Passwort-Generator

Starke, zufällige Passwörter, erzeugt mit einem echten CSPRNG — vollständig in deinem Browser.

Passwort-Einstellungen

16
Zeichensätze
Entfernt leicht verwechselbare Zeichen: 0, O, l, 1, I.

Passwort mit 16 Zeichen aus 94 möglichen Zeichen → 104.9 Bit Entropie

Erzeugte Passwörter

Klicke auf „Erzeugen", um ein Passwort zu erstellen. Es wird nichts gespeichert — kopiere, was du behalten willst.

Ein Passwort-Generator mit derselben Zufallsquelle wie dein Betriebssystem

Dieses Tool erzeugt zufällige Passwörter mit crypto.getRandomValues() — dem kryptografisch sicheren Zufallsgenerator der Web Crypto API, derselben Art von Quelle, die dein Betriebssystem für Schlüssel und Tokens verwendet. Es nutzt niemals Math.random(), das schnell, aber nicht darauf ausgelegt ist, Vorhersagen zu widerstehen — für alles Sicherheitsrelevante die falsche Wahl.

Zufällige Bytes auf eine Zeichenmenge abzubilden ist genau die Stelle, an der viele selbstgebaute Passwort-Generatoren unbemerkt danebenliegen: Der naheliegende Trick randomByte % Zeichensatzlänge ist verzerrt, sobald 256 nicht glatt durch diese Länge teilbar ist — was fast immer der Fall ist. Dieses Tool nutzt stattdessen Rejection Sampling: Ein Byte aus dem verzerrten Bereich wird verworfen und neu gezogen, sodass jedes Zeichen im gewählten Zeichensatz exakt gleich wahrscheinlich ist.

Du bestimmst die Länge (8-64), welche Zeichensätze gemischt werden (Kleinbuchstaben, Großbuchstaben, Ziffern, Sonderzeichen) und ob leicht verwechselbare Zeichen (0/O, 1/l/I) ausgeschlossen werden. Sollte ein aktivierter Zeichensatz in einem Passwort komplett fehlen, wird eine Position mit einem Zeichen aus diesem Satz überschrieben — „ein Passwort mit Ziffern und Sonderzeichen erzeugen" liefert also zuverlässig beides.

Warum ein Online-Passwort-Generator genau der falsche Ort für blindes Vertrauen ist

Ein erzeugtes Passwort ist ein Geheimnis, sobald es existiert. Es an einen Server zu senden — und sei es nur kurz, und sei es an einen Dienst, der verspricht, es nicht zu protokollieren — bedeutet, einem Versprechen statt einer Tatsache zu vertrauen. Hier gibt es nichts, dem du vertrauen müsstest:

  • Die Erzeugung läuft vollständig in deinem Browser, mit der darin eingebauten Web Crypto API.
  • Die Seite wird als statische Dateien ausgeliefert und sendet keine Anfrage mit einem erzeugten Passwort — nicht einmal an einen Analytics-Endpunkt.
  • Es wird nichts in localStorage, eine Verlaufsliste oder eine andere Form dauerhafter Speicherung auf dem Gerät geschrieben: Ein Passwort wird einmal angezeigt und existiert nur für diesen Seitenaufruf, bis du es kopierst.
  • Es gibt keine Teilen-Funktion, die ein Passwort in eine URL kodieren könnte.
  • Der Quellcode ist offen und kann von allen eingesehen werden (MIT).
  • Die Seite funktioniert offline — was nur möglich ist, weil nichts das Gerät verlässt.

Wenn du es selbst prüfen willst, öffne beim Erzeugen von Passwörtern das Netzwerk-Panel deines Browsers — keine Anfrage trägt eines. Quellcode ansehen.

So funktioniert es

  1. Länge und Zeichensätze festlegen

    Ziehe den Längen-Regler (8-64 Zeichen) und wähle, welche Zeichensätze enthalten sein sollen: Kleinbuchstaben, Großbuchstaben, Ziffern und Sonderzeichen.

  2. Optional: mehrdeutige Zeichen ausschließen

    Aktiviere „Mehrdeutige Zeichen ausschließen", um leicht verwechselbare Zeichen (0/O, 1/l/I) wegzulassen — praktisch für Passwörter, die getippt oder vorgelesen werden müssen.

  3. Anzahl wählen

    Stelle die Anzahl (bis zu 20) ein, wenn du mehrere Kandidaten auf einmal willst, und klicke auf „Erzeugen".

  4. Das gewünschte kopieren

    Jedes erzeugte Passwort hat seine eigene Kopieren-Schaltfläche. Nach dem Verlassen oder Neuladen der Seite bleibt nichts erhalten — kopiere also das Passwort, das du behalten willst.

