Die ehrliche Antwort ist "es kommt darauf an, was du schützt" — ein Forenkonto und eine Kryptowährungs-Wallet tragen bei einer Kompromittierung nicht das gleiche Risiko, brauchen also nicht dieselbe Passwortlänge. Dieser Artikel gibt konkrete Längenziele nach Kontotyp und erklärt, warum aktuelle Richtlinien Länge gegenüber Kompositionsregeln wie Pflichtsymbolen bevorzugen.

Kurz gefasst

NIST SP 800-63B empfiehlt, lange Passwörter zuzulassen (und zu fördern), statt Komplexitätsregeln wie Pflichtsymbole durchzusetzen.
16 Zeichen sind ein vernünftiger Standard für die meisten Konten; 20+ für alles, was Geld oder Identität schützt; 24-32+ für das Master-Passwort deines Passwort-Managers.
Länge erhöht deinen Schutz exponentiell; jede Pflichtregel für Zeichentypen bringt vergleichsweise wenig. Siehe Passwort-Entropie erklärt für die Mathematik dahinter.
Länge hilft nur, wenn die Zeichen wirklich zufällig sind — ein langes, aber vorhersehbares Passwort (ein Satz, ein Tastaturmuster) erhält nicht den vollen Nutzen.

Kurze Antwort

Verwende mindestens 16 Zeichen für die meisten Konten, 20+ für finanzielle oder identitätskritische Konten, und 24-32+ für das Master-Passwort deines Passwort-Managers oder andere Single Points of Failure. PassGenerate lässt dich die Länge direkt einstellen und verwendet standardmäßig 16, was den üblichen Fall abdeckt; erhöhe sie für risikoreichere Konten.

Empfohlene Länge nach Kontotyp

Kontotyp	Empfohlene Länge	Warum
Forum- oder Newsletter-Konto mit geringem Risiko	12-16 Zeichen	Geringe Konsequenz bei Kompromittierung; trotzdem lohnt es sich, triviales Erraten zu vermeiden
E-Mail und Cloud-Speicher	16-20 Zeichen	E-Mail ist oft der Wiederherstellungsweg für alles andere — eine Kompromittierung hier zieht Kaskaden nach sich
Banking und Finanzdienste	20-24 Zeichen	Direkte finanzielle Gefährdung; Institute erzwingen ohnehin zunehmend längere Mindestwerte
Admin-Konten, Krypto-Wallets, Master-Passwort des Passwort-Managers	24-32+ Zeichen	Single Point of Failure — eine Kompromittierung kann alles Nachgelagerte offenlegen
Merkbare Passphrase (wenn oft aus dem Gedächtnis getippt)	4-6 zufällige Wörter	Vergleichbare oder bessere Entropie als ein kürzeres, symbollastiges Passwort, leichter präzise einzugeben

Warum NIST von erzwungenen Komplexitätsregeln abgerückt ist

Ältere Passwortrichtlinien — ein Pflicht-Großbuchstabe, eine Pflichtziffer, ein Pflichtsymbol, verpflichtende Rotation alle 90 Tage — waren gut gemeint, scheiterten aber in der Praxis. Erzwungene Komplexität drängt Menschen zu vorhersehbaren Mustern (Sommer2024!, Passwort1@), die die Regel erfüllen, aber wenig echte Entropie hinzufügen, und erzwungene Rotation drängt Menschen dazu, eine Ziffer zu erhöhen (Passwort1, Passwort2), statt sich etwas wirklich Neues auszudenken.

NIST hat diesen Wandel in SP 800-63B Revision 4, veröffentlicht 2025, formalisiert: Dienste müssen Passwörter mit mindestens 64 Zeichen zulassen und müssen Leerzeichen sowie den vollen Bereich druckbarer Zeichen akzeptieren; ist ein Passwort der einzige Authentifizierungsfaktor, setzt NIST jetzt ein Minimum von 15 Zeichen fest, das bei Kombination mit Multi-Faktor-Authentifizierung auf 8 Zeichen sinkt. Revision 4 geht über frühere Richtlinien hinaus, indem sie verpflichtende Kompositionsregeln (erforderliche Groß-/Kleinschreibung, Ziffern, Symbole) explizit verbietet, statt sie nur zu missbilligen, und Dienste anweist, neue Passwörter stattdessen gegen Listen bereits geleakter Passwörter zu prüfen. Sie schafft außerdem die verpflichtende periodische Rotation vollständig ab — Passwörter sollten geändert werden, wenn es tatsächliche Hinweise auf eine Kompromittierung gibt, nicht nach festem Kalender. Der Sicherheitshebel, der tatsächlich funktioniert, ist Länge kombiniert mit echter Zufälligkeit, nicht eine Checkliste geforderter Zeichentypen.

