Passwort-Generator
Läuft auf Ihrem Gerät. Nichts wird gesendet.Alles geschieht auf Ihrem eigenen Gerät. Nichts, was Sie erzeugen, wird an einen Server gesendet.
Stärke
Sehr stark103.4 Bit EntropieGeschätzte Knackzeit: 205 Mrd. Jahrhunderte
Erzeugen Sie starke zufällige Passwörter und merkbare Passphrasen mit einer Live-Entropie- und Knackzeit-Schätzung, komplett im Browser.
Die tatsächliche Stärke eines Passworts ergibt sich aus seiner Entropie - wie viele mögliche Passwörter ein Angreifer ausprobieren müsste, bevor er Ihres errät - was sowohl von der Länge als auch davon abhängt, wie viele verschiedene Zeichen an jeder Position vorkommen könnten. Dieses Werkzeug erzeugt kryptografisch zufällige Passwörter (über die Web Crypto API, nicht Math.random()) oder wortbasierte Passphrasen und zeigt die tatsächliche Entropie sowie eine grobe Knackzeit-Schätzung für alles, was Sie erzeugen, sodass die Kompromisse sichtbar sind statt sich hinter einer vagen Angabe wie „stark“ oder „schwach“ zu verstecken. Nichts wird auf einem Server erzeugt oder an einen Server gesendet.
Häufig gestellte Fragen
Soll ich ein zufälliges Passwort oder eine Passphrase verwenden?
Beides ist legitim, und die NIST-Richtlinien zur digitalen Identität von 2024 bevorzugen ausdrücklich Länge gegenüber erzwungenen Komplexitätsregeln. Ein zufälliges Passwort bündelt mehr Entropie pro Zeichen, ideal, wenn ein Passwort-Manager es sich für Sie merkt. Eine Passphrase - mehrere aneinandergereihte zufällige Wörter - tauscht etwas Entropie pro Zeichen gegen etwas, das sich ein Mensch tatsächlich merken und eintippen kann, was für Master-Passwörter oder alles, was Sie auswendig eingeben, wichtig ist.
Was bedeuten Bit Entropie eigentlich?
Jedes zusätzliche Entropie-Bit verdoppelt die Anzahl der Versuche, die ein Angreifer bräuchte, um jede Möglichkeit durchzuprobieren. Ein Passwort mit 40 Bit Entropie hat etwa eine Billion mögliche Kombinationen; eines mit 80 Bit etwa eine Billion mal eine Billion. Sicherheitsrichtlinien betrachten 80+ Bit im Allgemeinen als hervorragend für alles, was nicht durch Ratenbegrenzung oder Sperren geschützt werden kann, wie einen Verschlüsselungsschlüssel oder das Master-Passwort eines Passwort-Managers.
Wie wird die Knackzeit-Schätzung berechnet?
Sie geht von einem Angreifer mit Offline-Zugriff auf einen Passwort-Hash aus, der etwa 10 Milliarden Versuche pro Sekunde unternimmt - grob die Leistung eines modernen GPU-Clusters. Sie soll die Größenordnung vermitteln, keine präzise Prognose: Die tatsächliche Knackzeit hängt stark vom Hashing-Algorithmus des Zielsystems ab, den dieses Werkzeug unmöglich kennen kann.
Warum werden verwechselbare Zeichen wie l, 1, I, O und 0 ausgeschlossen?
Sie lassen sich leicht verwechseln, wenn sie vorgelesen, handschriftlich notiert oder in bestimmten Schriftarten angezeigt werden. Sie auszuschließen tauscht etwas Entropie gegen ein Passwort, das sich fehlerfreier von einem Bildschirm oder Papier abtippen lässt - nützlich für Passwörter, die Sie manuell statt aus einem Manager eingeben müssen.
Könnte der Zufallsgenerator bestimmte Zeichen gegenüber anderen bevorzugen?
Nein - er verwendet Rejection Sampling auf Basis von crypto.getRandomValues() statt einer einfachen Modulo-Operation. Würde man ein zufälliges Byte nehmen und byte % poolGröße rechnen, hätten Zeichen am Anfang des Pools eine minimal höhere Chance, sobald die Poolgröße 256 nicht gleichmäßig teilt - deshalb verwirft der Generator stattdessen jeden außerhalb des Bereichs liegenden Wert und zieht erneut, bis das Ergebnis in einen gleichmäßig teilbaren Bereich fällt. Das Resultat: Jedes Zeichen hat exakt dieselbe Wahrscheinlichkeit, ausgewählt zu werden, egal wie viele Zeichentypen Sie aktivieren.
Warum enthält ein zufälliges Passwort immer mindestens ein Zeichen aus jedem von mir aktivierten Zeichentyp?
Nachdem der Zeichenpool erstellt wurde, legt der Generator ein Zeichen aus jeder von Ihnen aktivierten Kategorie - Großbuchstaben, Kleinbuchstaben, Zahlen, Symbole - beiseite, bevor er den Rest der Länge aus dem vollständigen Pool auffüllt, und mischt dann alles in eine zufällige Reihenfolge. Das garantiert, dass Ihr Passwort nicht versehentlich nur aus Buchstaben ohne Ziffer besteht - wichtig, weil viele Websites ein Passwort ablehnen, dem ein erforderlicher Zeichentyp fehlt, selbst wenn der Pool einen enthielt. Der Misch-Schritt nutzt dieselbe unverzerrte Zufallsauswahl, sodass die garantierten Zeichen nicht an vorhersehbaren Positionen landen.