscheinlichkeit, dass zwei kollidieren, ist für praktische Zwecke vernachlässigbar.
- UUID v7, definiert in RFC 9562, beginnt mit einem Unix-Zeitstempel in Millisekunden, gefolgt von Zufallsbits. Später erzeugte Werte werden nach früheren einsortiert, was Datenbankindizes effizienter machen kann als bei v4. Der Nachteil: Jeder, der eine UUID v7 sieht, kann ungefähr ablesen, wann sie erzeugt wurde.
Das LeedyBox-Tool kann beide Versionen erzeugen, und mit seiner UUID-Analyse können Sie eine eingefügte UUID untersuchen.
UUIDs sind Kennungen, keine Geheimnisse
Eine UUID ist darauf ausgelegt, eindeutig zu sein, nicht geheim. Viele UUIDs landen in URLs, Logs und API-Antworten, und eine UUID v7 enthält ihren Erstellungszeitpunkt. Verwenden Sie eine UUID nicht allein als Passwort, API-Schlüssel oder Token zum Zurücksetzen eines Passworts; verwenden Sie ein eigens dafür erzeugtes Zufallstoken aus einem sicheren Generator, kombiniert mit ordnungsgemäßen Zugriffsprüfungen.
Häufige Fragen
Wie lang sollte ein zufälliges Passwort sein?
Darauf gibt es keine allgemeingültige Antwort. Wie die Tabelle oben zeigt, ergeben 16 zufällige Zeichen aus einem gemischten Zeichensatz etwa 95 bis 105 Bit Entropie, und länger ist stärker. Halten Sie sich an das von Ihrer Organisation oder Ihrem Dienst festgelegte Minimum, wenn es höher liegt.
Sollte ich UUID v4 oder v7 für Datenbankschlüssel verwenden?
v7 wird oft für Schlüssel gewählt, weil sie nach Zeit sortiert. Wählen Sie v4, wenn der Erstellungszeitpunkt aus der Kennung nicht ersichtlich sein soll.
Werden erzeugte Passwörter irgendwohin gesendet?
Der LeedyBox-Generator erzeugt die Werte in Ihrem Browser mit Web Crypto, sie entstehen also auf Ihrem Gerät.