Was ist Entropie und warum ist sie wichtig?

Entropie misst Unvorhersehbarkeit in Bits. Jedes zusätzliche Bit verdoppelt die Anzahl der Vermutungen, die ein Angreifer anstellen muss. Ein Passwort mit 40 Bits Entropie ist schwach; 80 Bits ist für die meisten Zwecke stark; 100+ Bits ist außerhalb der Reichweite jedes praktischen Angreifers. Das Tool berechnet die Entropie als Länge × log2(PoolGröße) — das theoretische Maximum für ein zufällig generiertes Passwort aus diesem Pool.

Wie genau sind die Knackzeit-Schätzungen?

Die Schätzungen nehmen einen Brute-Force-Angriff an, der jedes mögliche Passwort im Pool ausprobiert. Sie sind nützlich, um Passwortstärken zu vergleichen, aber in der Praxis optimistisch — echte Angreifer verwenden Wörterbuchangriffe, Musteranalyse und geleakte Passwortdatenbanken. Da diese Passwörter zufällig ohne Muster generiert werden, ist die Brute-Force-Schätzung genau. Für von Menschen gewählte Passwörter sind die tatsächlichen Knackzeiten oft viel kürzer.

Sollte ich mehrdeutige Zeichen ausschließen?

Aktiviere es, wenn du das Passwort manuell eingeben, vorlesen oder aufschreiben wirst. Es entfernt Zeichen wie 0/O, 1/l/I, 5/S, 2/Z, 8/B, die leicht verwechselt werden. Es reduziert die Poolgröße (und damit die Entropie) leicht, aber der praktische Nutzbarkeitsgewinn überwiegt normalerweise den kleinen Entropieverlust. Für Passwörter, die nur in einem Manager gespeichert werden, lass es aus.

Welche Passwortlänge sollte ich verwenden?

Für Online-Konten (E-Mail, soziale Medien): mindestens 16 Zeichen. Für Konten mit hohem Wert (Banking, Primär-E-Mail, Krypto-Wallets): 20+ Zeichen. Für Master-Passwörter, die andere Passwörter schützen: 24+ Zeichen. Moderne Anleitungen betonen Länge über Komplexität — ein 24-Zeichen-Passwort mit nur Kleinbuchstaben ist stärker als ein 8-Zeichen-Passwort mit allen Symbolen.

Speichert oder überträgt das Tool mein Passwort?

Nein. Das Passwort wird vollständig in deinem Browser mit crypto.getRandomValues() generiert. Es wird niemals an einen Server gesendet, niemals protokolliert und niemals irgendwo persistiert. Wenn du die Seite schließt oder aktualisierst, ist das Passwort weg, es sei denn, du hast es selbst gespeichert.

Sind die Passwörter sicher für echte Konten?

Ja. crypto.getRandomValues() ist ein zertifizierter CSPRNG (kryptografisch sicherer Pseudozufallszahlengenerator), der für die Generierung kryptografischer Schlüssel geeignet ist. Die Passwörter, die dieses Tool erzeugt, sind von wahrhaft zufälligen Zeichenfolgen nicht zu unterscheiden. Speichere sie wie immer in einem vertrauenswürdigen Passwort-Manager und verwende sie niemals über mehrere Konten hinweg wieder.

Warum kann ich nicht alle Zeichensätze deaktivieren?

Mindestens ein Satz muss aktiv sein, um ein Passwort zu erzeugen. Wenn du alle deaktivieren könntest, hätte der Generator keine Zeichen, aus denen er schöpfen könnte. Die UI verhindert dies automatisch — das Klicken auf den letzten aktiven Toggle hat keine Wirkung.

Warum sind Symbole wichtig?

Das Hinzufügen von Symbolen erhöht die Poolgröße von 62 (Buchstaben + Zahlen) auf 94 Zeichen — eine Erhöhung um 52%. In Entropie-Begriffen trägt jedes Zeichen log2(94) ≈ 6,55 Bits bei gegenüber log2(62) ≈ 5,95 Bits. Über 20 Zeichen ist das ein Unterschied von 12 Bits — eine 4.000-fache Erhöhung des Suchraums. Symbole sind es wert, aktiviert zu werden, es sei denn, eine bestimmte Seite verbietet sie.

Ad Slot — Header Banner

CSPRNG · Entropie-Analyse · 100% Privat

Sicherer Passwort-Generator und Entropie-Analysator

Generiere wahrhaft zufällige Passwörter mit der Web Crypto API — dieselben kryptografischen Primitive, die dein Browser für HTTPS verwendet. Passe Länge und Zeichensätze an, schließe optional mehrdeutige Zeichen aus und sieh die Echtzeit-Entropie-Analyse mit geschätzten Knackzeiten. Nichts wird übertragen.

#CSPRNG#Entropie#AES-Qualität#Offline#Privat#Kostenlos

Dein generiertes Passwort

Optionen

Länge20

664128

Enthalten

Mehrdeutige Zeichen ausschließen

Entfernt 0, O, 1, l, I, 5, S, 2, Z, 8, B

Entropie0 Bits

Sehr schwachPool: eindeutige Zeichen

Geschätzte Knackzeit

Durchschnittliche Zeiten (halber Schlüsselraum). Nimmt Brute-Force-Angriff gegen den exakten Zeichenpool an.

