Öffne einen «Online-Passwortgenerator», erzeuge, dann das Netzwerkpanel. Steht das frische Passwort in Body oder Query, hat Klartext das Gerät verlassen. Dafür brauchst du keine Marke zu glauben — der Browser legt den Verkehr offen.
Rechnung im Browser ist kein Modewort für «dezentral». Es verkleinert das Klartextfenster: eine Übertragung weniger, ein Serverlog weniger, eine Chance weniger, dass jemand einen Speicherabzug liest. Unten: Bedrohungsmodell, prüfbare Schritte, Grenzen. MyPassGen ist so gebaut; dieser Text beantwortet nur: warum sensible Rechnung nicht standardmäßig auf dem Server liegen soll.
Was Server-Rechnung am Fenster vergrößert
Klartextfenster heißt: wo Klartext (oder ein Schlüssel, der ihn sofort liefert) wirklich existiert. Rechnet der Server, ist das selten nur der Klick auf Senden, sondern eine Kette, die sich schlecht nachträglich löscht:
- Die TLS-Sitzung zum Origin — der Serverprozess sieht die entschlüsselte Anfrage, nicht Ciphertext.
- Stichproben in Reverse-Proxy, WAF, APM, Crash-Reports; ein 500 kann das Formular in den Fehlerbericht schreiben.
- App-Logs, langsame Queries, Access-Logs mit Query-String;
?key=landet fast immer im Access-Log. - Zwischenfiles auf Platte, Objektstorage, Backups, zweite Standorte.
- Die Zeit, in der Betrieb, Support oder ein Eindringling eine dieser Kopien hält — «löschen wir danach» ändert nicht, dass das Fenster schon offen war.
Recht und Unterauftragnehmer machen «wir schauen nicht hin» schwer prüfbar. Du kannst Protokoll und Traffic prüfen, nicht die Hausordnung im Rechenzentrum.
Beim Generator ist das besonders scharf: du willst ein Geheimnis, das noch nirgendwo existiert. Entsteht es in fremdem RAM, liegt die erste Kopie nicht bei dir. Klebts du es später in Prod, CI oder den Manager, gibt es schon einen Knoten, den du nicht siehst.
Bei der Prüfung gilt dasselbe: ein Alltags-Passwort an einen fernen «Stärke-Check» ist das empfindlichste Wiederverwenden, das du hast. Öffentliche Leak-Abfragen lassen sich als k-Anonymität bauen; MyPassGen wählt die härtere Regel — Testpasswort bleibt hier, Entropie und Top-Liste lokal. Zu prüfen ist nicht «die anderen sagen, sie speichern nicht», sondern: die Anfrage enthält das Passwort gar nicht.
Bei der Datei-Box heißt «hochladen → serverseitig schließen → wieder herunterladen», dass Phrase und Inhalt mindestens im Serverspeicher vollständig da waren. Lokales Streaming gibt dem Server nichts Lesbares: er muss nicht einmal wissen, ob es ein Foto oder ein Abbild ist.
HTTPS ist keine lokale Rechnung
TLS schützt Mithörer auf dem Weg, nicht den Gegenüber. Rechnet der Server, muss er den Klartext lesen. Lokal heißt: der Gegenüber soll dieses Material gar nicht sehen.
Was «lokal» genau meint
«Lokal» wird schnell Slogan. Sonst wäre «nur du siehst das» in einer Cloud auch lokale Krypto.
Prozess auf dem Gerät, nicht «in meinem Cloud-Konto»
Bei MyPassGen heißt lokal: die Rechnung läuft im Tab. Zufall aus crypto.getRandomValues, symmetrisch über Web Crypto. Schlüsselmaterial lebt kurz in CryptoKey-Objekten und geht nicht als Analysefeld raus. Ergebnis kopieren, exportieren, auf die Platte. Tab zu — der Klartext im RAM folgt dem Browserleben, nicht einer zweiten Kopie draußen.
Das ist etwas anderes als «nur ich sehe die Datei in der Cloud». Der Cloud-Server kann Objekte oft im Klartext lesen, außer du schließt sie vorher. Die Frage lautet: existierte Klartext außerhalb deines Geräts in brauchbarer Form?
Algorithmus und Dateigrenze sind nachprüfbar
Nur AES-256-GCM (authentisiert: wurde der Ciphertext geändert, schlägt Entschlüsseln fehl). Die Datei-Box streamt, höchstens 5 GB, Ausgabe .lock (bevorzugt) oder .enc, damit ein Video nicht auf einmal im RAM liegt. Das steht in der Spezifikation, nicht als Adjektiv. Taucht ein Algorithmus auf der Seite auf, der nicht gebaut ist, gilt die Produktbeschreibung, nicht die Fantasie.
