Anwendungsfall · Passphrasen einführen
Sechs zufällige Wörter, die die Nutzer sich merken.
Passphrasen sind die Antwort auf die NIST-Empfehlung, Länge über Komplexität zu stellen. Sechs Wörter aus der EFF Long Wordlist ergeben 77,5 Bit Entropie — genug gegen realistische Angriffsszenarien, kurz genug für den Helpdesk am Telefon. Dieser Deep-Dive beschreibt, wie Sie die Umstellung planen, ohne den Fachbereich zu verlieren.
Wo es sich lohnt
Fünf Einführungs-Situationen aus der IT-Praxis.
- 01
Im Helpdesk eines Klinikverbunds mit 2.400 Pflegekräften
Die Passwort-Resets gehen per Telefon: Krankenschwester ruft Schicht-IT an, Schicht-IT vergibt ein Initialpasswort, das beim nächsten Login geändert werden muss. Früher war das eine zwölfstellige Zeichenfolge mit Sonderzeichen — am Telefon mehrfach buchstabiert, am Terminal dreimal falsch eingegeben, beim vierten Versuch gesperrt. Sechs Wörter aus der EFF-Liste — jedes eindeutig durch die ersten vier Buchstaben identifizierbar — werden am Telefon beim ersten Versuch korrekt durchgegeben.
- 02
In einer Awareness-Schulung für die Buchhaltung eines Großhändlers
Eine sechzig-Personen-Fachabteilung sitzt im Schulungsraum, die Geschäftsführung hat „IT-Security Awareness“ verordnet. Die Folie mit „Passwörter alle drei Monate ändern“ kommt schlecht an. Eine Live-Demo mit dem Passphrasen-Generator — zwei Würfe, eine Sechs-Wort-Phrase, ein Vergleich gegen ein zwölfstelliges Komplex-Passwort — verschiebt die Diskussion. Merken ist einfacher als Rotieren.
- 03
Beim externen IT-Dienstleister vor dem Kunden-Onboarding
Ein MSP in Nürnberg übernimmt die IT eines neuen Mandanten mit 180 Konten. In der Altumgebung gelten 90-Tage-Rotation plus Komplexitätsregeln, die Qualität der vergebenen Passwörter ist schlecht (erkennbar an der Muster-Verteilung der letzten Reset-Tickets). Im Übergabeplan steht: Passphrase als Standard für alle Neuanlagen, Alt-Konten werden beim nächsten Anmeldefehler umgestellt. Der Generator liefert die Initialpassphrasen, der Helpdesk bekommt ein Sprechzettel-Muster für die Erstkommunikation.
- 04
In der Entwicklungsabteilung eines Software-Hauses
Die Entwickler:innen sind technisch geübt und wehren sich gegen willkürlich komplizierte Regeln. Die IT-Leitung führt die Passphrase als Standard ein, weil sie am Whiteboard demonstrierbar ist: 7.776 Wörter in der Liste, sechs gezogen, 7.776⁶ mögliche Kombinationen — eine Zahl mit 23 Stellen. Gegenüber einem achtstelligen Komplex-Passwort aus einem 70-Zeichen-Alphabet gewinnt die Passphrase um mehrere Größenordnungen. Die Diskussion endet am Whiteboard, nicht im Ticketsystem.
- 05
In der Einführung bei Service-Accounts eines mittelständischen Handelsunternehmens
Service-Accounts für Sicherungs-Jobs, Monitoring-Agenten, Datenbank-Replikation — Konten, bei denen sich nie ein Mensch anmeldet, die aber im Notfall auf einem ausgedruckten Tresor-Zettel nachlesbar sein müssen. Acht-Wort-Passphrasen sind hier die Wahl: 103 Bit Entropie, vom Papier abtippbar, auch nach drei Jahren Laufzeit noch korrekt. Kein zwölfstelliger Zufallsstring, der beim Diktat am Donnerstagnachmittag viermal falsch gelesen wird.
Warum überhaupt
Länge schlägt Komplexität — wenn die Länge zufällig ist.
NIST SP 800-63B Appendix A argumentiert den Punkt ausführlich: Entropie pro Zeichen ist nicht das, was gegen Wörterbuch- und Brute-Force-Angriffe schützt. Was schützt, ist der Suchraum insgesamt. Eine zufällige Sechs-Wort-Passphrase aus der EFF Long Wordlist — 7.776 kuratierte Einträge, alle zwischen drei und neun Buchstaben, alle eindeutig durch die ersten vier Buchstaben identifizierbar — hat einen Suchraum von 7.776⁶. Das sind rund 2,2 · 10²³ Kombinationen, umgerechnet 77,5 Bit Entropie. Ein achtstelliges Passwort aus einem 70-Zeichen-Alphabet mit Leetspeak-Mutationen bleibt darunter — selbst wenn das Komplexitäts-Gefühl anders wirkt.
