Passwort-Generator

Dieses Tool baut zufällige Passwörter aus Zeichenklassen, die du auswählst: Kleinbuchstaben, Großbuchstaben, Ziffern und Sonderzeichen. Lege eine Länge fest, wähle die gewünschten Klassen aus und schließe optional verwechselbare Zeichen wie 0, O, 1, l und I aus, die auf einem Bildschirm oder einer ausgedruckten Karte leicht falsch gelesen werden. Erzeuge ein Passwort oder gleich hundert auf einmal.

Wie zufällig sind die Passwörter?

Jedes Zeichen wird mit crypto.getRandomValues() aus der Web Crypto API gewählt, derselben Quelle, die Browser auch für kryptografische Schlüssel nutzen, nicht mit Math.random(), das nicht auf Unvorhersehbarkeit ausgelegt ist. Ein zufälliges Zeichen aus einem Pool zu ziehen, dessen Größe keine Zweierpotenz ist, ist trickreicher als es klingt: nimmt man naiv ein Zufallsbyte modulo der Poolgröße, werden manche Zeichen bevorzugt. Dieses Tool umgeht das mit Rejection Sampling: Es zieht Zufallsbytes und verwirft jeden Wert, der außerhalb eines glatten Vielfachen der Poolgröße liegen würde, sodass am Ende jedes Zeichen im Pool gleich wahrscheinlich ist. Anschließend werden die Zeichen mit einem Fisher-Yates-Shuffle gemischt, angetrieben von derselben Zufallsquelle, nachdem zuerst mindestens ein Zeichen aus jeder gewählten Klasse garantiert wurde. So fehlt einem Passwort mit allen vier aktivierten Klassen nie aus Zufall ein Sonderzeichen. Die Entropie-Anzeige zeigt, wie viele Bit an Zufälligkeit ein Passwort hat, berechnet als Länge mal log2 der Poolgröße, und dient als schneller Vergleich verschiedener Einstellungen vor dem Erzeugen.

Wird mein Passwort irgendwohin gesendet?

Nein. Die Passwörter entstehen vollständig im Browser mit der Web Crypto API, und weder das Ergebnis noch die gewählten Einstellungen noch das Passwort selbst werden an einen Server gesendet, protokolliert oder irgendwo gespeichert. Das macht das Tool auch für echte Kontopasswörter sicher, nicht nur für Testdaten: Ein Tool, das Passwörter serverseitig erzeugt, würde Vertrauen darauf verlangen, dass es sie niemals aufzeichnet, dieses Tool umgeht die Frage, indem es gar nicht erst mit einem Server spricht.

Wofür ist das Tool nützlich?

Typische Einsatzzwecke sind neue Kontoanmeldungen, Datenbank- oder Dienst-Zugangsdaten, API-Schlüssel und geteilte Geheimnisse oder ein Stapel von Wegwerfpasswörtern für Testkonten. Schaltest du alle Klassen bis auf eine ab oder wählst eine Länge, die kürzer ist als die Anzahl der ausgewählten Klassen, meldet dir das Tool das, statt stillschweigend ein schwächeres Passwort zu erzeugen als gewünscht.

Aktuelle Empfehlungen zu Passwörtern gibt NIST SP 800-63B, und wie die zugrunde liegende Zufälligkeit erzeugt wird, erklärt die MDN-Referenz zu Crypto.getRandomValues().