acento.io
Text-Werkzeug

Passwort-Generator

Kryptografisch sichere, zufällige Passwörter — 100% im Browser generiert, ohne dass ein einziges Zeichen deinen Rechner verlässt.

Von Carlos Suárez , Systeminformatiker
Zuletzt aktualisiert:

Was dieser Passwort-Generator macht

Dieser Passwort-Generator für diese deutschsprachige Version von acento.io erzeugt kryptografisch zufällige Passwörter mithilfe der Web Crypto API W3C Recommendation — dem vom W3C standardisierten Zugang zu crypto.getRandomValues() im Browser. Anders als viele Online-Generatoren schickt dieses Tool deine Konfiguration nie an einen Server: 100% im Browser — deine Daten verlassen nie dein Gerät. Keine Uploads, kein Tracking, keine Server-Logs. Wer starke Passwörter braucht — ob für einen SSH-Schlüssel auf einem Hamburger Produktionsserver oder für den Master-Zugang zum Passwort-Manager — bekommt hier ein Werkzeug, das Entropie in Bit anzeigt, statt nur vage „Stark / Schwach“ zu raten. Das Tool verwendet Rejection Sampling, um Modulo-Bias bei Zeichensätzen zu vermeiden, die keine Zweierpotenz haben — ein Fehler, der in vielen naiven Implementierungen vorkommt.

Funktionen

  • Web Crypto API. Verwendet crypto.getRandomValues() mit Rejection Sampling — kein Math.random(), das für Sicherheitsanwendungen ungeeignet ist, weil es deterministisch und vorhersehbar ist.
  • Entropie-Anzeige in Bit. Statt eines vagen Balkens siehst du die tatsächliche Entropie in Bit. 80+ Bit gelten für die meisten Zwecke als sicher; 128+ Bit empfehlen sich für langlebige Schlüssel.
  • Konfigurierbare Zeichensätze. Klein- und Großbuchstaben, Ziffern und Sonderzeichen lassen sich einzeln aktivieren oder deaktivieren. Die Länge ist zwischen 8 und 128 Zeichen frei wählbar.
  • Mehrdeutige Zeichen ausschließen. Paare wie 0/O oder 1/l/I können ausgeschlossen werden, um Tippfehler bei der manuellen Eingabe zu vermeiden. Der Entropieverlust beträgt dabei nur ca. 5–10 Bit — leicht durch mehr Länge ausgeglichen.
  • Keine Wiederholungen. Der Modus „Aufeinanderfolgende Wiederholungen vermeiden“ verhindert Folgen wie „aaa“ oder „111“, die Wörterbuchangriffe begünstigen können.
  • Vollständig client-seitig. Kein Request verlässt den Browser. Server-Logs können dein Passwort nicht enthalten — weil es keinen Server gibt. Funktioniert auch komplett offline.

So benutzt du den Passwort-Generator

Drei Schritte reichen für ein sicheres, zufälliges Passwort — direkt im Browser, ohne Installation.

  1. Länge und Zeichensätze wählen. Stelle die gewünschte Passwortlänge ein und aktiviere die benötigten Zeichensätze. Für Master-Passwörter empfehlen sich mindestens 20 Zeichen.
  2. Passwort generieren. Klicke auf „Passwort generieren“. Die Entropie-Anzeige in Bit aktualisiert sich sofort — so siehst du, wie viel Sicherheit du tatsächlich bekommst.
  3. Kopieren und speichern. Kopiere das Passwort per Klick in die Zwischenablage und speichere es direkt in deinem Passwort-Manager. Auf der Kommandozeile kannst du alternativ openssl rand -base64 12 verwenden.
  4. Für Entwickler: eigene Implementierung. Willst du dasselbe Prinzip in JavaScript umsetzen: Array.from(crypto.getRandomValues(new Uint8Array(16)), b => b.toString(16).padStart(2,'0')).join('') erzeugt einen sicheren 32-stelligen Hex-Token.

Häufige Anwendungsfälle

  • Master-Passwort für den Passwort-Manager. Das einzige Passwort, das du dir merken musst, sollte besonders stark sein. Empfohlen: 20+ Zeichen, alle Zeichensätze aktiv, Entropie über 100 Bit.
  • SSH-Passphrasen und Disk-Encryption. Für Server in Köln, Zürich oder anderswo: SSH-Keys und Festplattenverschlüsselung brauchen Passphrasen, die Brute-Force-Angriffe über Jahrzehnte standhalten.
  • API-Tokens und Webhook-Secrets. Wenn ein Dienst keinen eigenen Token generiert, brauchst du einen sicheren Zufallswert. Dieses Tool liefert ihn — ohne dass er durch einen fremden Server geht. Wenn du außerdem Platzhaltertext für Testformulare brauchst, hilft der [Lorem-Ipsum-Generator](/de/lorem-ipsum-generator/).
  • Wegwerf-Passwörter für Testaccounts. Forum-Registrierungen, Staging-Umgebungen oder einmalige Demo-Zugänge: schnell ein zufälliges Passwort erstellen, einmal verwenden, verwerfen.
  • Teamweite Secrets in CI/CD-Pipelines. Generiere starke Zufallswerte für Umgebungsvariablen wie DATABASE_PASSWORD oder JWT_SECRET, bevor du sie in deinem Secret-Manager hinterlegst.

Häufig gestellte Fragen

Verlässt mein Passwort den Browser?

Nein. Die gesamte Generierung läuft über die Web Crypto API lokal in deinem Browser. Es gibt keinen Server, keinen API-Aufruf und keine Logs — das generierte Passwort ist ausschließlich dir bekannt.

Warum ist Math.random() für Passwörter ungeeignet?

Math.random() ist ein Pseudo-Zufallsgenerator, dessen Ausgabe bei bekanntem Seed vorhersagbar ist. Für Sicherheitsanwendungen ist ausschließlich crypto.getRandomValues() geeignet, wie es die Web Crypto API vorschreibt.

Was bedeutet Entropie in Bit?

Entropie misst, wie schwer ein Passwort zu erraten ist. 80 Bit bedeuten 2⁸⁰ mögliche Kombinationen — selbst mit spezialisierter Hardware ein unrealistischer Aufwand. NIST 800-63B empfiehlt, Länge über Komplexitätsregeln zu stellen.

Warum sollte ich keine erzwungenen Komplexitätsregeln verwenden?

Regeln wie „muss ein Sonderzeichen enthalten“ reduzieren den Suchraum, weil Angreifer sie kennen und als Filterkriterium nutzen. Längere Passwörter ohne starre Regeln bieten statistisch mehr Entropie — das zeigt auch die Empfehlung in NIST 800-63B.

Wie sicher ist ein 16-Zeichen-Passwort mit allen Zeichensätzen?

Bei 94 möglichen Zeichen und 16 Stellen ergibt sich eine Entropie von etwa 105 Bit — für praktisch alle aktuellen Angriffsszenarien ausreichend sicher. Die Entropie-Anzeige im Tool berechnet das für dich in Echtzeit.

Kann ich das Tool auch offline nutzen?

Ja. Da keine Serveranfragen nötig sind, funktioniert der Generator vollständig offline — zum Beispiel auf einem Air-Gap-Rechner oder im Flugzeug ohne WLAN.