Zum Hauptinhalt springen
Bethemesh
Sicherheit & Datenschutz

Passwortrichtlinie erstellen

Starte mit einer an aktuellen NIST-Empfehlungen ausgerichteten Vorlage Ausgewogen, Streng oder Passphrase. Passe Mindestlänge, Sperrlisten, Historie, Ablauf, Fehlversuchsgrenzen und bei Bedarf Kompatibilitätsregeln an und kopiere anschließend Zusammenfassung und JSON-Konfiguration. Alles läuft in deinem Browser.

  • Zwischenablage

Dieses Widget einbetten

Passe die Darstellung an, prüfe die Vorschau und kopiere anschließend den Code.

Vorschau

Art des Einbettungscodes

Zu kopierender Code

Responsive und automatisch von Bethemesh in der Größe angepasst.

Vorlage

Geschätztes Niveau

Regelübersicht

JSON-Konfiguration

War dieses Werkzeug hilfreich?

Wie funktioniert dieses Tool?

Dieses Tool hilft dir, aus drei Vorlagen und rund zehn Einstellungen eine stimmige Passwortrichtlinie zu formulieren. Es richtet sich an Admins, Sicherheitsverantwortliche und Entwickler, die Regeln dokumentieren oder umsetzen müssen, und liefert eine lesbare Zusammenfassung sowie eine JSON-Konfiguration.

Aktuelle Referenz ist NIST SP 800-63B-4 vom Juli 2025: mindestens 15 Zeichen, wenn das Passwort der einzige Authentifizierungsfaktor ist, 8 Zeichen bei verpflichtendem zweiten Faktor, Unterstützung von mindestens 64 Zeichen, keine Zeichenklassenregeln und keine routinemäßigen periodischen Wechsel. Außerdem müssen gängige, kompromittierte oder kontextbezogene Passwörter abgelehnt und aufeinanderfolgende Fehlversuche auf höchstens 100 begrenzt werden. Die Vorlagen folgen jetzt diesen Grundsätzen: Ausgewogen nutzt 15 Zeichen ohne Kompositionsregel, ohne erzwungenen Ablauf und mit einem Schwellenwert von 10 Fehlversuchen; Streng erhöht auf 20 Zeichen und einen Schwellenwert von 5; Passphrase nutzt 24 Zeichen ohne Kompositionsregel. Eine Passworthistorie bleibt für Organisationen verfügbar, die sie benötigen, wird aber nicht als NIST-Anforderung gewertet.

Die Eingaben werden auf die Werkzeuggrenzen beschränkt: Mindestlänge 6 bis 128, Historie 0 bis 50, Ablauf 0 bis 3.650 Tage und Fehlversuchsschwelle 0 bis 100. Die geschätzte Stufe ist ein Richtwert und kein NIST-Konformitätsnachweis: Sie bewertet eine Mindestlänge von 15 Zeichen positiv, gibt ab 20 Zeichen einen Zusatzpunkt und berücksichtigt Sperrlisten für gängige Passwörter, das Verbot offensichtlicher persönlicher Daten, keinen regelmäßigen Ablauf, eine konfigurierte Fehlversuchsgrenze und erlaubte Passphrasen. Zeichenklassenanforderungen senken den Wert, weil NIST sie ausdrücklich verbietet; die Passworthistorie ist neutral. Warnungen erscheinen bei jedem erzwungenen Ablauf, unter 15 Zeichen, bei Kompositionsregeln oder ohne Sperrliste für gängige Passwörter.

So verwenden Sie dieses Tool

  1. Vorlage wählen

    Wähle Ausgewogen, Streng oder Passphrase: Alle Felder und Schalter werden vorbelegt und die Richtlinie erscheint sofort.

  2. Regeln anpassen

    Ändere Mindestlänge, Anzahl gesperrter früherer Passwörter, Ablauf und Versuche bis zur Sperre, schalte Zeichenanforderungen und Sperrlisten ein oder aus und klicke auf Richtlinie erstellen.

  3. Prüfen und kopieren

    Kontrolliere die geschätzte Stufe und die Warnungen und kopiere die Regelzusammenfassung oder die JSON-Konfiguration. Mit Zurücksetzen kehrst du zur Vorlage Ausgewogen zurück.

Anwendungsfälle

Passwortabschnitt einer Sicherheitsrichtlinie schreiben

Erzeuge die Regelzusammenfassung für die Informationssicherheitsleitlinie oder IT-Richtlinie deiner Organisation und formuliere sie danach für die Endnutzer um.

Spezifikation an die Entwicklung übergeben

Füge das normalisierte JSON in ein Ticket oder Repository ein, damit das Team genau die vereinbarte Mindestlänge, Historie und Sperre umsetzt.

Veraltete Richtlinie modernisieren

Ersetze eine alte Regel wie 8 Zeichen, 4 Typen und Wechsel alle 90 Tage durch eine an NIST SP 800-63B-4 ausgerichtete Richtlinie und orientiere dich an den Warnungen zu Ablauf und Länge.