Der entscheidende Teil ist die Zufälligkeit. Eine Passphrase, die der Nutzer selbst zusammenbaut — „Mein Hund heißt Rex und ist sieben“ — hat deutlich weniger Entropie, weil Sprachmodelle die Konstruktion vorhersagen. Der Diceware-Ansatz, den Arnold Reinhold 1995 beschrieben und die EFF 2016 mit kuratierter Wortliste publiziert hat, zieht die Wörter mit echten Würfeln oder einer kryptografisch sicheren Zufallsquelle. Der Generator auf dieser Seite nutzt crypto.getRandomValues — die Web-Crypto-API des Browsers, deren Seed auch für uns nicht zugreifbar ist.
Im Rollout kommt es auf die Kommunikation an. Die Fachbereiche hören „neue Passwort-Regel“ und erwarten mehr Aufwand. Die richtige Botschaft lautet: weniger Aufwand, weil Merken leichter ist; keine Rotation mehr, weil Länge die Rotation ersetzt; kürzere Helpdesk-Anrufe, weil sechs Wörter am Telefon zuverlässiger durchkommen als komplexe Zeichenketten. In Schulungen ziehen zwei Live-Demos mehr als jede Folie: einmal der Generator, einmal die zxcvbn-Stärkeprüfung im Vergleich.
Ehrlich gesagt
Was der Generator ist — und was er nicht ist.
Die EFF Long Wordlist ist englischsprachig. Das ist Absicht: die Qualitätskriterien — kurze Wörter, eindeutige Anfangsbuchstaben, keine Umlaute, keine Mehrdeutigkeiten — sind in englischer Sprache sauberer erfüllt als in jeder öffentlich verfügbaren deutschen Liste vergleichbarer Größe. Für die meisten Fachbereiche funktioniert das — die Wörter sind kurz und phonetisch unmissverständlich. Für Umgebungen, in denen ausschließlich deutsche Passphrasen akzeptiert werden, ist eine kuratierte deutsche Liste nötig. Das ist ein Lizenz-Gespräch, kein Free-Tool-Thema.
Der Generator prüft nicht gegen HIBP. Eine zufällig gezogene Passphrase hat zwar eine verschwindend geringe Wahrscheinlichkeit, in einem Breach-Korpus zu stehen — aber wer diesen Schritt in der Produktion haben möchte, braucht die k-Anonymitäts-API oder eine Offline-Spiegelung der kompromittierten Hashes. Das ist eine Integrations-Aufgabe im AD/LDAP-Workflow, nicht Bestandteil dieses Werkzeugs.
Und ehrlich gesagt: Passphrasen lösen das Wiederverwendungsproblem nicht. Wer dieselbe Sechs-Wort-Phrase auf zwanzig Plattformen nutzt, hat sich mehr Mühe gemacht als beim Sommer24-Muster, ist aber genauso exponiert, wenn eine Plattform kompromittiert wird. Passphrasen sind ein Baustein neben Passwort-Manager, MFA und Phishing-Awareness — nicht die einzige Antwort.
Direkt ausprobieren
Eine Passphrase, die der Helpdesk am Telefon durchbekommt.
Der Generator öffnet sich im Passphrasen-Modus. Wortanzahl wählen (Standard sechs), Trennzeichen bei Bedarf anpassen, per Klick generieren — mehrfach, bis eine Phrase sitzt. Keine Eingabe, keine Speicherung, keine Übertragung. Das Ergebnis steht im Browser, kann kopiert oder in den hauseigenen Passwort-Tresor übernommen werden.
Werkzeug öffnen — Passphrase erzeugenDrei Fragen
Was bei der Passphrase-Einführung regelmäßig kommt.
Wenn die Passphrase im AD ankommen soll
Generator im Browser ist eine Demo. AD-Integration ist ein Projekt.
Die Einführung gelingt an der Demo-Folie — die Härtung passiert im Active Directory. Wie kommt die Passphrase in die Neuanlage des Onboarding-Prozesses, wie werden Alt-Konten beim nächsten Anmeldefehler umgestellt, wie belegt der Helpdesk den Rollout für die nächste Revision? Modular-Admin bringt diese Schicht: Passphrasen-Vorschläge direkt im AD/LDAP-Workflow, HIBP-Abgleich bei der Vergabe, dokumentierter Übergang für bestehende Konten. Im Erstgespräch sehen wir uns an, wo die Umstellung bei Ihnen konkret ansetzt.
Kostenfreies Erstgespräch buchen