Starke Passwörter und Tokens generieren

Ein Passwort, das du dir merken kannst, ist meistens eines, das jemand erraten kann — und ein Passwort, das du auf mehreren Seiten wiederverwendest, ist eine Sicherheitslücke, die nur darauf wartet, ausgenutzt zu werden. Die Lösung: einen Generator lange, zufällige Geheimnisse für dich erzeugen zu lassen und sie in einem Passwort-Manager abzulegen, damit du sie dir nicht merken musst. Der Passwort- und Token-Generator erstellt Passwörter, Passphrasen und Hex-Tokens lokal mit Web Crypto, sodass der Wert auf deinem Gerät entsteht und nie einen Server berührt.

TL;DR

Du kannst starke, zufällige Geheimnisse erzeugen, ohne sie irgendeiner Website anzuvertrauen.

• Drei Modi in einem Werkzeug — Passwörter, merkbare Passphrasen und Hex-Tokens für API-Schlüssel.
• Nichts wird hochgeladen — die Generierung läuft komplett in deinem Browser über die Web-Crypto-API.
• Stärke sichtbar gemacht — jeder Wert erhält eine entropiebasierte Starke-Anzeige (Schwach / Gut / Stark).

Was ein Passwort stark macht

Stärke entsteht aus zwei zusammenwirkenden Faktoren: Länge und Vorhersagbarkeit. Von beiden ist die Länge deutlich wichtiger als das Einstreuen von Symbolen.

• Die Länge ist der bestimmende Faktor. Jedes zusätzliche Zeichen vervielfacht die Möglichkeiten, die ein Angreifer durchsuchen muss. Ein 16 Zeichen langes Zufallspasswort ist astronomisch schwerer zu knacken als ein clever gewähltes mit 8 Zeichen. Die NIST-Leitlinie strebt längere Geheimnisse an; 15 und mehr Zeichen sind eine sinnvolle Untergrenze für wichtige Konten.
• Zufall schlägt menschliche Wahl. Leute “ergänzen eine Zahl und ein Symbol” an vorhersagbaren Stellen (Password1!), was Angreifer kennen. Echter Zufall — jedes Zeichen unabhängig gezogen — macht einen Wert schwer ratbar.
• Entropie misst das. Entropie, in Bit, ist grob log2(Zeichensatzgröße) × Länge. Das Werkzeug berechnet sie für dich und ordnet sie Schwach / Gut / Stark zu. Mehr Zeichen und ein größerer Zeichensatz heben die Entropie.

Die Faustregel: mach es lang, mach es zufällig, mach es pro Seite einzigartig und lass einen Manager sich erinnern.

Passwort vs Passphrase vs Token

Der Generator bietet drei Modi, und jeder passt zu einer anderen Aufgabe:

• Passwort — eine Kette zufälliger Zeichen (Kleinbuchstaben, Großbuchstaben, Zahlen, Symbole). Am besten, wenn eine Maschine es für dich speichert. Lang und dicht bedeutet stark; der Nachteil ist, dass es sich nicht tippen lässt, was in Ordnung ist, weil du es einfügst.
• Passphrase — mehrere zufällige Wörter, verbunden durch einen Trenner (Standard -, z. B. canyon-ember-river-quartz). Vier oder mehr zufällige Wörter sind sowohl merkbar als auch stark, denn die Wortliste ist groß und jedes Wort bringt deutliche Entropie. Das ist die beste Wahl für ein Master-Passwort oder alles, was du tippen und behalten musst.
• Token — eine Hexadezimal-Zeichenkette in Kleinbuchstaben (die Zeichen 0-9 und a-f). Tokens sind für Geheimnisse zwischen Maschinen: API-Schlüssel, Client-Secrets, Sitzungs-IDs. Sie sind nicht zum Tippen durch Menschen gedacht, sondern zum Kopieren in eine Konfigurationsdatei.

Wähle Passwort für alltagliche Konten, Passphrase für etwas, das du im Kopf behältst, und Token für programmgesteuerte Anmeldedaten.

Schritt für Schritt: ein Geheimnis erzeugen

Öffne den Passwort- und Token-Generator und folge diesem Ablauf.

1. Wähle einen Modus. Oben wählst du Passwort, Token oder Passphrase. Die Bedienelemente darunter passen sich an.
2. Lege die Form fest.
   • Im Modus Passwort ziehst du den Regler Lange (4-128, Standard 16) und schaltest die Zeichensätze um — Kleinbuchstaben, Grossbuchstaben, Zahlen, Symbole und Mehrdeutige Zeichen ausschliessen (was Ähnlichkeiten wie 0/O und 1/l aussortiert).
   • Im Modus Token legst du die Lange fest (4-128, Standard 32). Tokens sind immer Hex in Kleinbuchstaben; es gibt keine Zeichensatz- oder Formatoptionen.
   • Im Modus Passphrase legst du Worter fest (3-12, Standard 4) und tippst einen Trenner ein (bis 4 Zeichen, Standard -).
3. Lege die Anzahl fest (1-50), falls du mehrere Werte gleichzeitig willst.
4. Drücke Erzeugen. Die Ergebnisse erscheinen in einer Liste. Jeder Wert trägt eine Starke-Kennzeichnung — Schwach, Gut oder Stark — je nach Entropie.
5. Kopiere, was du brauchst. Nutze Kopieren pro Zeile für einen Wert, Neu erzeugen für eine einzelne Zeile, Alle kopieren für alles oder Leeren zum Neustart.

