"Ist es sicher, ein Passwort auf einer beliebigen Website zu generieren?" ist eine berechtigte Frage — du bittest ein Tool, das du nicht kontrollierst, ein Geheimnis zu erzeugen, dem du gleich deine Konten anvertraust. Die ehrliche Antwort lautet: Das hängt vollständig davon ab, wie das Tool funktioniert, und du musst einer Website nicht einfach glauben. Dieser Artikel erklärt, was du selbst überprüfen kannst.

Kurz gefasst

Das eigentliche Risiko ist nicht das Passwort selbst — sondern ob die Website das Generierte an einen Server überträgt, wo es protokolliert werden könnte.
Du kannst das selbst überprüfen: Öffne die Entwicklertools deines Browsers, gehe zum Netzwerk-Tab, generiere ein Passwort und beobachte, ob eine Anfrage ausgelöst wird.
Ein wirklich clientseitiger Generator erzeugt beim Generieren eines Passworts keine Netzwerkaktivität — das JavaScript läuft vollständig in deinem Browser.
Bevorzuge Tools, die explizit die Web Crypto API (crypto.getRandomValues()) verwenden, gegenüber solchen, die ihre Zufallsquelle überhaupt nicht offenlegen.

Kurze Antwort

Ein Online-Passwortgenerator ist nur dann sicher zu verwenden, wenn er das Passwort vollständig in deinem Browser generiert und es niemals irgendwohin überträgt. PassGenerate funktioniert so: Die Generierung erfolgt lokal über die Web Crypto API, und du kannst das selbst in weniger als einer Minute mit den in deinen Browser integrierten Entwicklertools überprüfen, ohne einer Behauptung auf einer Website vertrauen zu müssen.

Wie man einen Generator selbst überprüft

Du musst kein Entwickler sein, um diese Prüfung durchzuführen:

Öffne die Website des Passwortgenerators.
Öffne die Entwicklertools deines Browsers (F12, oder Rechtsklick → Untersuchen, in den meisten Browsern).
Klicke auf den Tab Netzwerk.
Generiere ein Passwort auf der Seite.
Beobachte den Netzwerk-Tab. Bei einem wirklich clientseitigen Tool wird keine neue Anfrage ausgelöst, wenn das Passwort generiert wird — nichts wird irgendwohin gesendet. Siehst du genau dann eine Anfrage an einen Server, wenn du auf Generieren klickst, lohnt sich eine genauere Prüfung: Sieh nach, welche Daten im Anfrage-Payload gesendet werden.

Das funktioniert, weil JavaScript im Browser entweder die gesamte Arbeit lokal erledigen kann (das zufällige Passwort berechnen und anzeigen, das war's) oder Daten an einen Server senden und auf eine Antwort warten kann. Der Netzwerk-Tab zeigt dir, was tatsächlich passiert — das ist nichts, was eine Website vortäuschen kann, ohne dass du es bemerkst, da du den tatsächlichen Traffic deines Browsers untersuchst.

Was "clientseitige Generierung" technisch tatsächlich bedeutet

Ein wirklich clientseitiger Passwortgenerator nutzt die eigene Web Crypto API des Browsers, konkret crypto.getRandomValues(), um kryptografisch sichere zufällige Bytes zu erzeugen, und ordnet diese Bytes dann vollständig in JavaScript, das auf deinem Gerät läuft, deinem gewählten Zeichensatz zu. Nichts an diesem Prozess erfordert eine Netzwerkanfrage — oder profitiert von ihr. Wenn ein Tool deinen Browser braucht, um mit einem Server zu sprechen, um ein Passwort zu "generieren", ist das architektonisch unnötig für diese Aufgabe, was an sich schon Fragen aufwerfen sollte.

