Jedes Zeichen stammt aus window.crypto.getRandomValues – der kryptografisch sicheren Zufallsquelle des Browsers, derselben, die auch für TLS-Sitzungsschlüssel verwendet wird. Das ist weitaus stärker als Math.random und entspricht der Entropie, die Passwort-Manager und Sicherheitsaudits erwarten.

Für die meisten Konten überschreitet ein 16 Zeichen langes Passwort mit Groß- und Kleinbuchstaben, Zahlen und Symbolen mühelos 80 Bit Entropie und widersteht Offline-Cracking. Master-Passwörter für Passwort-Tresore und Root-Zugangsdaten profitieren von 24+ Zeichen; für Wegwerf-Konten reichen weniger.

Die Stärke wird als Länge × log₂(Größe des Zeichenvorrats) geschätzt und in Bit ausgedrückt. Alles über ~80 Bit gilt auf absehbare Zeit als sicher gegen Offline-Brute-Force-Angriffe. Das Entfernen von Zeichenklassen verkleinert den Vorrat, sodass die Bitzahl entsprechend sinkt.

Theoretisch ja, doch die Wahrscheinlichkeit ist bei jeder sinnvollen Länge astronomisch gering. Ein 16-stelliges Passwort mit gemischten Zeichenklassen hat rund 10^31 mögliche Werte – die Chance einer zufälligen Kollision ist weitaus kleiner als die eines Hardwarefehlers.

Aktivieren Sie „Ähnliche ausschließen“ (i, l, 1, L, o, 0, O), wenn das Passwort von Hand abgeschrieben oder am Telefon vorgelesen wird, um Verwechslungen zu vermeiden. Aktivieren Sie „Mehrdeutige ausschließen“ ({} [] () /\ '"`,;:.), wenn das Passwort sauber in Terminals oder Shell-Skripte eingefügt werden muss.

Nein. Die Generierung erfolgt vollständig auf Ihrem Gerät, und die zuletzt erzeugten Passwörter bleiben nur im Arbeitsspeicher, bis Sie den Tab neu laden. Nichts wird über das Netzwerk gesendet, nichts protokolliert und nichts zwischengespeichert.

Ja. Aktivieren Sie „Ähnliche ausschließen“, um Zeichen wegzulassen, die auf dem Bildschirm oder am Telefon verwechselt werden (i, l, 1, L, o, 0, O), und aktivieren Sie „Mehrdeutige ausschließen“, um Klammern, Schrägstriche und Anführungszeichen wegzulassen, die umständlich zu tippen sind. Erhöhen Sie dann die Länge um ein paar Zeichen, um die Entropie dort zu halten, wo Sie sie haben möchten.

Switch the mode toggle from 'Random characters' to 'Passphrase (words)' — the generator then builds a password from several random dictionary words (EFF Diceware wordlist) instead of scrambled characters, which is easier to remember and type but still cryptographically strong.

The default of 6 words gives roughly 77 bits of entropy, the EFF-recommended minimum for a strong passphrase. Drag the Words slider higher (up to the maximum) for a master password protecting a password manager or crypto wallet, or lower for a passphrase you'll type frequently on a low-risk account.

Yes. The Separator dropdown lets you pick a hyphen, dot, underscore, space, or no separator at all. A hyphen or dot is usually easiest to type accurately on both desktop and mobile keyboards, while some login forms reject spaces in passwords.

Turn on 'Capitalize each word' if a site requires an uppercase character, and 'Append a number' if it requires a digit — many login forms enforce these composition rules even for long passphrases. Both options add negligible extra memorization effort while satisfying stricter password policies.

Use Passphrase mode with 7-8 words, a hyphen or dot separator for easy retyping, capitalize each word on, and append a number on — this comfortably clears 90+ bits of entropy while staying far easier to memorize and type accurately than an equivalent-strength random-character password.

The Length slider in Random characters mode runs from 8 up to 128 characters, matching the 'up to 128 characters' promise in the tool's title. For most logins 16-20 characters is plenty; push toward 128 only for systems that specifically call for an extremely long secret, like certain API tokens or hardware security modules.

The Words slider in Passphrase mode ranges from 3 words (shorter, lower entropy) to 12 words (extremely high entropy, well over 150 bits). The default of 6 words balances memorability with the EFF-recommended ~77-bit minimum for a strong passphrase.

The Regenerate button disables and the password field clears, with a hint reading 'Pick at least one character class to enable generation.' At least one of Uppercase, Lowercase, Numbers or Symbols must stay checked, since the generator needs a character pool to draw from.