Drei Punkte, die Sie selbst prüfen können
MakePwd ist eine browser-lokale Verschlüsselungs- und Datenschutz-Tool-Site. Die Aussagen auf dieser Seite entsprechen der aktuellen Umsetzung. Wir beanspruchen keine DSGVO-Zertifizierung oder eine andere Zertifizierung, und „lokal zuerst“ heißt nicht absolute Null-Logs. Gewöhnliche Seitenaufrufe können weiter technische Aufzeichnungen hinterlassen, etwa IP, Pfad und Zeit.
Die Rechnung bleibt im Tab
Passwortgenerator, Passwortstärke, Linkbereinigung, Textschwärzung und Datei-Ver- bzw. Entschlüsselung nutzen Web Crypto oder Skripte auf diesem Gerät. Klartext wird standardmäßig nicht als Geschäftsfeld hochgeladen.
Kein Konto, das sich knacken lässt
Es gibt keine Registrierung, keine Anmeldung und keinen Passworttresor – also auch keine gespeicherte Sammlung Ihrer Geheimnisse, die sich stehlen ließe. Alle Werkzeuge öffnen sich und sind sofort nutzbar.
Das Frontend lässt sich prüfen
Statische Skripte und Werkzeugseiten liegen auf diesem Ursprung. Im Network-Panel der Entwicklertools können Sie nachvollziehen: geprüfte Passwörter, Dateien und Einmal-Link-Klartext sollten den Browser nicht als Geschäftsanfrage verlassen.
Algorithmen und Grenzwerte
Diese Zahlen entsprechen der live laufenden Site. Es sind keine Zielwerte einer Roadmap.
| Punkt | Umsetzung | Wo Sie nachsehen können |
|---|---|---|
| Symmetrisches Verfahren | AES-256-GCM (authentisierte Verschlüsselung) | Texte und Skripte von Einmal-Link und Dateiverschlüsselung |
| Krypto-Schnittstelle | Web Crypto API des Browsers | Quellenansicht der Entwicklertools oder jede aktuelle Browser-Implementierung |
| Schlüsselableitung für Dateien | PBKDF2, 100.000 Iterationen | Skripte der Dateiverschlüsselung |
| Länge zufälliger Passwörter | 6–128 Zeichen, Standard 16; unter 8 Zeichen warnt die Oberfläche, dass die Sicherheit geringer ist | Passwortgenerator |
| Dateigröße | höchstens 5 GB je Datei; Ausgabe .lock / .enc |
Dateiverschlüsselung |
| Einmal-Link-Text | 32 KB je Eintrag; Standard 24 Stunden und 1 Lesen; Ablauf 0–168 Stunden; Leseanzahl 1–10 | Einmal-Link-Erstellungsseite |
| Schlüsselübergabe bei Einmal-Link | 256-Bit-Zufallsschlüssel, Base64URL im #-Fragment |
vollständige Linkform s.html?id={id}#{key} |
Wo jedes Werkzeug rechnet
„Nicht hochgeladen“ heißt: Der Inhalt wird nicht als MakePwd-Geschäftsfeld gesendet und nicht in Analytics-Ereignisse geschrieben. Hosting kann weiter gewöhnliche HTTPS-Metadaten sehen.
| Werkzeug | Bleibt auf diesem Gerät | Was den Browser verlässt |
|---|---|---|
| Passwortgenerator | Zufallszeichen oder eine lesbare Passphrase | kein Geschäftsupload; was Sie kopieren, behalten Sie selbst |
| Passwortstärke-Prüfung | das geprüfte Passwort, die Stärkeschätzung und der Abgleich mit der lokalen Liste | nichts. Kein Aufruf von Have I Been Pwned und keine andere Fernabfrage |
| UTM entfernen und Schwärzen | URL-Bereinigung, Textmaskierung und Vorher-nachher-Ansicht | nichts. Ausgangstext wird nicht in Analytics geschrieben |
| Dateiverschlüsselung | Datei, Passphrase, abgeleiteter Schlüssel sowie Ver- oder Entschlüsselungsergebnis | nichts. Sie laden das Ergebnis lokal herunter |
| Einmal-Link | Klartext verschlüsseln, Schlüssel erzeugen, auf dem Empfängergerät entschlüsseln | nur Chiffretext sowie Ablauf und maximale Leseanzahl |
Bedrohungsmodell von Einmal-Link
Beim Erstellen verschlüsselt der Browser zuerst und lädt dann hoch. Der Server gibt eine nicht erratbare ID zurück; die Seite baut s.html?id={id}#{key}. Die Query enthält nur die ID. Der Schlüssel steht hinter #.
