Es gibt viele kostenlose Passwortgeneratoren, und die meisten erzeugen Passwörter, die auf den ersten Blick gleich zufällig aussehen. Die Unterschiede, die tatsächlich zählen — woher die Zufälligkeit kommt, ob irgendetwas übertragen wird, wie viel man anpassen kann — sind im Ergebnis selbst nicht sichtbar. Dies ist ein Leitfaden zu den Kriterien, die es zu prüfen lohnt, nicht nur eine Namensliste.

Kurz gefasst

Die wichtigste Frage bei jedem Passwortgenerator ist, ob er vollständig clientseitig (in deinem Browser) läuft oder eine Anfrage an einen Server sendet.
Die zweitwichtigste Frage ist, welche Zufallsquelle er verwendet — ein offengelegter CSPRNG (wie die Web Crypto API) gegenüber einer nicht offengelegten Methode.
Eigenständige Generator-Tools, in Passwort-Manager integrierte Generatoren und im Browser integrierte Generatoren lösen alle dasselbe Problem mit unterschiedlichen Kompromissen bei Bequemlichkeit und Portabilität.
Kostenlose Stufen vollständiger Passwort-Manager (Bitwarden, NordPass, 1Password, Proton Pass) enthalten in der Regel einen Generator neben breiteren Funktionen; eigenständige Tools wie PassGenerate konzentrieren sich nur auf die Generierung, ohne erforderliches Konto.

Kurze Antwort

Der beste kostenlose Passwortgenerator für dich ist derjenige, den du als vollständig clientseitig laufend verifizieren kannst, der eine echte Zufallsquelle offenlegt (CSPRNG, nicht Math.random()), und dir die benötigte Anpassbarkeit bietet (Länge, Zeichensätze oder Passphrasen-Modus). PassGenerate ist speziell um diese drei Kriterien herum gebaut — siehe Ist es sicher, Online-Passwortgeneratoren zu verwenden? dazu, wie du jeden Generator selbst überprüfen kannst, einschließlich diesem.

Die Kriterien, die tatsächlich zählen

1. Clientseitige vs. serverseitige Generierung. Ein Generator, der das Passwort vollständig in deinem Browser berechnet, hat nie die Gelegenheit, zu protokollieren, was er erzeugt — nicht einmal versehentlich. Ein Generator, der eine Anfrage an einen Server sendet, um ein Passwort zu "generieren", führt einen Übertragungsschritt ein, der für diese Aufgabe technisch nicht gerechtfertigt ist. Das kannst du selbst mit dem Netzwerk-Tab der Entwicklertools deines Browsers überprüfen.

2. Offengelegte Zufallsquelle. Achte auf die explizite Erwähnung von crypto.getRandomValues() der Web Crypto API oder eines gleichwertigen CSPRNG. Tools, die nicht angeben, wie sie Zufälligkeit erzeugen, lassen die Möglichkeit offen, dass sie eine nicht-kryptografische Methode verwenden, ungeeignet für alles Sicherheitsrelevante, selbst wenn das Ergebnis für ein menschliches Auge zufällig aussieht.

3. Anpassbarkeit. Mindestens: einstellbare Länge und Kontrolle darüber, welche Zeichensätze einbezogen werden (Groß-, Kleinbuchstaben, Ziffern, Symbole). Der Passphrasen-Modus (eine Kette zufälliger Wörterbuchwörter) ist eine nützliche Option für Passwörter, die du aus dem Gedächtnis eintippen musst, da er oft leichter korrekt einzugeben ist als eine gleich starke Symbolkette.

4. Kein Konto erforderlich. Ein Passwort zu generieren ist eine zustandslose Operation — sie muss nicht wissen, wer du bist. Ein Generator, der eine Anmeldung erfordert, bevor er dich überhaupt etwas generieren lässt, fügt ohne funktionalen Grund Reibung (und einen Datenerfassungspunkt) hinzu.

Wo verschiedene Tool-Typen ihren Platz haben

Eigenständige browserbasierte Generatoren (wie PassGenerate) konzentrieren sich auf die einzelne Aufgabe der Generierung, erfordern kein Konto und sind leicht als clientseitig zu verifizieren, da wenig anderes auf der Seite um Aufmerksamkeit konkurriert. Der Kompromiss: Sie speichern nichts — du generierst, kopierst und nutzt das Passwort woanders.

