Diese Woche ging es um sichere Passwörter und darum, wie Computer „würfeln“. Heute bringst du beides zusammen: Du würfelst dir mit echten Würfeln eine Passphrase aus sechs deutschen Wörtern und rechnest aus, wie stark sie ist. Dauer: etwa 20 Minuten, drinnen. Wer programmiert, baut im Level up einen eigenen Generator in Python.

Die Challenge

Eine Passphrase ist ein Passwort aus mehreren Wörtern. Das deutsche Bundesamt für Sicherheit in der Informationstechnik (BSI) schlägt vor, 5 bis 6 zufällige Wörter zu wählen und mit Leerzeichen zu trennen. Der Knackpunkt ist das Wort zufällig. Dein Haustier plus dein Lieblingsspiel ist es leider nicht. Dafür sorgen heute Würfel. Die Methode heißt Diceware.

Du brauchst

  • 4 normale Würfel, etwa aus einem Brettspiel. Ein einzelner geht auch, dann wirfst du ihn viermal.
  • Die deutsche Wortliste de-1296 des Projekts dys2p, kostenlos auf GitHub, ohne Konto. Lade de-1296-v1-diceware.txt herunter und öffne sie am Computer oder druck sie aus.
  • Papier und Stift.
  • Einen Platz, an dem dir niemand über die Schulter schaut.

Du brauchst kein Konto und tippst nirgends ein Passwort ein.

So geht's

  1. Wirf die 4 Würfel und lies die Augenzahlen von links nach rechts. Schreib die vier Ziffern auf, zum Beispiel 3142.
  2. Such die Zahl in der Liste. Jede Zahl von 1111 bis 6666 gehört zu genau einem Wort. Bei 3142 steht dort „gully“.
  3. Wiederhole das sechsmal. Dann hast du sechs Wörter, also deine Passphrase.
  4. Rechne nach, wie viele Möglichkeiten es gibt (siehe unten), und stopp deine Zeit.
  5. Zerreiß den Zettel mit den Würfelzahlen, wenn du fertig bist.

Was dahinter steckt

Am Donnerstag ging es um „Lang schlägt kompliziert“, am Freitag um Pseudozufall: Ein Computer berechnet seine „Zufallszahlen“ aus einem Startwert, dem Seed. Ein echter Würfel hat keinen Seed. Diceware-Erfinder Arnold Reinhold rät zu gewöhnlichen Würfeln, denn bei Würfelprogrammen lässt sich kaum prüfen, ob sie zufällig genug sind.

Die Rechnung (eigene Berechnung): Jeder Wurf hat 6 mögliche Ergebnisse. Vier Würfe ergeben 6⁴ = 1296 Möglichkeiten, genau so viele Wörter hat die Liste. Sechs Wörter sind 24 Würfe:

1296⁶ = 6²⁴ ≈ 4,7 Trillionen Möglichkeiten.

Zum Vergleich: Ein völlig zufälliges Passwort aus 8 Zeichen, gewählt aus allen 94 Tastaturzeichen, hat etwa 6,1 Billiarden Möglichkeiten. Deine sechs Wörter haben rund 780-mal so viele. „hallo123“ steht laut Hasso-Plattner-Institut 2025 auf Platz 5 der meistgeleakten Passwörter in Deutschland, und laut BSI probieren Angreifer automatisch ganze Wörterbücher und Zeichenkombinationen durch.

Das Beste: Die Rechnung stimmt sogar dann, wenn jemand weiß, dass du diese Liste benutzt hast. Die ganze Stärke steckt in den Würfen.

Level up

Mehr Würfe. Nimm die lange Liste de-7776 und 5 Würfel. Fünf Würfe ergeben ein Wort, fünf Wörter sind 25 Würfe: 6²⁵ ≈ 28 Trillionen Möglichkeiten, genau sechsmal so viel, denn es ist ein Wurf mehr. In Bit (Logarithmus zur Basis 2) sind das etwa 64,6 statt 62.

Dein eigener Generator. Am Freitag hast du gesehen: random ist mit dem Seed vorhersagbar. Laut Python-Dokumentation ist es für Simulationen gedacht. Für Passwörter gibt es das Modul secrets, das die sicherste Zufallsquelle deines Betriebssystems nutzt. Leg die Wortliste in den Ordner deines Programms, etwa in Thonny, das Python mitbringt. Unter 14 oder am Familien-PC: frag vorher, bevor du etwas installierst.

import math
import secrets

with open("de-1296-v1-diceware.txt", encoding="utf-8") as datei:
    woerter = [zeile.split()[1] for zeile in datei]

print(len(woerter), "Wörter in der Liste")
print(" ".join(secrets.choice(woerter) for _ in range(6)))
print(round(6 * math.log2(len(woerter)), 1), "Bit")

Prüf, ob 1296 und 62 Bit herauskommen. Dann tausch die Liste gegen de-7776 und die 6 gegen eine 5. Mit secrets.token_urlsafe() erzeugen Programme die schwer zu ratenden Links, mit denen du ein Passwort zurücksetzt.

Ehrlich gesagt: Dein Skript ist eine Übung. Ein kleiner Fehler macht es weniger zufällig, und die Phrase steht am Bildschirm. Für ein echtes Konto würfelst du echt oder lässt deinen Passwortmanager die Phrase erzeugen. KeePassXC hat dafür einen eigenen Passphrasen-Generator.

Draußen-Variante

Lieber raus? Zähl die Sterne im Pegasus-Quadrat. Das große Quadrat aus vier hellen Sternen findest du im Herbst abends hoch über dir. Am 07.11. geht der Mond in Wien schon um 15:10 Uhr unter und erst am nächsten Morgen wieder auf, Neumond ist am 09.11.

  1. Geh zwischen 20 und 22 Uhr hinaus: Garten, Balkon oder Hof. Weiter weg von Straßenlampen gehst du zu zweit, unter 14 mit einer erwachsenen Person.
  2. Gewöhn deine Augen mindestens 10 Minuten an die Dunkelheit.
  3. Zähl die Sterne innerhalb des Quadrats. Die vier Ecksterne zählen nicht mit.

Je mehr Sterne, desto dunkler dein Himmel. Der Astronom Bob King zählt von zu Hause aus etwa ein Dutzend. Vergleichen kannst du mit den Magnitudenkarten von Globe at Night; vorbereiten kannst du dich mit dem freien Planetarium Stellarium.

Globe at Night sammelt solche Zählungen bis 10.11., die Meldung überträgt aber Datum, Uhrzeit und Standort: Melde nur gemeinsam mit deinen Eltern oder einer erwachsenen Person.

Sicher unterwegs

  • Zeig deine Passphrase niemandem und poste sie nirgends, auch kein Foto.
  • Willst du sie wirklich verwenden, lern sie auswendig oder speichere sie in einem Passwortmanager wie KeePassXC (kostenlos, ohne Werbung, ohne Cloud). Kein Zettel beim Gerät.
  • Draußen: Sag jemandem, wo du bist, bleib auf Wegen und öffentlichem Grund, nimm Reflektoren und warme Kleidung mit.

Wie viele Minuten hast du gebraucht, wie viele Sterne gezählt? Schreib nur die Zahl in die Kommentare, nie deine Wörter.

Mehr zum Nachlesen: Sichere Passwörter und Wie Spiele würfeln.

Quellen