Eine Passphrase ist ein Passwort aus mehreren zufällig gewählten Wörtern, die zu einer langen, gut merkbaren Kette verbunden werden – zum Beispiel „Walnuss-Bahnhof-Leuchtturm-Zirkus“. Die Sicherheit entsteht nicht durch Sonderzeichen-Wirrwarr, sondern durch Länge und echte Zufälligkeit der Wortfolge.
Warum Wortketten stark sind
Die Stärke eines Passworts misst man an seiner Entropie, also an der Anzahl der Möglichkeiten, die ein Angreifer durchprobieren muss. Ein einzelnes Wort aus einer Liste von 7.776 Wörtern liefert rund 12,9 Bit Entropie. Vier zufällige Wörter ergeben damit etwa 51 Bit, sechs Wörter rund 77 Bit – vergleichbar mit einem langen Zufalls-Passwort, aber deutlich leichter zu merken. Entscheidend ist, dass die Wörter wirklich zufällig gewählt werden und nicht aus Lieblingszitaten, Songtexten oder Redewendungen stammen: Bekannte Sätze kann ein Angreifer mit Wörterlisten nachbilden.
Die bekannteste Methode zur Erzeugung ist Diceware: Man würfelt fünfmal und schlägt die fünfstellige Zahl in einer öffentlichen Wortliste nach. Jedes Wort steht damit für fünf Würfel-Ergebnisse, die Zufälligkeit ist garantiert. Auch ein Passwort-Manager kann Passphrasen erzeugen und verwalten.
Passphrase gegen Angriffe
Eine zufällige Passphrase widersteht dem Wörterbuchangriff, weil die Kombination der Wörter nicht in Listen steht. Auch der Hybrid-Angriff mit angehängten Variationen findet bei rein zufälligen Wortfolgen nichts. Selbst ein Brute-Force-Angriff scheitert an der Länge: Jedes zusätzliche Wort vervielfacht den Suchraum. Gegen Credential Stuffing schützt die Passphrase ebenfalls, sofern sie pro Dienst einzigartig ist.
Empfehlungen aus der Praxis
Die Passwort-Empfehlungen des NIST (SP 800-63B) setzen auf Länge vor Komplexität und nennen Passphrasen aus mehreren Wörtern als gute Wahl. Üblich sind vier bis sechs Wörter, je nach Schutzwert des Kontos. Zusätzlich gilt: Die Passphrase niemals wiederverwenden, und für besonders wichtige Konten die Zwei-Faktor-Authentifizierung aktivieren. Die Passwort-Richtlinie eines Unternehmens sollte Passphrasen explizit erlauben, statt kurze, komplexe Zwangspasswörter zu verlangen.
Verwandte Grundlagen: Salt-Passwort-Hashing (sicherer Speicher), Private Key (die „Passphrase“ von Schlüsseldateien).