In Passwort-Manager integrierte Generatoren (Bitwarden, NordPass, 1Password, Proton Pass und andere) sind praktisch, wenn du diesen Manager bereits nutzt, da das generierte Passwort im selben Ablauf direkt in deinem Tresor gespeichert werden kann. Der Generator von Bitwarden hat speziell den Vorteil, Teil einer quelloffenen Codebasis zu sein, die sich jährlichen Sicherheitsaudits durch Dritte unterzieht (darunter die Firma Cure53), sodass seine Zufälligkeitsimplementierung unabhängig überprüft werden kann, statt vertrauensvoll hingenommen zu werden. Siehe die NordPass-Rezension und Passwort-Manager vs. Browser-Passwortspeicherung für mehr zur Wahl eines Managers selbst.

Im Browser integrierte Generatoren (Chrome, Firefox, Safari bieten alle einen an, wenn du auf einer Website ein Konto erstellst) sind praktisch, weil sie automatisch im richtigen Moment erscheinen, sind aber typischerweise an den gespeicherten Passwortspeicher dieses bestimmten Browsers gebunden, was die Portabilität beeinträchtigt, wenn du den Browser wechselst oder das Passwort dort brauchst, wo der Browser nicht beteiligt ist.

Betriebssystem- oder Kommandozeilen-Generatoren (z. B. openssl rand, oder CLI-Tools von Passwort-Managern) sind eine legitime Option für technisch versierte Nutzer, die die Zufallsquelle direkt durch Lesen des Tool-Quellcodes verifizieren wollen, aber keine praktische Option für die meisten Menschen, die ein Passwort für eine Website-Anmeldung generieren.

Eine praktische Art zu wählen

Du musst nicht jede Option erschöpfend bewerten. Ein vernünftiger Ablauf: Nutzt du bereits einen Passwort-Manager, verwende dessen integrierten Generator — ein Tool weniger, dem du vertrauen musst, und das Passwort geht direkt in den Speicher. Nutzt du keinen Manager, oder brauchst du ein Passwort für etwas, das der Manager nicht berührt (ein geteiltes Konto, eine einmalige Anmeldung), verwende einen eigenständigen clientseitigen Generator und überprüfe ihn einmal selbst mit der Netzwerk-Tab-Prüfung — danach kannst du dem Tool für zukünftige Nutzung vertrauen, ohne jedes Mal erneut zu prüfen.

Wichtigste Erkenntnisse

Bewerte Passwortgeneratoren nach clientseitiger Ausführung, offengelegter Zufallsquelle und Anpassbarkeit — nicht danach, wie "fortschrittlich" die Oberfläche aussieht.
Clientseitige Ausführung ist direkt selbst über die Entwicklertools deines Browsers überprüfbar; du musst einem Anbieter nicht einfach glauben.
In Passwort-Manager integrierte Generatoren sind praktisch, wenn du diesen Manager bereits nutzt; eigenständige Tools wie PassGenerate passen gut, wenn du keinen Speicher brauchst, nur Generierung.
Der Generator von Bitwarden verdient besondere Erwähnung, weil er Teil einer quelloffenen, unabhängig überprüfbaren Codebasis ist.

Warum du PassGenerate vertrauen kannst

Passwörter werden lokal in deinem Browser mit der Web Crypto API generiert.
Es werden keine Passwörter an Server übertragen.
Verwendet einen kryptografisch sicheren Pseudozufallszahlengenerator (CSPRNG).
Folgt modernen Sicherheits-Best-Practices, die von NIST und OWASP empfohlen werden.

Quellen

MDN Web Crypto API Dokumentation
OWASP Password Storage Cheat Sheet
NIST SP 800-63B – Digital Identity Guidelines

Fazit

Der beste kostenlose Passwortgenerator ist nicht der mit der auffälligsten Oberfläche — es ist der, den du als clientseitig laufend verifizieren kannst, der eine echte kryptografische Zufallsquelle offenlegt und dir die Anpassbarkeit bietet, die dein konkreter Anwendungsfall braucht. Ob das der in deinem Passwort-Manager integrierte Generator oder ein eigenständiges Tool wie PassGenerate ist, hängt hauptsächlich davon ab, ob das Ergebnis direkt in einem Tresor landen soll oder du es dort nutzt, wo dein Manager nicht beteiligt ist.

Die besten kostenlosen Passwortgeneratoren (2026): Worauf es wirklich ankommt