Garantiert Länge allein Sicherheit?

Nein — Länge hilft nur, wenn sie mit echter Zufälligkeit einhergeht. aaaaaaaaaaaaaaaaaaaa (20 Zeichen) ist trotz seiner Länge trivial zu erraten, und ein 20-stelliger Satz aus einem bekannten Buch ist durch Wörterbuchangriffe auf Basis gängiger Phrasen erratbar. Die obigen Längenempfehlungen setzen voraus, dass die Zeichen von einem kryptografisch sicheren Pseudozufallszahlengenerator (CSPRNG) erzeugt werden — so wie PassGenerate es macht — oder bei Passphrasen aus einer wirklich zufälligen Wortliste stammen, nicht so gewählt, dass sie sich gut merken lassen, was fast immer weniger Zufälligkeit bedeutet, als es scheint.

Eine praktische Anwendung

Du musst die Entropie nicht jedes Mal von Hand berechnen. Als Faustregel:

Frage dich, was passiert, wenn genau dieses Konto kompromittiert wird — ist es ärgerlich oder eine Kaskadenkatastrophe?
Wähle anhand dieser Antwort eine Länge aus der obigen Tabelle.
Generiere sie zufällig, statt sie selbst zusammenzustellen — Länge zahlt sich nur mit echter Zufälligkeit dahinter aus.
Für Konten, die du oft aus dem Gedächtnis tippen musst, verwende eine zufällige Passphrase statt einer zufälligen Zeichenkette — vergleichbare Sicherheit, deutlich leichter korrekt einzugeben.

Wichtigste Erkenntnisse

Die Passwortlänge sollte sich nach dem tatsächlichen Risiko bei einer Kompromittierung des Kontos richten, nicht eine einzige feste Zahl für alles sein.
NIST SP 800-63B bevorzugt längere Mindestwerte und den Abgleich mit Leak-Listen gegenüber verpflichtenden Zeichenkompositionsregeln.
Länge allein reicht nicht — sie muss mit echter Zufälligkeit (CSPRNG-generiert oder eine zufällige Wortliste) gepaart werden, um die versprochene Sicherheit zu liefern.
16 Zeichen decken die meisten Alltagskonten ab; gehe speziell für das Master-Passwort deines Passwort-Managers auf 24-32+.

Warum du PassGenerate vertrauen kannst

Passwörter werden lokal in deinem Browser mit der Web Crypto API generiert.
Es werden keine Passwörter an Server übertragen.
Verwendet einen kryptografisch sicheren Pseudozufallszahlengenerator (CSPRNG).
Folgt modernen Sicherheits-Best-Practices, die von NIST und OWASP empfohlen werden.

Quellen

NIST SP 800-63B Revision 4 (2025) – Digital Identity Guidelines
OWASP Authentication Cheat Sheet
CISA Password Guidance

Fazit

Es gibt nicht die eine richtige Passwortlänge — es gibt eine richtige Länge für das Risikoniveau jedes Kontos. Sechzehn Zeichen sind ein vernünftiger Mindestwert für die meisten Konten, finanzielle und identitätskritische Konten verdienen 20+, und alles, was als Single Point of Failure fungiert (insbesondere das Master-Passwort eines Passwort-Managers), verdient 24-32 oder mehr. All das spielt jedoch keine Rolle, wenn die Zeichen nicht tatsächlich zufällig sind — Länge ist der Multiplikator, aber Zufälligkeit ist das, was multipliziert wird.

Wie lang sollte ein Passwort sein? Ein praktischer Längenleitfaden nach Kontotyp