Sichere, zufällige Passwörter und Kennwörter erzeugen - Länge und Zeichenarten frei einstellbar, komplett im Browser.
StärkeSchwach
20
So funktioniert das Tool
Ein gutes Passwort ist lang, zufällig und einzigartig pro Account. Unser Generator erzeugt kryptografisch sichere Passwörter via crypto.getRandomValues - kein Math.random, das vorhersehbar wäre. Du wählst Länge (mindestens 12 Zeichen empfohlen, ab 16+ für sensible Accounts), Zeichensets (Groß, Klein, Ziffern, Sonderzeichen) und ob ähnlich aussehende Zeichen wie 0/O oder l/1 ausgeschlossen werden sollen. Das Passwort wird nie zum Server geschickt - die ganze Generierung passiert im Browser, du kopierst es direkt in deinen Passwort-Manager.
Typische Anwendungsfälle
Master-Passwort für den Passwort-Manager
Einmal ein 24-Zeichen-Passwort generieren, das du dir merken oder physisch sicher aufbewahren musst - die einzige Stelle, an der ein Mensch noch tippt.
Service-Account-Credentials
Datenbank-Passwörter, API-Secrets, S3-Bucket-Keys - alles, was nur Maschinen kennen müssen, sollte 32+ Zeichen lang und vollständig zufällig sein.
Initialer Account-Reset
Wenn du einen neuen Nutzer in einem System anlegst, generierst du das initiale Passwort hier - es muss eh beim ersten Login geändert werden.
WLAN-Passwort für Gäste-Netze
16 Zeichen ohne Sonderzeichen, gut tippbar auf Smartphones, aber nicht erratbar - perfekte Mischung für ein Gäste-WLAN-Passwort.
FAQ
Häufige Fragen
Ja. Wir nutzen window.crypto.getRandomValues, was die OS-CSPRNG des Browsers anzapft - die gleiche Quelle, die auch Browser-TLS-Sessions, OAuth-Tokens und Web-Crypto-Schlüssel speist. Math.random wäre vorhersagbar und damit unsicher; das nutzen wir bewusst nicht.
Entropie ist das Maß für Unvorhersagbarkeit in Bits. 60 Bit Entropie gilt als Mindestmaß gegen Online-Angriffe, 80 Bit gegen Offline-Brute-Force, 128 Bit als langfristig sicher. Ein 16-stelliges Passwort aus dem vollen ASCII-Set (~95 Zeichen) hat ~105 Bit Entropie - sicher.
0 vs O, l vs 1 vs I, 5 vs S - in handgeschriebenen oder ausgedruckten Passwörtern (z. B. WLAN-Aushang im Café) führt das zu Tippfehlern. Beim Ausschluss verlierst du minimal Entropie (95 → 88 Zeichen Pool), gewinnst aber Bedienbarkeit.
Nein. Es existiert nur in deinem Browser-Memory, bis du die Seite verlässt. Es wird nie an pixzl.de übermittelt, nirgendwo geloggt, in keiner Datenbank gespeichert. Speichere es selbst in deinem Passwort-Manager - das ist der einzige Weg.
Wenn ein Service leakt (Have I Been Pwned listet >12 Mrd. geleakte Credentials), versuchen Angreifer das gleiche Passwort automatisiert auf anderen Diensten. Pro Account eine eigene 16+ Zeichen lange Zufalls-ID macht solche Credential-Stuffing-Angriffe wirkungslos.
Die Stärke-Anzeige bewertet Länge und Zeichenvielfalt. Praktisch zählt vor allem die Länge: 12 Zeichen mit gemischten Zeichensets sind das Minimum, ab 16-20 Zeichen gilt ein Passwort als stark und wäre per Brute-Force in realistischer Zeit nicht zu knacken. Wichtig bleibt: „stark” heißt nicht „einzigartig” - ein starkes Passwort ist trotzdem wertlos, wenn du es bei mehreren Diensten gleichzeitig nutzt.
Dieser Generator erzeugt zufällige Zeichenketten, keine Wort-Passphrasen (Stil „korrekt-pferd-batterie-klammer”). Für ein merkbares Passwort eignet sich eine Passphrase aus vier bis sechs zufälligen, unzusammenhängenden Wörtern - lang genug für hohe Entropie und leicht zu tippen. Für Accounts, die ohnehin im Passwort-Manager liegen, ist ein zufälliges 20-Zeichen-Passwort von hier aber die sicherere Wahl, weil du es dir nicht merken musst.