Wenn deinem Browser Web Crypto fehlt (selten, aber in unsicheren Kontexten möglich), deaktiviert das Werkzeug die Generierung mit einem Hinweis, anstatt auf eine schwache Zufallsquelle zurückzufallen.

Warum lokale Generierung wichtig ist

Ein Passwort “online” zu erzeugen bedeutet meistens, dass der Server der Website es erzeugt und dir zurückschickt — was heißt, dass der Server es gesehen hat. Selbst redliche Seiten protokollieren Anfragen; kompromittierte oder bösartige können jeden erzeugten Wert aufzeichnen. Diese Kopie, irgendwo in einem Log, hebt den Sinn eines starken Passworts auf.

Die Web-Crypto-API (crypto.getRandomValues) kehrt das um: der Zufall entsteht in deinem Browser und der fertige Wert wandert direkt in deine Zwischenablage. Es gibt keine Anfrage, die das Geheimnis transportiert, keinen Server, der es jemals sieht, und keinen Log-Eintrag, der lecken kann. Für etwas, dem du ein Konto anvertraust, ist genau das die Eigenschaft, die du willst.

Grenzen und Ehrlichkeit

Einige Beschränkungen, die du kennen solltest, damit das Werkzeug ist, was du erwartest:

• Der Token-Modus ist nur Hex. Tokens sind immer Hexadezimal in Kleinbuchstaben (0123456789abcdef). Es gibt keine Optionen für Großbuchstaben, Klammern oder Bindestrich-Format; wenn du ein anderes Format brauchst, wandle das Hex nach dem Kopieren um.
• Passphrase-Wörter stammen aus einer festen Liste. Die 24-Wort-Liste ist absichtlich kurz (merkbare Wörter), sodass die Entropie der Passphrase vor allem aus der Anzahl kommt, nicht aus einem riesigen Wortschatz. Nutze 4+ Wörter für etwas Sensibles.
• Begrenzte Bereiche. Die Anzahl reicht bis 50 pro Durchlauf, und die Passwort-/Token-Länge geht von 4 bis 128. Das deckt realistische Fälle ab; das Werkzeug ist keine Massen-Geheimnis-Pipeline.

FAQ

Ist es sicher, Passwörter online zu generieren?

Es hängt völlig davon ab, wo die Generierung stattfindet. Wenn ein Server das Passwort erzeugt und zurückschickt, hat dieser Server dein Geheimnis gesehen und du vertraust darauf, dass er es nicht protokolliert oder leakt. Dieses Werkzeug generiert lokal in deinem Browser mit Web Crypto, sodass der Wert auf deinem Gerät entsteht und nie übertragen wird. Für Anmeldedaten ist lokale Generierung der sichere Standard.

Sollte ich eine Passphrase oder ein Passwort verwenden?

Nutze eine Passphrase, wenn du sie dir merken und selbst tippen musst — ein Master-Passwort, eine Passphrase für die Festplattenverschlüsselung, einen Gerätelogin. Vier oder mehr zufällige Wörter sind merkbar und stark. Nutze ein Passwort (dichte, zufällige Zeichen), wenn ein Manager es speichert und du es nur einfügst, da es die Entropie pro Zeichen maximiert, aber unmöglich zu merken ist.

Was ist ein Token im Vergleich zu einem Passwort?

Ein Token ist hier eine Hex-Zeichenkette in Kleinbuchstaben für Maschinen — ein API-Schlüssel, ein Client-Secret, eine Sitzungs-ID, die du in eine Konfigurationsdatei einfügst. Ein Passwort ist eine Zeichenkette aus gemischten Zeichen, (ursprünglich) für die Anmeldung von Menschen gedacht. Tokens sind gleichmäßiges Hex gerade weil man sie weder tippen noch merken muss, sondern nur kopiert.

Wie stark ist stark genug?

Für wichtige Konten ziele auf die Bandbreite Stark — rund 80 Bit Entropie, die ein 16-Zeichen-Passwort mit vollem Zeichensatz oder eine Passphrase aus 5 bis 6 Wörtern bequem übersteigt. Für unkritische Logins ist Gut akzeptabel. Vermeide Schwach für alles, was dir wichtig ist; es bedeutet meist, dass der Wert zu kurz oder der Zeichensatz zu schmal ist.