Diceware erklärt: Herkunft, Sicherheit und wie Sie Ihre Passphrase selbst würfeln

Diceware ist bis heute eines der klarsten Beispiele für benutzbare Sicherheit. Statt Menschen zu bitten, sich ein „cleveres“ Passwort auszudenken, werden zufällige Wörter aus einer festen Liste gewählt.

Genau dieser Wechsel von Kreativität zu echter Zufälligkeit erklärt, warum Diceware so gut gealtert ist.

Woher Diceware kommt

Diceware wurde von Arnold G. Reinhold als praktische Methode entwickelt, um mit physischen Würfeln und einer nummerierten Wortliste merkbare, hochentropische Passphrasen zu erzeugen.

Die Grundidee ist schlicht: Werden die Wörter wirklich zufällig ausgewählt, können schon wenige gewöhnliche Wörter zusammen ein sehr starkes Geheimnis bilden.

Warum das funktioniert

Die Sicherheit von Diceware entsteht durch echte Zufälligkeit, nicht durch poetische Sätze oder versteckte Bedeutung. Jedes zusätzliche Wort erhöht die Entropie.

Eine sauber erzeugte Passphrase mit 5 oder 6 Wörtern kann gut merkbar und zugleich sehr widerstandsfähig gegen Rateversuche sein, besonders im Vergleich zu kurzen improvisierten Passwörtern.

So würfeln Sie Ihre eigene Passphrase

1. Nehmen Sie fünf normale sechsseitige Würfel, oder würfeln Sie einen Würfel fünfmal für jedes Wort.
2. Notieren Sie das fünfstellige Ergebnis, zum Beispiel 43126.
3. Schlagen Sie die Zahl in einer Wortliste nach — auf Deutsch die wordlist_de (.txt), auf Englisch die EFF Large Wordlist (.txt) — und notieren Sie das passende Wort.
4. Wiederholen Sie das, bis Sie genug Wörter haben.
5. Behalten Sie die gewürfelte Reihenfolge exakt bei.

Warum die Listengröße entscheidend ist

Eine korrekte Diceware-Liste enthält genau 7 776 Wörter — das ist 6⁵, ein Eintrag für jede mögliche Fünf-Würfel-Kombination. Mit so vielen Wörtern liefert jeder Wurf etwa 12,9 Bit Entropie. Fünf Wörter ergeben rund 64 Bit, sechs Wörter rund 77 Bit — weit mehr, als Angreifer mit heutiger Hardware offline knacken könnten.

Kürzere Listen brechen diese Garantie still und heimlich. Eine Liste mit 1 000 Wörtern liefert pro Wurf nur noch 10 Bit, sodass eine Fünf-Wort-Passphrase kaum stärker ist als ein schwaches Zufallspasswort — obwohl sie wie eine echte Diceware-Passphrase aussieht.

Beim manuellen Würfeln sollten Sie eine Liste verwenden, die Sie selbst überprüfen können. Die folgenden anerkannten Listen mit je 7 776 Einträgen erfüllen diesen Standard:

• EFF Large Wordlist (.txt) — Englisch, 7 776 Wörter, von der Electronic Frontier Foundation
• diceware-fr-alt (.txt) — Französisch, 7 776 Wörter, von Arthur Pons (MIT-Lizenz)
• wordlist_de (.txt) — Deutsch, 7 776 Wörter, Projekt ulif/diceware
• wordlist_es (.txt) — Spanisch, 7 776 Wörter, Projekt ulif/diceware (angepasst)

Wie viele Wörter sollten Sie verwenden?

• 4 Wörter: nur für weniger kritische Einsatzzwecke akzeptabel
• 5 Wörter: starke moderne Basis
• 6 Wörter: beste Standardeinstellung für wichtige Passphrasen
• 7 oder mehr Wörter: zusätzliche Reserve, wenn die Länge nicht stört

Physische Würfel oder digitale Erzeugung

Physische Würfel sind ideal, wenn Sie einen vollständig transparenten Offline-Prozess möchten. Sie sind langsamer, dafür aber leicht nachvollziehbar und gut prüfbar.

Ein lokaler Passphrase-Generator im Browser ist im Alltag deutlich bequemer, besonders wenn er feste Wortlisten und kryptografisch sichere Zufälligkeit verwendet.

Probieren Sie den Diceware-Handroller

Wenn Sie die Suche automatisch erledigt haben möchten, ohne auf den manuellen Prozess verzichten zu müssen, probieren Sie den Diceware-Handroller auf passwords.lu. Würfeln Sie, tippen Sie den fünfstelligen Code ein, und das Tool schlägt das passende Wort sofort nach — vollständig in Ihrem Browser, ohne dass etwas an einen Server gesendet wird.

Er unterstützt alle vier Wortlisten — Englisch, Französisch, Deutsch und Spanisch — damit Sie in Ihrer Muttersprache arbeiten können. Sie können auch den eingebauten Würfelsimulator zum Üben verwenden und dann bei echten Zugängen auf physische Würfel umsteigen.

Sollten Sie die Wortlisten herunterladen?

Ja — und die Sprache, die Sie wählen, spielt eine größere Rolle als die meisten denken. Ein Wort, das Sie schon kennen, lässt sich viel leichter merken als ein fremdsprachiges. Wenn Ihre Muttersprache nicht Englisch ist, macht eine Wortliste in Ihrer eigenen Sprache die Passphrase wirklich einprägsam und nicht nur technisch stark.

Laden Sie die Liste für Ihre Sprache herunter, bewahren Sie sie sicher auf und nutzen Sie sie, wenn Sie eine Passphrase vollständig selbst erzeugen und überprüfen möchten.

Best Practices

• Nutzen Sie Diceware für Geheimnisse, die Sie sich wirklich merken müssen.
• Verwenden Sie einen Passwortmanager für alles andere.
• „Verbessern“ Sie das Ergebnis nicht, indem Sie daraus absichtlich einen sinnvollen Satz bauen.
• Kombinieren Sie wichtige Konten mit MFA.
• Wenn Sie die Passphrase vorübergehend notieren, bewahren Sie die Notiz sicher auf und entfernen Sie sie später wieder.