Passwort-Generator

Ja. Die Passwörter entstehen mit crypto.getRandomValues(), der kryptografisch sicheren Zufallsquelle Ihres Browsers, und zwar vollständig auf Ihrem Gerät. Kein Server erzeugt, sieht oder speichert ein Passwort. Sie können die Seite laden, die Internetverbindung trennen und weiter Passwörter erzeugen – das ist die einfachste Probe aufs Exempel.

Nein. Kein erzeugtes Passwort verlässt Ihren Browser: Es wird nichts übertragen, protokolliert oder auf einem Server abgelegt. Lokal merkt sich die Seite lediglich Ihre Einstellungen – Länge und Zeichenarten –, damit Sie sie nicht bei jedem Besuch neu setzen müssen. Die Passwörter selbst landen nirgends.

Für Konten, die Sie ohnehin in einem Passwort-Manager verwahren, sind 16 Stellen ein guter Standard und 20 Stellen eine bequeme Reserve. NIST SP 800-63B nennt 15 Zeichen als Richtwert, das BSI setzt acht Zeichen bei voller Zeichenvielfalt an – als Untergrenze, nicht als Ziel. Unter 12 Zeichen sollten Sie nur gehen, wenn ein Anbieter Sie dazu zwingt.

Zufall und Einmaligkeit, nicht Kompliziertheit. „Passwort123!“ erfüllt jede Formvorschrift und steht trotzdem längst in den Wortlisten der Angreifer. Entscheidend ist, dass jedes Zeichen unabhängig zufällig gewählt wurde und dass Sie das Passwort für genau ein Konto verwenden. Der stärkste Hebel ist dabei die Länge: Jedes zusätzliche Zeichen vervielfacht den Aufwand eines Brute-Force-Angriffs.

Das Bundesamt für Sicherheit in der Informationstechnik fasst es in seiner Empfehlung „Sichere Passwörter erstellen“ so zusammen: je länger, desto besser; für jedes Konto ein eigenes Passwort; keine Wörter aus dem Wörterbuch, keine Namen, keine Geburtsdaten. Vom früher üblichen turnusmäßigen Wechsel ist das BSI abgerückt – wechseln Sie ein Passwort dann, wenn es kompromittiert sein könnte.

Wenn Sie für jedes Konto ein eigenes Zufallspasswort verwenden wollen – und das sollten Sie –, führt kaum ein Weg daran vorbei. Merken müssen Sie sich dann nur noch ein einziges starkes Master-Passwort; dafür eignet sich eine lange Passphrase aus mehreren zufälligen Wörtern besser als ein kryptischer Zeichensalat. Alles Übrige erledigt der Manager.