Lokal beschreibt den Ort, die Werkzeuge öffnen sich sofort
Ort der Rechnung und «Konto nötig?» waren früher zwei Sätze. Heute öffnen sich Generator, Prüfung, Privatsphäre, Burn-Link-Erstellung und Datei-Box ohne Konto. Lokal sagt nur, wo gerechnet wird — nicht «Klartext kann das Gerät nie verlassen». Der Burn-Link gibt dem Server Ciphertext auf Zeit.
| Fähigkeit | Sofort nutzbar | Sensibles Material standardmäßig hochgeladen? |
|---|---|---|
| Zufall / Passphrase | ja | nein; entsteht im Browser |
| Password Audit | ja | Testpasswort bleibt; lokale Stärke + Liste |
| Clean Link / Schwärzung | ja | URL und Text lokal; nicht in Analytics |
| Burn-Link erstellen | ja | hochgeladen wird ein Ciphertext-Blob, nicht der Text |
| Burn-Link lesen | für Empfänger offen | Schlüssel im #-Fragment, nicht in der HTTP-Anfrage |
| Datei-Box | ja | Datei und Phrase bleiben; Streaming AES-256-GCM |
Burn-Link ist der einzige Pfad mit Server-Zwischenlager — aber das Lager ist Ciphertext. Der Schlüssel sitzt hinter #: das Fragment fährt nicht mit, im Access-Log steht meist nur der Pfad. Die Leseseite ist offen, sonst müsste die Gegenseite sich erst anmelden. Nach dem ersten Lesen ist der Ciphertext weg. Server-Zero-Knowledge heißt nicht «wir speichern nichts», sondern «gespeichert und trotzdem nicht lesbar».
Mit dem Netzwerkpanel prüfen, ob etwas rausgeht
Slogans beweisen sich nicht selbst. Unten Schritte ohne Vertrauen, mit den Entwicklerwerkzeugen. Ziel ist nicht «es gibt keine Seitenkanäle auf der Welt», sondern «ein Klick POSTet den Klartext nicht».
Beim Generator anfangen. Zufall und Passphrase müssen ohne Login entstehen. Es geht um «geht Erzeugen nach außen?», nicht um statische Assets.
Netzwerk öffnen, Preserve log an. Chrome, Edge, Firefox. Filter zuerst Fetch/XHR, dann alle. Preserve log hält Einträge über Sprünge. Auch sendBeacon und Service Worker erscheinen dort.
Ein leicht wiedererkennbares Passwort erzeugen. Etwas länger, in den Editor kopieren. Im Netzwerkpanel die ganze Kette oder ein Stück suchen, das nicht zufällig im JS-Quelltext steht.
URL, Query, Payload. Kein Treffer heißt: zumindest bei diesem Erzeugen fuhr der Klartext nicht als HTTP-Inhalt. Fremde Strings in Skripten zählen nicht — nur die gerade erzeugte Kette.
Dieselbe Methode an den anderen Werkzeugen. Prüfung, Privatsphäre, Datei-Box: Testpasswort oder kleine Testdatei. Die Prüfung darf das Passwort nicht schicken, die Säuberung nicht den Originaltext POSTen, die Box nicht Klartext als Multipart hochladen.
Beim Burn-Link Ciphertext und Fragment ansehen. Zum Server sollte Ciphertext gehen, nicht deine Eingabe. Im vollen Link sitzt der Schlüssel hinter #; ohne Fragment darf der Schlüssel nicht im Pfad stehen. Lesen ohne Login.
Was dieser Schritt zeigt — und was nicht
Das Panel zeigt: lag Klartext in HTTP? Es sieht weder Speicherlesen durch ein Skript derselben Herkunft, noch eine böse Erweiterung, noch XSS. Zum Entlarven vieler «Online-Tools» reicht das; es ist kein formeller Beweis.
Was lokal bleiben muss, welche Ausnahme klar sein muss
Lokal bleiben muss, was nach dem Weggeben nicht zurückzuholen ist: frische Passwörter, alte zum Prüfen, Text vor der Schwärzung, Dateiklartext, symmetrische Schlüssel. Liegen sie in fremden Logs, löscht das Schließen der Seite die andere Kopie nicht.
