Tool 01 — Passphrase-Generator
Würfel werfen.
Diceware-Passphrasen und Zufallspasswörter aus dem kryptografischen Zufallszahlengenerator (CSPRNG) deines Browsers. Nichts wird gesendet, gespeichert oder protokolliert — diese Seite darf nicht einmal eine Netzwerkverbindung öffnen.
02 — Zeit zum Knacken
Wie lange es hält.
Durchschnittliche Zeit bis zum Treffer — der halbe Schlüsselraum — unter der Annahme, dass der Angreifer genau weiß, wie es erzeugt wurde. Die Raten sind Größenordnungen, keine Benchmarks.
03 — Vertrauen ist gut, Prüfen ist besser
Nichts geht raus.
- connect-src 'none' Die CSP der Seite verbietet jedes fetch, XHR, WebSocket und Beacon — selbst zur eigenen Domain.
- kein Speicher Keine Cookies, kein localStorage, keine IndexedDB. Einstellungen werden beim Neuladen zurückgesetzt — mit Absicht.
- CSPRNG
crypto.getRandomValuesmit Rejection Sampling — kein Modulo-Bias. - ein Origin Auf
passwd.entropywatch.devläuft sonst nichts; überhaupt kein Code von Dritten.
- Versucht, aus der Sandbox auszubrechen, und zeigt, was der Browser blockiert hat.
04 — Warum es funktioniert
Kurze Antworten.
Was bedeutet „Bit Entropie“?
Die Anzahl der Münzwürfe (Kopf oder Zahl), die ein Angreifer richtig raten muss. Jedes zusätzliche Bit verdoppelt den Aufwand. Sechs Wörter aus einer Liste mit 7776 Wörtern ergeben 7776⁶ ≈ 2⁷⁷·⁵ Möglichkeiten — auch dann, wenn der Angreifer Liste und Methode kennt.
Warum Wörter statt X7#q!?
Pro Zeichen tragen zufällige Symbole mehr Entropie, aber Wörter tippst und merkst du dir leichter. Länge schlägt Komplexität: Phrasen im Stil von correct-horse erreichen 70–90 Bit ohne Klebezettel. Zufallspasswörter dort, wo ein Passwortmanager sie für dich eintippt.
Wie viele Bit brauche ich?
Konten, die nur online angegriffen werden können, hinter einer Ratenbegrenzung: 50+ reichen völlig. Alles, dessen Hash abfließen und offline angegriffen werden kann — ein Domänenkonto: 75+ (sechs Wörter). Master-Passwort des Passwortmanagers, Festplattenverschlüsselung oder Passphrase eines SSH-Schlüssels: 90 (sieben Wörter). Die ausführliche Version, mit Rechnung und den Stellen, an denen in einem Windows-Netz Offline-Angriffe passieren (auf Englisch): How long should a passphrase be?
Sollte ich dafür einer Website vertrauen?
Gesundes Misstrauen. Deshalb kann diese Seite nicht ins Netz und hat einen Selbsttest. Noch besser: offline nutzen (laden, dann Verbindung trennen) oder echte Würfel mit der EFF-Liste werfen.
Warum sind die Wörter englisch?
Der Generator nutzt die englische EFF Large Wordlist. Die Stärke hängt nur von der Größe der Liste und der Zufallsauswahl ab, nicht von der Sprache: Sechs Wörter aus irgendeiner Liste mit 7776 Wörtern ergeben dieselben 77,5 Bit. Wir nutzen die EFF-Liste, weil sie veröffentlicht, von anderen geprüft und per SHA-256-Prüfsumme überprüfbar ist.