Passwort-Generator mit Entropie-Stärkeanzeige

Sicherer Passwort-Generator

Dieser Passwort-Generator erstellt zufällige Passwörter in Ihrem Browser mit der kryptografischen Zufallsquelle, die Browser Webseiten zur Verfügung stellen. Sie legen die Länge fest und wählen, welche Zeichentypen enthalten sein sollen, und jedes Ergebnis erhält eine auf Entropie basierende Stärkeschätzung. Nichts, was Sie erzeugen, wird irgendwohin gesendet.

So werden Passwörter erzeugt

Sie wählen eine Länge von 8 bis 64 Zeichen und schalten vier Zeichensätze ein oder aus: Großbuchstaben (A-Z), Kleinbuchstaben (a-z), Ziffern (0-9) und Symbole. Der Generator liest Zufallswerte aus window.crypto.getRandomValues und stellt mindestens ein Zeichen aus jedem aktivierten Satz sicher. Zwei Voreinstellungen setzen sinnvolle Standardwerte: Standard nutzt 20 Zeichen mit Buchstaben und Ziffern, und Militär nutzt 32 Zeichen samt Symbolen.

So funktioniert die Stärkeanzeige

Die Stärke wird als Shannon-Entropie angegeben: die Länge multipliziert mit dem Zweierlogarithmus der Poolgröße. Der Pool ist die Anzahl der Zeichen, die das Passwort enthalten kann, daher erhöhen mehr Zeichensätze und größere Länge die Entropie. Die Anzeige übersetzt die Zahl in eine Knackzeit: Sofort, Jahre oder Jahrhunderte.

Entropie (Bit) = Länge × log2(Poolgröße)
Poolgröße = Großbuchstaben 26 + Kleinbuchstaben 26 + Ziffern 10 + Symbole 30

Rechenbeispiel

Ein Passwort mit 26 Zeichen aus Groß-, Kleinbuchstaben und Ziffern schöpft aus einem Pool von 62 Zeichen, also 26 × log2(62), rund 155 Bit Entropie. Wechseln Sie zur Voreinstellung Militär mit 32 Zeichen und Symbolen, wächst der Pool auf 92 Zeichen und die Entropie steigt auf etwa 209 Bit.

Wogegen es nicht schützt

Ein starkes Passwort ist nur eine Schicht der Kontosicherheit. Dieses Werkzeug speichert oder verwaltet keine Passwörter, kann Phishing, Keylogger oder einen Einbruch beim Dienst, wo Sie das Passwort nutzen, nicht verhindern und hilft nicht, wenn Sie dasselbe Passwort auf mehreren Seiten wiederverwenden. Die Knackzeit-Angabe zeigt nur den Widerstand gegen reines Durchprobieren und setzt einen Angreifer voraus, der die verwendeten Zeichensätze bereits kennt.