Häufige Fragen

Wird ein erzeugtes Passwort irgendwohin gesendet?

Nein. Die Erzeugung läuft vollständig in deinem Browser mit der Web Crypto API. Es gibt keine Serverkomponente, keinen Analytics-Aufruf, der ein Passwort trägt, und keine Teilen-Funktion — ein erzeugtes Passwort verlässt dein Gerät nur, wenn du es selbst kopierst und einfügst.

Warum ist die Zufallsquelle wichtig?

Math.random() ist ein schneller, allgemeiner Pseudozufallsgenerator ohne Garantie, dass sich seine Ausgabe nicht aus wenigen Stichproben vorhersagen lässt — er wurde nie dafür entworfen, einem Angreifer unvorhersehbar zu sein. crypto.getRandomValues() ist ein kryptografisch sicherer Zufallsgenerator, gestützt auf den CSPRNG des Browsers (und letztlich des Betriebssystems) — dieselbe Art von Quelle, die zur Erzeugung von Verschlüsselungsschlüsseln verwendet wird. Das ist die einzig passende Quelle für so etwas wie ein Passwort.

Was ist „Modulo-Bias" und wie vermeidet dieses Tool das?

Bildet man ein zufälliges Byte (0-255) mit byte % Zeichensatzlänge auf einen Zeichensatz ab und ist 256 nicht glatt durch diese Länge teilbar, werden niedrige Werte im Zeichensatz etwas häufiger gewählt als hohe — eine reale, messbare Verzerrung, keine theoretische. Dieses Tool nutzt stattdessen Rejection Sampling: Es berechnet das größte Vielfache der Zeichensatzgröße, das noch unter 256 liegt, und jedes Byte, das bei oder über dieser Schwelle gezogen wird, wird verworfen und neu gezogen, statt mit Modulo reduziert zu werden. Jedes Zeichen, das diesen Prozess übersteht, hat exakt gleiche Wahrscheinlichkeit.

Was bedeutet „garantierte Abdeckung der Zeichenklassen"?

Das gesamte Passwort wird zunächst über die oben beschriebene unverzerrte Zufallsziehung erzeugt. Fehlt danach ein aktivierter Zeichensatz (etwa Sonderzeichen) komplett im Ergebnis — bei kurzen Passwörtern mit mehreren aktivierten Sätzen durchaus wahrscheinlich —, wird eine zufällig gewählte Position mit einem zufälligen Zeichen aus diesem Satz überschrieben, weiterhin über dieselbe kryptografische Quelle gezogen. Deshalb liefert das Aktivieren aller vier Zeichensätze zuverlässig ein Passwort, das alle vier enthält, statt eines gelegentlich zufällig auszulassen.

Warum wird die Entropie in Bit angezeigt statt eines „Stärke"-Meters?

Ein farbiger Stärke-Balken ist eine subjektive, oft irreführende Effekthascherei. Entropie in Bit — Länge × log2(effektive Zeichensatzgröße) — ist eine schlichte, nachprüfbare Zahl: Sie gibt genau an, wie viele gleichverteilt zufällige Versuche (in log2) nötig wären, um den gesamten Raum zu durchsuchen, aus dem dieses Passwort gezogen wurde. Was du mit dieser Zahl machst, liegt bei dir.

Wird ein Verlauf der erzeugten Passwörter gespeichert?

Nein, absichtlich nicht. Es wird nichts in localStorage oder einen anderen Speicher auf dem Gerät geschrieben. Sobald du die Seite verlässt oder neu lädst, ist jedes dort erzeugte Passwort weg, sofern du es nicht kopiert hast — die richtige Voreinstellung für etwas derart Sensibles.

Was sind „mehrdeutige Zeichen" und warum ausschließen?

Manche Zeichen sind leicht zu verwechseln oder falsch zu tippen, besonders in bestimmten Schriftarten oder beim Vorlesen: die Ziffer 0 gegenüber dem Buchstaben O, und die Ziffer 1 gegenüber dem Kleinbuchstaben l und dem Großbuchstaben I. „Mehrdeutige Zeichen ausschließen" entfernt genau diese fünf Zeichen aus dem Pool — zu einem kleinen Preis bei der Zeichensatzgröße (und damit der Entropie bei gleicher Länge).

Funktioniert es offline?

Ja. Das Tool ist eine PWA. Nach dem ersten Besuch wird es zwischengespeichert und funktioniert ohne Netzwerkverbindung — passend für ein Tool, das für seine eigentliche Aufgabe ohnehin nie das Netzwerk brauchte. Du kannst es auch zum Startbildschirm hinzufügen.