Sicherer Passwortgenerator — läuft im Browser, nichts wird gesendet

1. 1Art wählenZufallszeichen bieten die höchste Stärke pro Zeichen und eignen sich für alles, was ein Passwortmanager einfügt. Merkbare Wörter lassen sich am Handy oder Fernseher deutlich leichter von Hand tippen.
2. 2Optionen einstellenZiehen Sie Länge oder Wortanzahl, bis die Stärke Stark oder besser anzeigt. Bei Zufallszeichen alle vier Zeichenarten aktiviert lassen, außer eine Website lehnt Sonderzeichen ab.
3. 3Kopieren und ablegenAuf Kopieren tippen und das Passwort direkt in den Passwortmanager einfügen. Erzeugen Sie für jedes Konto ein neues, statt dieses wiederzuverwenden.

Stärke wird in Bit Entropie gemessen, also in der Zahl der nötigen Rateversuche. Jedes zusätzliche Bit verdoppelt diese Zahl. Diese Seite zeigt den echten Wert, berechnet aus der Länge und der Größe des tatsächlich verwendeten Zeichenvorrats, nicht eine Schätzung aus der fertigen Zeichenkette.

Der Zufall stammt aus crypto.getRandomValues, der Browser-Schnittstelle zur kryptografischen Zufallsquelle des Betriebssystems. Jedes Zeichen wird per Verwerfungsmethode gezogen: ein Zufallsbyte modulo Alphabetgröße würde die ersten Zeichen unbemerkt bevorzugen und weniger Entropie liefern als angezeigt.

Gegen einen schnellen Offline-Angriff mit rund 10 Milliarden Versuchen pro Sekunde fallen 45 Bit in Stunden, 60 Bit dauern Jahre und 80 Bit liegen außerhalb heutiger Hardware. Ein Passwort mit 20 Zeichen aus allen vier Zeichenarten erreicht etwa 130 Bit.

Eine Wortfolge kommt auf anderem Weg dorthin. Jedes Wort stammt aus einer Liste mit 256 Einträgen und trägt daher genau 8 Bit bei. Fünf Wörter plus zweistellige Zahl ergeben rund 47 Bit, acht Wörter rund 71 Bit. Das braucht mehr Zeichen, ist aber viel leichter vorzulesen und nachzutippen.

Ein erzeugtes Passwort nützt nur, wenn Sie es sich nicht merken müssen. Legen Sie es in einem Passwortmanager ab und lassen Sie ihn es eintragen; merken müssen Sie sich nur das Master-Passwort, wofür sich der Wortmodus anbietet. Verwenden Sie nie dasselbe Passwort mehrfach: ein Leck bei einem Dienst wird sonst zum Einbruch bei allen anderen. Aktivieren Sie überall die Zwei-Faktor-Authentifizierung.

Das Passwort entsteht in Ihrem Browser und wird direkt auf der Seite ausgegeben. Es geht an keinen Server, wird nicht im Browser-Speicher abgelegt und taucht in keinem Analyse-Ereignis auf. Deshalb kann diese Seite auch kein früheres Passwort wiederherstellen: es wurde nie gespeichert.