Dev Tools
Passwort-Generator
Erzeuge Passwörter, merkbare Passphrasen oder PINs mit kryptografischem Zufall. Die Stärkeanzeige rechnet die tatsächliche Entropie aus, statt sie zu raten.
Geschätzte Zeit, bis ein Angreifer im Mittel Erfolg hat. Die Raten sind Größenordnungen, keine exakten Werte.
Unter sechzig Bit ist das zu wenig für ein wichtiges Konto. Erhöhe die Länge oder die Wortanzahl.
Mehrere auf einmal
Erzeugt eine Liste mit den aktuellen Einstellungen, etwa für Testkonten oder Erstpasswörter.
Hash-Werkzeug
Erzeugt eine Prüfsumme über die Web Crypto API des Browsers. Nützlich zum Vergleichen von Dateien oder Texten, nicht zum Speichern von Passwörtern.
Was ein Passwort wirklich stark macht
Nicht Sonderzeichen entscheiden über die Sicherheit, sondern Zufall und Länge. Ein selbst ausgedachtes Passwort folgt fast immer einem Muster, das Angreifer kennen: ein Wort, ein großer Anfangsbuchstabe, eine Jahreszahl, ein Ausrufezeichen. Genau diese Varianten stehen in den Regellisten gängiger Knackprogramme ganz oben. Zufällig erzeugte Zeichen haben kein Muster, das sich abkürzen ließe. Deshalb misst dieses Tool die Stärke in Bit statt in Ampelfarben.
Sicherheit & Datenschutz
Ein Passwortgenerator, der über das Netz läuft, ist ein Widerspruch in sich. Hier passiert alles im Browser: Der Zufall kommt aus der Web Crypto API deines Geräts, es gibt keinen Serveraufruf, kein Protokoll und keine Speicherung. Du kannst die Seite laden, die Verbindung trennen und trotzdem weiterarbeiten. Erzeugte Passwörter gehören anschließend in einen Passwortmanager, nicht in eine Notiz oder eine Tabelle.
Typische Anwendungsfälle
Für ein neues Online-Konto nimmst du den Zeichenmodus mit zwanzig Stellen und legst das Ergebnis im Passwortmanager ab. Für das Hauptpasswort des Managers selbst oder für eine verschlüsselte Festplatte eignet sich die Passphrase besser, weil du sie eintippen können musst, ohne sie ablesen zu können. Der PIN-Modus liefert Zahlencodes für Geräte mit Sperre. Die Mehrfach-Erzeugung hilft, wenn du Zugänge für ein Team oder für Testsysteme vorbereitest. Wo Systeme bestimmte Zeichen nicht akzeptieren, schließt du sie gezielt aus.
Wie die Entropie berechnet wird
Im Zeichenmodus ergibt sich die Entropie aus der Länge mal dem Zweierlogarithmus des Zeichenvorrats. Bei einer Passphrase zählt die Anzahl der Wörter mal dem Logarithmus der Listenlänge. Schließt du Zeichen aus, schrumpft der Vorrat und der Wert sinkt sofort sichtbar. Die Knackzeiten unten entstehen daraus, geteilt durch typische Angriffsgeschwindigkeiten, wobei im Mittel nur die Hälfte aller Möglichkeiten durchsucht werden muss. Alle Werte sind Größenordnungen und keine Garantie.
Häufige Fragen zu sicheren Passwörtern
Was bedeutet die Angabe in Bit?
Bit misst die Entropie, also wie viele Möglichkeiten ein Angreifer durchprobieren müsste. Jedes zusätzliche Bit verdoppelt den Aufwand. Vierzig Bit sind heute in Minuten geknackt, ab sechzig Bit wird es für Gelegenheitsangriffe unattraktiv, ab achtzig Bit ist ein Passwort auch gegen gut ausgestattete Angreifer robust. Der Wert wird hier aus dem tatsächlich genutzten Zeichen- oder Wortvorrat berechnet, nicht geschätzt.
Ist eine Passphrase sicherer als ein kurzes Passwort?
Meistens ja, und sie lässt sich deutlich leichter merken und tippen. Sechs zufällig gewählte Wörter aus der hier verwendeten Liste ergeben rund sechzig Bit, sieben Wörter rund siebzig Bit. Entscheidend ist, dass die Wörter zufällig gezogen werden. Ein selbst ausgedachter Satz aus dem eigenen Leben hat viel weniger Entropie, weil Angreifer genau solche Muster gezielt durchprobieren.
Woher kommt der Zufall für die Passwörter?
Aus dem kryptografischen Zufallsgenerator deines Browsers über window.crypto.getRandomValues. Das schwächere Math.random kommt nicht zum Einsatz. Zusätzlich wird die Auswahl per Verwerfungsverfahren gezogen, damit kein Zeichen häufiger vorkommt als ein anderes. Eine einfache Restwertrechnung würde die vorderen Zeichen des Vorrats leicht bevorzugen.
Warum sollte ich verwechselbare Zeichen ausschließen?
Weil große O und Null, kleines l und große I oder auch 5 und S in vielen Schriftarten fast gleich aussehen. Wenn ein Passwort abgetippt oder vorgelesen werden muss, spart der Ausschluss Fehlversuche. Der Preis ist ein kleinerer Zeichenvorrat und damit etwas weniger Entropie pro Zeichen. Die Anzeige rechnet das sofort mit ein, sodass du den Verlust siehst und die Länge anpassen kannst.
Werden die erzeugten Passwörter irgendwo gespeichert?
Nein. Die Erzeugung läuft vollständig in deinem Browser, es gibt keinen Serveraufruf, kein Protokoll und keine Speicherung. Auch das Hash-Werkzeug arbeitet lokal über die Web Crypto API. Wenn du die Seite schließt, ist alles weg. Bewahre erzeugte Passwörter in einem Passwortmanager auf, nicht in einer Textdatei oder im Browser-Verlauf.
Wie lang sollte ein Passwort heute sein?
Für Konten, die dir wichtig sind, gelten mindestens sechzehn zufällige Zeichen aus einem großen Vorrat als solide, zwanzig sind besser. Wichtiger als jede Sonderzeichenregel ist aber, dass jedes Konto ein eigenes Passwort bekommt. Wird ein Dienst gehackt, probieren Angreifer die erbeuteten Zugangsdaten sofort bei anderen Anbietern durch. Ein Passwortmanager nimmt dir das Merken ab.