Passwortstärke hängt nicht davon ab, wie kompliziert es aussieht, sondern davon, wie viele Versuche ein Angreifer braucht. Gemessen wird das als Entropie in Bit; jedes zusätzliche Bit verdoppelt die Zahl der Versuche. „P@ssw0rd2026“ enthält Groß- und Kleinbuchstaben, Ziffern und ein Sonderzeichen, ist aber ein gängiges Wort mit vorhersehbaren Ersetzungen, das Cracking-Tools in Sekunden ausprobieren. Ein wirklich sicheres Passwort muss zufällig erzeugt und lang genug sein.
Das Tool nutzt die kryptografische Browserfunktion crypto.getRandomValues statt des vorhersagbaren Math.random. Der Zufallsmodus erzeugt 6 bis 64 Zeichen aus Groß- und Kleinbuchstaben, Ziffern und 26 gängigen Sonderzeichen und garantiert mindestens ein Zeichen aus jeder gewählten Gruppe. Mit allen Optionen umfasst der Zeichenvorrat rund 88 Zeichen, etwa 6,46 Bit pro Zeichen; 16 Zeichen ergeben so etwa 103 Bit – weit jenseits heutiger Brute-Force-Möglichkeiten. Optional lassen sich verwechselbare Zeichen wie 1, l, I, 0, O und o ausschließen, damit das Abtippen leichter fällt.
Der Diceware-Passphrasenmodus wählt 3 bis 8 zufällige Wörter aus einer eingebauten Liste und verbindet sie mit Bindestrichen – leicht zu merken und zu tippen. Ehrlicherweise umfasst die Liste nur 96 Wörter, rund 6,58 Bit pro Wort; 8 Wörter ergeben also etwa 53 Bit und sind deutlich schwächer als ein zufälliges Passwort ähnlicher Länge. Nutze Passphrasen für Dinge, die du dir merken musst, etwa den Computer-Login oder das WLAN. Für wichtige Konten wie E-Mail, Onlinebanking und Cloud nimm den Zufallsmodus mit 16+ Zeichen und einen Passwortmanager.
Das Tool zeigt anhand der Entropie eine Stärkebewertung und die geschätzte Knackzeit und erzeugt 1, 5 oder 10 Passwörter auf einmal. Auch ein starkes Passwort hilft nicht, wenn es mehrfach verwendet wird: Nach einem Datenleck probieren Angreifer es überall aus. Nutze für jede Website ein eigenes Passwort und aktiviere die Zwei-Faktor-Authentifizierung. Passwörter werden im Browser erzeugt und nie übertragen oder gespeichert.