Das Gerät verlassen darf nur, was kryptographisch für den Server nutzlos ist: etwa der Burn-Link-Blob und statische Dateien ohne Geheimnis. Die Seite hat weder Konto noch Tresor. «Die Seite lud ein Skript» ist nicht «das Werkzeug lud Klartext hoch».
Die Datei-Box liefert .lock / .enc auf die Platte. Danach wandert Ciphertext per Cloud, Stick oder Mail. Die Cloud sieht Phrase und Original nicht — sofern die Phrase nicht in derselben Sendung im Klartext steht. Lokale Krypto ändert «der Cloud-Admin öffnet standardmäßig deine Fotos», nicht die physische Aufbewahrung.
Privatsphäre (Clean Link und Schwärzung) hält URL und Text im Browser: UTM und Anzeigenparameter weg, Telefon und Ausweis maskiert, Ergebnis zum Gegenlesen. Original nicht hochgeladen, nicht als Analytics-Inhalt. Läuft die Säuberung als POST ganzer Tickets und «schon geschwärzt» zurück, war das Fenster auf dem Server schon offen.
Grenzen und Missverständnisse
Lokal-zuerst senkt die Fläche auf Server und Weg, nicht einen Rechner mit Trojaner. Die Grenze in die Erwartung zu schreiben nützt mehr als AES in der Fußzeile.
Ist die Seite injiziert, hilft der Algorithmus nicht
XSS oder ein gekapertes Skript liest das Feld. Web Crypto schützt «ehrliche Schlüsselarbeit in einer ehrlichen Seite», nicht «böser Code ist schon same-origin». Das hängt an Same-Origin, CSP und der Integrität der Front. «AES-256-GCM» heißt nicht «XSS ist wirkungslos».
Erweiterungen, Firmenproxy, Schulter
Erweiterungen und SSL-Brüche der Firma sehen den Tab weiter. Das Panel hinter einem eingeschleusten Root-Zertifikat zeigt die Welt nach dem Proxy. Verlust, Screensharing, Schulterblick — lokale Rechnung wehrt das nicht. Das ist Endpunktsicherheit, getrennt von «der Server soll keinen Klartext halten».
«Kein Upload» ist nicht «kein Netz»
Seite und Skripte gehen weiter raus. Zu prüfen ist, ob sensible Felder in Anfragen stehen, nicht das Kabel zu ziehen. MyPassGen schickt Testpasswort, Originaltext oder Dateiinhalt auch nicht als Analyse-Ereignis — im Event darf das Geheimnis selbst nicht stehen.
Fähigkeiten nicht überzeichnen
Der Algorithmus ist AES-256-GCM, kein umschaltbares RSA, keine undeliverte nationale Suite. Die Burn-Link-Leseseite nicht als «Konto nötig» beschreiben. Nicht behaupten, der Server sähe Klartext oder Schlüssel. Ehrlich: sensible Rechnung im Browser; Klartext, Schlüssel, Datei standardmäßig nicht hochgeladen; Burn-Link-Server hält nur Ciphertext.
Wo du selbst nachprüfen kannst
Willst du nur wissen, ob «dieses Erzeugen» nach außen ging, ist der Generator der günstigste Einstieg. Zufall und Passphrase lokal, kopieren und exportieren ebenso. Netzwerk auf, die gerade erzeugte Kette suchen. Billig, und das Gefühl fürs Klartextfenster sitzt danach.
Übliche Alternativen haben konkrete Löcher. Klartext-Mail und Chat lassen Schlüssel in Historie, Archiv und Gerätebackup; Cloud ist für den Server lesbar, außer du schließt vorher; Schlüssel in der Query stehen fast sicher im Access-Log. Das ist nicht «unbequem», das Fenster ist eingebaut.
Eine Datei, die nicht nackt in die Cloud soll: Datei-Box, AES-256-GCM im Stream, höchstens 5 GB, .lock oder .enc. Denselben Vorgang mitschneiden: die Originaldatei darf nicht als POST gehen. Kurzen Text einmalig, Schlüssel nicht in Serverlogs: Burn-Link, lokal schließen, Schlüssel hinter #, Server nur Ciphertext, Lesen ohne Konto. Dieser Text verlangt nur eine Antwort: nach dem Klick — ist der Klartext noch in deinem Tab?
Der Satz von MyPassGen: lokale Verschlüsselung, Sicherheit die mitgeht. Mitgehen heißt: die Rechnung läuft in dem Tab, den du ansiehst, und du kannst das mit dem eingebauten Panel nachprüfen.