Wogegen das Design schützen soll
- Der Server hält Chiffretext und Metadaten, nicht den
#-Schlüssel, und kann Klartext in der Regel nicht wiederherstellen - Nach Lesegrenze oder Ablauf wird der Chiffretext gelöscht; ein späteres Öffnen meldet verbrannt oder abgelaufen
- Ein verlorener Link lässt sich auf dieser Site nicht wiederherstellen: Es gibt keine Klartextkopie und keinen getrennt gespeicherten Schlüssel
- Das Erstellen ist per IP ratenbegrenzt, um Missbrauch zu dämpfen, nicht um Sie zu identifizieren
Wogegen das Design nicht schützt
- Wer den vollständigen Link hat, kann auf dem eigenen Gerät entschlüsseln
- Screenshots, Kopieren oder mündliches Weitergeben
- Einfügen des vollständigen Links in Tickets, Überwachung oder Chatarchive, die URLs protokollieren
- ein Empfängergerät mit Tastaturlogger oder feindlicher Erweiterung
Die Leseseite ist als noindex markiert. Senden Sie den vollständigen Link einschließlich # nur an Personen, denen Sie vertrauen, und meiden Sie Systeme, die die gesamte Adressleiste aufzeichnen.
Was dieses Design nicht aufhalten kann
Lokale Verschlüsselung senkt das Risiko, dass eine Website Klartext stillschweigend mitnimmt. Sie ist keine allgemeine Sicherheitsgarantie.
- Ein kompromittierter Browser oder eine Erweiterung kann Seiteneingaben lesen. Site-Skript kann das nicht unterbinden.
- Täuschend ähnliche Phishing-Domains können Inhalte woandershin senden. Prüfen Sie, dass die Adressleiste makepwd.com zeigt.
- Kurze oder erratbare Geheimnisse: unter 8 Zeichen warnt der Generator, dass die Sicherheit geringer ist. Die Stärke der Dateiverschlüsselung folgt der Passphrase, die Sie wählen.
- Was nach dem Teilen geschieht: sitzt ein Ergebnis in Chat, Mail oder Cloud-Speicher, entscheiden diese Dienste und die Empfängerseite über den weiteren Weg.
- Hosting- und Zugriffsprotokolle: IP, Pfad und die Leser-
idkönnen weiter in Transportaufzeichnungen auftauchen. Nach Browserregeln sollte das#-Fragment nicht in die HTTP-Anfrage gelangen.
So prüfen Sie es selbst
Sie müssen den Slogan nicht glauben. Der aktuelle Browser reicht.
- Öffnen Sie das Network-Panel der Entwicklertools, erzeugen Sie ein Passwort oder prüfen Sie eines. In den Anfragen sollte der Klartext, den Sie gerade eingegeben haben, nicht stehen.
- Erstellen Sie einen Einmal-Link und sehen Sie sich die Adresse an: die Query enthält nur
id, der Schlüssel steht hinter#. Der Erstellungsrumpf sollte Chiffretext plus Ablauf und Leseanzahl sein, nicht den Originaltext. - Verschlüsseln Sie eine kleine Datei und prüfen Sie, dass Sie
.lockoder.encherunterladen – ohne POST der Originaldatei an eine MakePwd-Schnittstelle. - Einen längeren Ablauf finden Sie unter So prüfen Sie Verschlüsselung im Browser.
Verwandte Seiten
Diese Seite behandelt Bedrohungsmodell und Nachweise. Der Umgang mit Daten steht auf den Rechtsseiten; die Nutzungsregeln stehen in den Bedingungen.
Häufige Fragen
Ist ein Online-Passwortgenerator sicher? Wo wird der Schlüssel berechnet?
Die Zufallszahlen kommen aus der Web Crypto API des Browsers, das Ergebnis bleibt im aktuellen Tab. MakePwd lädt erzeugte Passwörter nicht als Geschäftsdaten hoch und schreibt sie nicht in Analytics. Sobald Sie das Ergebnis in Chat oder Cloud-Speicher kopieren, steuern Sie selbst, wie es aufbewahrt wird.
Warum legt Einmal-Link den Chiffretext überhaupt auf einen Server?
Die empfangende Seite braucht eine Adresse, die sich öffnen lässt. Der Text wird zuerst auf diesem Gerät mit AES-256-GCM verschlüsselt. Der Server speichert nur Chiffretext, Ablauf und Leseanzahl. Der Entschlüsselungsschlüssel sitzt im #-Fragment und wird nach Browserregeln nicht mit der HTTP-Anfrage an den Server gesendet.
Sendet die Passwortstärke-Prüfung das geprüfte Passwort an Have I Been Pwned?
Nein. Stärkeschätzung und Abgleich mit der eingebauten öffentlichen Liste schwacher Passwörter laufen auf diesem Gerät. Das ist kein netzweiter Abgleich einer Leak-Datenbank und ruft keine externe Lookup-API auf.
Kann MakePwd Screenshots oder das Weiterleiten des Geheimnisses verhindern?
Nein. Einmal-Link löscht die Chiffretext-Kopie auf dem Server. Wer den Text lokal entschlüsselt hat, kann ihn kopieren, abfotografieren oder weitersagen. Wer den vollständigen Link einschließlich # erhält, erhält den Entschlüsselungsschlüssel.