Warnsignale, auf die man achten sollte

Keine offengelegte Zufallsquelle. Wenn eine Website nicht angibt, wie sie Zufälligkeit erzeugt, kannst du nicht überprüfen, ob sie einen CSPRNG statt einer schwächeren Methode wie Math.random() verwendet, die in manchen Engines vorhersehbar genug ist, um aus beobachteten Ausgaben rekonstruiert zu werden — ungeeignet für alles Sicherheitsrelevante.
Netzwerkaktivität während der Generierung. Bestätigt durch die obige Entwicklertools-Prüfung. Selbst wenn die Website behauptet, nichts zu protokollieren, besteht bei einer Anfrage die Möglichkeit, dass sie protokolliert wird, ob absichtlich oder durch einen serverseitigen Fehler.
Konten- oder E-Mail-Erfassung, bevor du das Tool nutzen kannst. Ein Passwortgenerator hat keinen legitimen Grund, deine E-Mail-Adresse zu benötigen, um eine zufällige Zeichenfolge zu generieren.
Übermäßig viele Drittanbieter-Skripte. Umfangreiche Werbetechnologie oder Analyse-Tools auf einer Seite, die mit Geheimnissen umgeht, vergrößern die Angriffsfläche — je mehr Drittanbieter-Code auf der Seite läuft, desto mehr Gelegenheiten gibt es für ein kompromittiertes Skript, abzufangen, was auf der Seite passiert, selbst wenn der Generator selbst clientseitig ist. Das ist keine hypothetische Sorge: Im Juni 2024 wurde das weit verbreitete Polyfill.js-CDN kompromittiert, und der eingeschleuste Schadcode wurde an Besucher von mehr als 490.000 Websites ausgeliefert, die dieses Skript einfach als routinemäßige Abhängigkeit eingebunden hatten — keine dieser Websites wurde einzeln angegriffen oder hat etwas falsch gemacht, außer einem Drittanbieter-Skript zu vertrauen. Die durchschnittliche Website lädt heute Dutzende Skripte, etwa zwei Drittel davon von Drittanbietern, und der Anteil von Drittanbietern an Sicherheitsvorfällen ist Jahr für Jahr stark gestiegen. Das bedeutet nicht, dass eine Seite mit Drittanbieter-Skripten automatisch unsicher ist — aber es ist ein echter Grund, einen Generator mit einer schlanken, überprüfbaren Seite einem mit viel unnötigem Beiwerk vorzuziehen.

Warum das bei manchen Passwörtern wichtiger ist als bei anderen

Das Risiko, einen nicht vertrauenswürdigen Generator zu nutzen, skaliert mit dem, was das Passwort schützt. Ein Wegwerf-Passwort für eine einmalige Newsletter-Anmeldung zu generieren, birgt selbst bei einem fragwürdigen Tool wenig Risiko. Dein Banking-Passwort, dein E-Mail-Passwort oder das Master-Passwort deines Passwort-Managers zu generieren, ist genau der Punkt, an dem du darauf bestehen solltest, clientseitiges Verhalten selbst zu überprüfen, statt einer Behauptung zu vertrauen — denn das sind die Passwörter, bei denen eine protokollierte Klartextkopie tatsächlich etwas ausmachen würde.

Wichtigste Erkenntnisse

Die zentrale Sicherheitsfrage bei jedem Online-Passwortgenerator ist, ob er das Passwort irgendwohin überträgt — überprüfe das selbst über den Netzwerk-Tab, statt einer Behauptung zu vertrauen.
Echte clientseitige Generierung erzeugt beim Generieren eines Passworts null Netzwerkanfragen.
Bevorzuge Tools, die explizit die Verwendung des CSPRNG der Web Crypto API offenlegen, gegenüber solchen, die ihre Zufallsquelle nicht erklären.
Prüfe Generatoren für hochriskante Passwörter (Banking, E-Mail, Master-Passwörter) strenger als für risikoarme Wegwerf-Passwörter.

Warum du PassGenerate vertrauen kannst

Passwörter werden lokal in deinem Browser mit der Web Crypto API generiert.
Es werden keine Passwörter an Server übertragen.
Verwendet einen kryptografisch sicheren Pseudozufallszahlengenerator (CSPRNG).
Folgt modernen Sicherheits-Best-Practices, die von NIST und OWASP empfohlen werden.

Quellen

Polyfill.js CDN Supply-Chain-Kompromittierung, Juni 2024
MDN Web Crypto API Dokumentation
OWASP Password Storage Cheat Sheet
NIST SP 800-63B – Digital Identity Guidelines

Fazit

Du musst einem Online-Passwortgenerator nicht einfach glauben, wie er funktioniert — eine Minute mit dem Netzwerk-Tab deines Browsers sagt dir definitiv, ob er das Generierte überträgt. Bevorzuge Tools, die den CSPRNG der Web Crypto API verwenden, die nichts weiter verlangen als das Passwort zu generieren, und bei denen du selbst bestätigt hast, dass sie keine Netzwerkaktivität erzeugen — und reserviere die größte Sorgfalt für die Passwörter, bei denen ein Problem am meisten ausmachen würde.

Ist es sicher, Online-Passwortgeneratoren zu verwenden? So prüfst du es selbst