Beispiele

Ausgewogene Passwortrichtlinie

Eingabe

Vorlage: Ausgewogen; Mindestlänge: 15; Gängige oder kompromittierte Passwörter sperren: ja; Offensichtliche persönliche Daten verbieten: ja; Erzwungener Ablauf (Tage, 0 = aus): 0; Fehlversuche bis Drosselung oder Sperre (0 = aus): 10; Passphrasen erlauben und fördern: ja; Klein-, Großbuchstaben, Ziffern oder Sonderzeichen verlangen: nein

Ergebnis

Geschätztes Niveau: Stark (Punktzahl 12); Regelübersicht: Mindestlänge 15 Zeichen, gängige oder kompromittierte Passwörter gesperrt, offensichtliche persönliche Daten verboten, kein erzwungener Ablauf, Drosselung oder Sperre nach 10 Fehlversuchen, Passphrasen erlaubt

Tipps und bewährte Vorgehensweisen

  • Lass den erzwungenen Ablauf auf 0: NIST SP 800-63B-4 rät von periodischen Wechseln ab, weil sie zu vorhersehbaren Varianten wie Frühling2026! und dann Sommer2026! führen. Erzwinge einen Wechsel lieber, wenn eine Kompromittierung festgestellt wird.
  • Eine zu niedrige Sperrschwelle wie 3 Versuche erlaubt es jedem, fremde Konten absichtlich zu sperren; besser ist eine temporäre oder schrittweise Sperre nach 5 bis 10 Fehlversuchen.
  • Das Tool legt eine Mindestlänge fest; setze bei der Umsetzung kein niedriges Maximum und akzeptiere mindestens 64 Zeichen sowie Leerzeichen, damit Passphrasen funktionieren.

Quellen und Referenzen

Häufig gestellte Fragen

Welche Mindestlänge empfiehlt NIST 2026?

NIST SP 800-63B-4 (Juli 2025) verlangt mindestens 15 Zeichen, wenn das Passwort der einzige Authentifizierungsfaktor ist, und 8 Zeichen in Kombination mit einem zweiten Faktor. Das System muss außerdem Passwörter mit mindestens 64 Zeichen akzeptieren.

Sollte eine Richtlinie Großbuchstaben, Ziffern und Sonderzeichen verlangen?

Laut NIST SP 800-63B-4 nicht: Kompositionsregeln sind inzwischen untersagt, weil Nutzer sie vorhersehbar erfüllen (Großbuchstabe vorn, Ziffer und ! hinten). Länge und das Sperren häufiger oder kompromittierter Passwörter wirken viel besser, auch wenn manche Branchenvorgaben sie noch fordern.

Muss man Passwörter alle 90 Tage ändern?

Nein. NIST SP 800-63B-4 verbietet routinemäßige periodische Passwortwechsel und verlangt einen Wechsel, wenn Hinweise auf eine Kompromittierung vorliegen. Das Tool warnt deshalb bei jeder konfigurierten erzwungenen Ablaufzeit.

Wie viele Versuche sollten vor einer Kontosperre erlaubt sein?

NIST verlangt eine Begrenzung der Anmeldeversuche und setzt höchstens 100 aufeinanderfolgende Fehlversuche an. Ein Dienst kann je nach Risiko einen niedrigeren Schwellenwert wählen; zeitweises Drosseln oder progressive Verzögerungen sind jedoch meist besser als eine dauerhafte Sperre, die für Denial-of-Service missbraucht werden kann.

Wird die Richtlinie automatisch durchgesetzt?

Nein. Das Tool erzeugt eine Spezifikation als Zusammenfassung und JSON, die du in deinem Verzeichnisdienst, deiner Anwendung oder deinem Identity Provider dokumentierst oder umsetzt. Nichts wird gesendet oder gespeichert: Die Richtlinie wird in deinem Browser berechnet.

Was enthält das erzeugte JSON?

Es enthält die Einstellungen in normalisierter Form: minimumLength, characterRequirements (lowercase, uppercase, numbers, symbols), disallowCommonPasswords, disallowPersonalData, preventReuse, expirationDays, lockoutAttempts und allowPassphrases. Werte außerhalb des Bereichs werden auf die Grenzen des Tools gesetzt.

Verwandte Werkzeuge

Mit diesen Werkzeugen weitermachen

Werkzeuge, die diesem ähnlich sind oder es ergänzen.

Ähnliche Werkzeuge

Passwortstärke prüfen

Prüfe, wie stark ein Passwort ist: Entropie, schwache Muster, geschätzte Knackzeit und Tipps.

Sicherheit & DatenschutzEmpfohlenDieses Werkzeug verwenden

Passwort-Generator

Erzeuge starke Zufallspasswörter mit 8 bis 128 Zeichen und angezeigter Entropie.

Sicherheit & DatenschutzEmpfohlenDieses Werkzeug verwenden

PBKDF2-Passworthash und Prüfung

Leite einen gesalzenen PBKDF2-SHA-256- oder SHA-512-Hash aus einem Passwort ab oder prüfe ein Passwort gegen einen kodierten Wert.

Sicherheit & DatenschutzDieses Werkzeug verwenden

Auch interessant