So verwenden Sie es
- Stellen Sie die PIN-Länge von 4 bis 12 Ziffern ein. NIST SP 800-63B verlangt mindestens vier und empfiehlt sechs.
- Setzen Sie die Haken bei den Regeln, die Sie wollen: Keine Ziffer zweimal verwendet, Keine drei Ziffern in Folge oder Die 20 häufigsten vierstelligen PINs vermeiden.
- Wählen Sie Wie viele PINs, die gezogen werden sollen. Die Seite zieht sie bei jeder Änderung einer Einstellung neu.
- Drücken Sie Kopieren oder Herunterladen, um die Liste zu behalten. Die Seite behält die PINs nicht.
So werden die PINs gezogen
Jede Ziffer ist ein Zug aus crypto.getRandomValues, den sicheren Zufallszahlen Ihres Browsers. Der Zug ist unverzerrt: Ein 32-Bit-Wert wird nur verwendet, wenn er unter dem größten Vielfachen des Bereichs liegt. Daher ist jede Ziffer gleich wahrscheinlich.
Ist eine Regel gesetzt, wird eine PIN, die sie verletzt, verworfen und neu gezogen. So ist jede PIN, die die Regeln erfüllt, gleich wahrscheinlich, und die Entropie ist der wahre Wert für die gewählten Regeln.
Entropie (Bit) = log2(Anzahl der PINs, die die Regeln erfüllen)Welche Regeln und warum
NIST SP 800-63B sagt, dass eine PIN, die als Aktivierungsgeheimnis dient, mindestens vier Ziffern hat und sechs oder mehr empfohlen werden. Außerdem rät die Norm zu einer Sperrliste häufig verwendeter Werte.
Eine doppelt verwendete Ziffer (1122) und drei Ziffern in Folge (1234, 321) sind Muster, die eine PIN leicht zu erraten machen. Die Liste der zwanzig häufigsten vierstelligen PINs stammt aus der Häufigkeitsliste von SecLists (MIT-Lizenz). 1234 und 0000 stehen an der Spitze.
- Vier Ziffern ergeben 10.000 PINs, sechs ergeben eine Million.
- Ohne doppelt verwendete Ziffer kann eine PIN höchstens zehn Ziffern lang sein, weil es nur zehn Ziffern gibt.
Rechenbeispiel: vier Ziffern ohne Folgen und häufige PINs
Von den 10.000 vierstelligen PINs haben 306 drei Ziffern in Folge. Es bleiben 9.694, und 18 davon sind häufige PINs (1234 und 4321 sind bereits ausgeschlossen). Also erfüllen 9.676 PINs die Regeln.
Ihre Entropie ist log2(9.676), das sind 13,2 Bit. Zwei hoch 13,24 ergibt etwa 9.676, die Anzahl der PINs, die die Regeln erfüllen.
Häufig gestellte Fragen
Werden die PINs gespeichert oder an einen Server gesendet?
Nein. Die PINs werden in Ihrem Browser gezogen und auf dieser Seite angezeigt. Nichts wird gespeichert, gesendet oder protokolliert, und ein Neuladen entfernt sie. Kopieren Sie daher zuerst die PINs, die Sie behalten möchten.
Warum nicht einen Geburtstag oder ein Jahr als PIN verwenden?
Daten und Jahreszahlen teilen viele Menschen, daher sind sie schlechte PINs. Eine zufällige PIN von dieser Seite ist schwerer zu erraten, aber auch schwerer zu merken. Bewahren Sie sie daher in einem Passwort-Manager auf, wenn der Dienst das zulässt.
Was bedeutet die Entropie bei einer PIN?
Sie ist die Zahl der Bits der Auswahl. Kennt man die Regeln und ist die PIN zufällig, braucht ein Angreifer im Durchschnitt etwa die Hälfte von 2 hoch der Bitzahl an Versuchen. Jedes zusätzliche Bit verdoppelt daher den Aufwand.
Reicht eine vierstellige PIN aus?
NIST SP 800-63B erlaubt vier Ziffern als Minimum und empfiehlt sechs. Viele Geräte und Karten begrenzen die Fehlversuche. Prüfen Sie diese Grenze, bevor Sie für etwas Wichtiges eine kurze PIN wählen.
Warum ist die PIN-Länge ohne Wiederholungen auf zehn Ziffern begrenzt?
Ohne doppelt verwendete Ziffer gibt es nur zehn verschiedene Ziffern zur Auswahl, daher kann eine PIN nicht länger als zehn sein. Die Seite lehnt bei dieser Regel eine längere PIN ab.
Woher stammt die Liste der häufigen PINs?
Sie ist der Anfang der Häufigkeitsliste vierstelliger PINs von SecLists, die unter der MIT-Lizenz veröffentlicht ist. Die Liste umfasst nur vierstellige PINs, daher wirkt die Regel bei anderen Längen nicht.
Quellen
- NIST SP 800-63B (englisch), Abschnitt 3.2.10 (Aktivierungsgeheimnisse)
- SecLists (englisch): vierstellige PIN-Codes nach Häufigkeit sortiert (MIT)
- MDN (englisch): Crypto.getRandomValues()
Zahlen und Text zuletzt geprüft: Dienstag, 10. November 2026.