Sichere Passwörter

Die öffentliche Page bietet eine Passwortlänge von 8 bis 128 ganzen Zeichen. Der Startwert ist 20. Verfügbar sind `Großbuchstaben`, `Kleinbuchstaben`, `Zahlen` und `Sonderzeichen`; alle vier Gruppen sind anfangs aktiviert. Die Option `Mehrdeutige Zeichen ausschließen` entfernt mehrdeutige Zeichen aus den jeweils aktiven Gruppen.

Es gibt keinen benutzerdefinierten Zeichensatz, keine Zeichen-Ausschlussliste außer dieser einen Option, keine Passphrase, keine Wortliste und keine Stapelgenerierung mehrerer Passwörter. Auch eine Kopierfunktion ist in diesem Modul nicht vorhanden.

Ein Ergebnis erscheint erst nach der bewussten Aktion „Passwort generieren“. Ändert sich Länge, eine Zeichengruppe oder die Option für mehrdeutige Zeichen, verwirft die Page das vorherige Ergebnis.

Der Service bezieht 32-Bit-Zufallswerte ausschließlich über `crypto.getRandomValues()`. Ist diese Web-Crypto-Funktion nicht verfügbar, meldet die Page den vorhandenen Fehler und erzeugt kein Passwort; es gibt keinen Fallback auf `Math.random()`.

Für die Auswahl eines Zeichens verwirft der Service Werte außerhalb eines durch die Poolgröße teilbaren Bereichs und zieht erneut. Erst danach bildet er den Index. Dieses Rejection Sampling vermeidet den vermeidbaren Modulo-Bias einer direkten Restwertbildung. Die ausgewählten Zeichen werden danach mit einem kryptografisch zufälligen Fisher–Yates-Verfahren über alle Positionen gemischt.

Der Modulcode erzeugt und hält das Passwort im lokalen Laufzeitzustand der geöffneten Seite. Innerhalb des Moduls gibt es keine Passwortweitergabe per Netzwerk, URL, Browser-Storage oder Logging. Das ist eine Beschreibung dieses Moduls, keine allgemeine Aussage über Browser, Zwischenablage oder das Zielsystem.

Die vier Pools enthalten aktuell 26 Großbuchstaben (`A`–`Z`), 26 Kleinbuchstaben (`a`–`z`), 10 Ziffern (`0`–`9`) und 23 definierte Sonderzeichen: `!@#$%^&*()-_=+[]{};:,.?`. Aktivierte Pools werden zusammengeführt.

Die Auswahl einer Gruppe bedeutet nicht nur, dass ihre Zeichen erlaubt sind: Der Generator zieht zuerst je ein Zeichen aus jeder aktivierten Gruppe. Die verbleibenden Positionen kommen aus dem zusammengeführten Pool; anschließend werden alle Positionen gemischt. Bei Groß-, Kleinbuchstaben, Zahlen und Sonderzeichen enthält ein gültiges Ergebnis daher mindestens je ein Zeichen aus jeder dieser vier Gruppen.

Sind keine Gruppen aktiv, ist die Konfiguration ungültig. Ebenso lehnt der Service eine Länge unter der Zahl aktiver Gruppen ab. Damit kann keine leere Zeichenmenge und kein Passwort entstehen, das die versprochenen Pflichtgruppen nicht unterbringen kann.

Die Option entfernt exakt `0`, `O`, `o`, `1`, `I` und `l` aus aktiven Pools. Sie erleichtert das Ablesen, ist aber kein eigener Sicherheitsmechanismus: Der verfügbare Pool wird kleiner. Mit allen vier Gruppen sinkt er dadurch von 85 auf 79 Zeichen.

Die Option entfernt keine weiteren Zeichen und verändert keine Sonderzeichen. Auch nach dem Ausschluss bleibt jede aktivierte Gruppe mindestens einmal vertreten, sofern die Konfiguration gültig ist.

Die Page zeigt einen theoretischen Orientierungswert mit der Formel `Länge × log₂(Poolgröße)`. Die Klassen sind rein regelbasiert: unter 50 Bit `Schwach`, unter 80 Bit `Mittel`, unter 120 Bit `Stark`, ab 120 Bit `Sehr stark`.

Dieser Wert ist keine exakte Entropiebehauptung für jedes Ergebnis: Der Generator erzwingt zunächst mindestens ein Zeichen jeder aktivierten Gruppe, während die Formel von einem einheitlichen Pool pro Position ausgeht. Die Anzeige hilft dabei, Länge und Poolgröße einzuordnen; sie modelliert weder Angriffsdauer noch Passwort-Hashing, Wiederverwendung, Phishing oder die Sicherheit eines konkreten Dienstes.

Mit Länge 20, allen vier Gruppen und ohne Ausschluss liefert der Service ein Passwort mit 20 Zeichen, vier verwendeten Gruppen und einem Pool von 85 Zeichen. Jede aktive Gruppe ist im Ergebnis vertreten. Der angezeigte Orientierungswert beträgt 20 × log₂(85) = 128,19 Bit und wird als `Sehr stark` klassifiziert; die Page rundet die Anzeige auf etwa 128 Bit.

Die konkrete Zeichenfolge wird hier bewusst nicht wiedergegeben, weil sie zufällig erzeugt wird. Geprüft wurden Länge, Poolzugehörigkeit, Gruppenvertretung und Klassifizierung – keine vorab festgelegte Passwortzeichenfolge.

Mit Länge 12 und ausschließlich aktivierter Gruppe `Zahlen` besteht jedes Ergebnis aus 12 Ziffern. Der Pool hat die Größe 10; der Orientierungswert beträgt 12 × log₂(10) = 39,86 Bit und die Regel klassifiziert ihn als `Schwach`.

Mit Länge 20, allen Gruppen und aktivem Ausschluss verwendet der Service einen Pool von 79 Zeichen. In den geprüften Eigenschaften fehlen `0Oo1Il`, die vier Gruppen bleiben vertreten und der theoretische Wert beträgt 20 × log₂(79) = 126,08 Bit. Das Beispiel zeigt eine Konfigurationseigenschaft, nicht ein vorhersagbares Passwort.

Längere Werte und ein größerer Pool vergrößern im Modell den theoretischen Suchraum. Daraus folgt aber keine Garantie, dass ein Passwort ein Konto gegen jeden Angriff schützt. Entscheidend sind auch das Zielsystem, die sichere Aufbewahrung und die Verwendung eines eigenen Passworts pro Dienst.

Der Generator bewertet keine Serverkonfiguration, keine Mehrfaktor-Authentifizierung und keine Wiederverwendung. Er speichert keine Passwortsammlung und prüft nicht, ob ein erzeugtes Passwort die Vorgaben eines bestimmten Dienstes akzeptiert. Die Länge, erlaubte Zeichen und der Umgang mit dem Passwort müssen deshalb zum jeweiligen Zielsystem passen.

Ein generiertes Passwort sollte wie vertraulicher Text behandelt werden. Die lokale Generierung ersetzt weder einen sicheren Umgang damit noch Schutzmechanismen des verwendeten Kontos.