Online-Angriff (gedrosselt)

less than a second

Offline-Angriff (schneller Hash)

less than a second

Offline-Angriff (langsamer Hash)

less than a second

Nationalstaat-Cluster

less than a second

Ad Slot — Below the Fold

So generierst du ein sicheres Passwort in 3 Schritten

Kryptografisch zufällig, niemals übertragen.

Länge festlegen

Schiebe zwischen 6 und 128 Zeichen. Für Online-Konten werden 16+ empfohlen; für Master-Passwörter 20+ mit allen Zeichensätzen. Länger ist immer stärker — ein 20-Zeichen-Passwort ist enorm sicherer als ein 8-Zeichen-Passwort.

Zeichensätze wählen

Aktiviere Großbuchstaben, Kleinbuchstaben, Zahlen und Symbole. Mindestens ein Satz muss aktiviert bleiben. Aktiviere 'Mehrdeutige ausschließen', wenn du das Passwort von Hand eingeben oder vorlesen willst — es entfernt leicht verwechselbare Zeichen wie 0 und O, 1 und l.

Kopieren und sicher speichern

Klicke auf Kopieren, um das Passwort zu holen. Füge es sofort in einen Passwort-Manager ein — das ist der sicherste Ort. Aktualisieren generiert ein neues Passwort; deine Optionen bleiben. Speichere Passwörter niemals in Klartextdateien.

Häufig Gestellte Fragen

Vollständig kryptografisch zufällig. Der Generator verwendet crypto.getRandomValues() der Web Crypto API, das der CSPRNG des Browsers ist (kryptografisch sicherer Pseudozufallszahlengenerator). Dies ist dieselbe Zufallsquelle, die für HTTPS-Sitzungsschlüssel verwendet wird, und gilt als für kryptografische Anwendungen geeignet.

Über den Sicheren Passwort-Generator

Everything you need to know

Warum browserbasierte Passwort-Generierung sicherer ist

Serverbasierte Passwort-Generatoren übertragen deine gewählten Optionen und erhalten das generierte Passwort über das Netzwerk zurück. Selbst mit HTTPS bedeutet das, dass das Passwort zumindest momentan im Serverspeicher existiert — ein theoretisches Expositionsrisiko. Dieses Tool generiert Passwörter vollständig in deinem Browser mit crypto.getRandomValues(), demselben kryptografischen Primitiv, das die HTTPS-Verbindung deiner Bank schützt. Nichts wird gesendet, nichts wird protokolliert, nichts wird gespeichert.

Passwort-Entropie verstehen

Entropie wird in Bits gemessen und repräsentiert die Anzahl zufälliger Entscheidungen, die ein Angreifer erraten muss. Ein Passwort, das gleichmäßig aus einem Pool von N Zeichen mit Länge L gezogen wird, hat Entropie L × log2(N) Bits. Zum Beispiel hat ein 12-Zeichen-Passwort aus einem 62-Zeichen-Pool (Buchstaben + Zahlen) 12 × 5,95 ≈ 71 Bits Entropie. Die Verdopplung der Länge verdoppelt die Entropie; die Verdopplung der Poolgröße fügt ~1 Bit pro Zeichen hinzu. Deshalb zählt Länge mehr als Komplexität — aber beides hilft.

Wie Knackzeit-Schätzungen funktionieren

Brute-Force-Angriffe probieren jedes mögliche Passwort nacheinander aus, bis sie das richtige finden. Im Durchschnitt haben sie Erfolg nach der Suche der Hälfte des Schlüsselraums. Gegeben die Entropie E eines Passworts (in Bits) und die Rate R eines Angreifers (in Versuchen pro Sekunde), ist die durchschnittliche Knackzeit 2^(E−1) / R Sekunden. Das Tool zeigt vier Angreifermodelle: ein gedrosselter Online-Angreifer (10^3 Versuche/Sek.), ein Nationalstaat-Cluster (10^14 Versuche/Sek.) und zwei Offline-Szenarien von langsamem Hashing (10^4) bis schnellem GPU-beschleunigtem Hashing (10^11). Die Lücke zwischen Online- und Offline-Angreifern beträgt oft 10+ Größenordnungen — weshalb die Sicherheit von Online-Konten viel mehr von der Ratenbegrenzung als von der Passwortstärke allein abhängt.

Best Practices für das Passwort-Management

Verwende ein einzigartiges Passwort für jedes Konto — Wiederverwendung ist das größte Passwortrisiko. Speichere Passwörter in einem renommierten Passwort-Manager (Bitwarden, 1Password, KeePassXC oder der integrierte Manager deines Browsers). Aktiviere Zwei-Faktor-Authentifizierung, wo immer möglich. Teile Passwörter niemals über E-Mail, Chat oder SMS. Rotiere Passwörter sofort, wenn ein von dir genutzter Dienst einen Datenleck meldet. Für Konten mit hohem Wert (Primär-E-Mail, Banking, Krypto) verwende Passwörter mit 24+ Zeichen — die zusätzliche Länge kostet dich nichts, wenn du einen Manager verwendest, und sie erhöht den Suchraum dramatisch.