Passwort-Generator
Erzeugen Sie starke Zufallspasswörter mit der Krypto-API des Browsers. Länge, Zeichensätze, Ausschluss ähnlicher Zeichen, Garantie je Zeichentyp und Entropie
Erzeugen Sie Zufallspasswörter mit der Krypto-API des Browsers statt mit Math.random, damit die Ausgabe für echte Konten taugt. Wählen Sie die Länge, die einzubeziehenden Zeichensätze, ob ähnlich aussehende Zeichen wie l, 1, I und O ausgeschlossen werden und ob mindestens ein Zeichen jedes gewählten Typs garantiert wird.
Der Entropiewert in Bit sagt Ihnen, wie viel Raten das Passwort widersteht: Unter 60 Bit ist es gegen einen entschlossenen Angreifer schwach, 80 Bit sind solide für ein normales Konto, und 100 Bit oder mehr möchten Sie für ein Master-Passwort oder einen API-Schlüssel. Die lokale Erzeugung bedeutet, dass das Passwort nie über das Netzwerk wandert – und genau darum geht es.
So erzeugen Sie ein starkes Passwort
Wählen Sie die Länge und die Zeichensätze
Legen Sie die Optionen für ähnliche Zeichen und die Garantie fest
Kopieren Sie das Passwort und prüfen Sie die Entropie
Häufige Fragen
Wie lang sollte ein Passwort sein?
Sechzehn Zeichen aus gemischten Zeichensätzen sind ein guter Standard für alles Wichtige. Die Länge bringt mehr Stärke als exotische Zeichen, bevorzugen Sie also 20 Zeichen gegenüber 12 Zeichen mit Sonderzeichen, wenn Sie die Wahl haben.
Was bedeutet der Entropiewert?
Er ist die Anzahl der Bit an Zufälligkeit im erzeugten Passwort, berechnet aus der Länge und der Größe des Zeichenvorrats. Jedes zusätzliche Bit verdoppelt den Aufwand, der zum Erraten nötig ist.
Warum ähnlich aussehende Zeichen ausschließen?
Zeichen wie l, 1, I, O und 0 sind leicht zu verwechseln, wenn Sie ein Passwort von einem Bildschirm ablesen und auf einem Smartphone oder in ein Gerät eintippen müssen. Ohne sie ist die manuelle Eingabe deutlich weniger fehleranfällig.
Ist die Nutzung sicher?
Die Werte stammen aus crypto.getRandomValues, der kryptografischen Zufallsquelle des Browsers, die für Passwörter die richtige Wahl ist. Die Erzeugung findet lokal statt, und nichts wird übertragen.
Sollte ich ein Passwort erzeugen und mehrfach verwenden?
Nein. Verwenden Sie pro Dienst ein eigenes Passwort und bewahren Sie alle in einem Passwort-Manager auf – ein mehrfach verwendetes Passwort bedeutet, dass ein einziger Datenabfluss jedes Konto gefährdet, das es nutzt.
Werden erzeugte Passwörter irgendwo gespeichert?
Nein. Nichts wird gespeichert, protokolliert oder gesendet; wenn Sie die Seite schließen, ist das Passwort weg, sofern Sie es nicht kopiert haben.
Auf einen Blick
| Eingabe | Text |
|---|---|
| Mehrere Dateien | Nein |
| Läuft wo | In Ihrem Browser – Dateien werden nie hochgeladen |
| Funktioniert offline | Ja — sobald die Seite geladen ist |
| Preis | Kostenlos, keine Anmeldung, kein Wasserzeichen |
Geheimnisse sicher behandeln
Entwicklerwerkzeuge verarbeiten öfter Zugangsdaten, als den Leuten bewusst ist, und das Risiko liegt nicht im Algorithmus, sondern darin, wohin die Daten gehen. Hashing ist einweg und keine Verschlüsselung – MD5 und SHA-1 sind für alles Sicherheitsrelevante gebrochen, und selbst SHA-256 ist das falsche Werkzeug zum Speichern von Passwörtern, wofür bcrypt, scrypt oder Argon2 genau deshalb existieren, weil sie langsam sind. Base64 ist eine Kodierung, kein Schutz: Jeder kann sie dekodieren, behandeln Sie sie also nie als Verschleierung. Ein JWT kann von jedem gelesen werden, der es besitzt, weshalb die Nutzlast niemals Geheimnisse enthalten darf, und das Dekodieren eines Tokens prüft nicht seine Signatur – die Prüfung erfordert den Schlüssel. Alles auf dieser Seite läuft lokal in Ihrem Browser, und genau deshalb kann sie überhaupt sicher mit Tokens und Passwörtern umgehen.
Wo Konvertierungen stillschweigend kaputtgehen
Die meisten Konvertierungsfehler drehen sich nicht um Syntax, sondern um Bedeutung. Eine CSV-Spalte mit Postleitzahlen verliert ihre führenden Nullen in dem Moment, in dem eine Tabellenkalkulation sie für eine Zahl hält; eine lange ID überschreitet die Gleitkommapräzision; Datumsangaben ändern ihre Bedeutung, je nachdem, ob der Tag oder der Monat zuerst kommt. JSON-Schlüssel sind ungeordnet, Arrays aber nicht, und ein Werkzeug, das Schlüssel sortiert, ändert nichts, während eines, das Arrays sortiert, die Daten verändert. Unicode ist eine weitere Falle: Text kann als UTF-8, als UTF-16 oder mit BOM ankommen, und ein Decoder, der falsch rät, macht aus akzentuierten Zeichen Mojibake. Bevor Sie einer Konvertierung trauen, prüfen Sie stichprobenartig die erste und letzte Zeile, jedes Feld mit führenden Nullen und jedes Feld mit Anführungszeichen, Kommas oder Zeilenumbrüchen.