Warum der Zwischenablageverlauf nach dem Kopieren eines generierten Passworts noch Klartext behält
Ein Klick auf Kopieren heißt nicht, dass die Zeichenfolge nur in dem Feld existiert, in das Sie als Nächstes einfügen. Der Browser übergibt den Text an die System-Zwischenablage. Unter Windows listet Win+V nach dem Einschalten bis zu 25 Einträge, jeder höchstens 4 MB. Ist die geräteübergreifende Synchronisierung an, oder läuft auf Apple-Geräten die universelle Zwischenablage, erscheint derselbe Klartext auf einem zweiten Gerät mit demselben Konto. Die Abschnitte unten trennen, welche Schicht Kopieren schreibt – und geben einen Check, den Sie an diesem PC ausführen können. Das ist keine Bedienungsanleitung für den Passwort-Generator.
Zuerst klären, welche Schicht Kopieren schreibt
Dieser Artikel beantwortet nur, warum der Zwischenablageverlauf nach dem Kopieren eines frisch erzeugten Passworts noch Klartext behält. Er ist keine Schrittliste für den Passwort-Generator und kein Handbuch für einen Passwortmanager.
Wohin der Kopieren-Button tatsächlich schreibt
Das ist nicht „in das nächste Anmeldefeld kopiert“. Der Text landet zuerst in der System-Zwischenablage der aktuellen Benutzersitzung. Jedes Programm, das die Zwischenablage lesen darf, kann ihn erneut holen.
Nach dem Erzeugen eines Passworts ist der nächste Schritt meist: Kopieren klicken, dann in ein Registrierungsformular, die Router-Oberfläche oder ein Server-Panel einfügen. Der Button klingt nach „schick es dorthin, wo ich gleich einfüge“. Die Reihenfolge ist umgekehrt. Die Seite ruft navigator.clipboard.writeText auf und übergibt die Zeichenfolge dem Betriebssystem. Einfügen ist nur ein späteres Lesen. Zwischen diesen beiden Aktionen gehört der Klartext nicht mehr allein diesem Tab.
Der Passwort-Generator von UsePwd folgt genau diesem Weg. Der Zufallsmodus erlaubt 6–128 Zeichen, standardmäßig 16; unter 8 Zeichen warnt die Seite, dass die Sicherheit geringer ist. Die Zeichen werden im aktuellen Tab mit der Web Crypto API gezogen. Die Seite ist sofort nutzbar – ohne Registrierung. Die Erfolgsmeldung lautet „In die Zwischenablage kopiert.“ Gemeint ist die System-Zwischenablage, nicht „nur das nächste Eingabefeld“. Die Zeichenfolge erscheint nicht im Anfragekörper an UsePwd. Die Seite Sicherheitshinweise beantwortet, ob Klartext den Browser in Richtung UsePwd verlässt. Dieser Artikel behandelt die nächste Schicht: Kann das Betriebssystem die Zeichenfolge behalten, nachdem der Tab fertig ist?
Das ist eine andere Schicht als „warum ein rotierter Schlüssel nicht zurück in den Chat gehört“. Dort fügen Sie einen API-Schlüssel selbst in einen durchsuchbaren, synchronisierten, archivierbaren Kanal ein; siehe Nach einem Leak der Cloud-Umgebungsvariablen gehört der neue Schlüssel nicht in den Chat. Hier passiert es früher. Der Chat muss noch gar nicht offen sein. Win+V oder ein zweites angemeldetes Gerät kann dieselbe Zeichenfolge bereits lesen.
Die Frage nach dem Kopieren lautet nicht „hat die Website das Passwort hochgeladen“. Sie lautet: „Nach diesem Schreiben in die System-Zwischenablage – auf welchen Geräten liegt der Klartext noch, über Verlauf, Synchronisierung oder universelle Zwischenablage?“ Das Netzwerk-Panel auf der Generatorseite prüft nur die erste Hälfte.
Wie viele Einträge Win+V behält
Microsoft hat die Grenzen in der Support-Dokumentation festgehalten. Die Zahlen lassen sich an Ihrem eigenen Gerät abgleichen. Sie müssen nicht raten, ob der Verlauf „wahrscheinlich merkt“.
Windows 10 und Windows 11 liefern beide einen Zwischenablageverlauf. Beim ersten Mal drücken Sie die Windows-Logo-Taste+V und wählen Aktivieren. Danach landet jede gewöhnliche Kopie, die in die unterstützten Formate passt, in dieser Liste. Die Support-Seite von Microsoft nennt die Obergrenze: Der Verlauf behält bis zu 25 Einträge; jeder Eintrag höchstens 4 MB; unterstützt werden Text, HTML und Bitmap. Ältere, nicht angeheftete Einträge werden verdrängt, damit Neue Platz haben.
Ein Neustart löscht den nicht angehefteten Verlauf. Angeheftete Einträge sind die Ausnahme: Sie bleiben nach einem Neustart und werden nicht verdrängt, um Platz zu schaffen. Einen einzelnen Eintrag löschen Sie über Win+V, dann Mehr anzeigen neben dem Eintrag und Löschen. Um nicht angeheftete Inhalte auf dem Gerät und in der Cloud in einem Schritt zu leeren, gehen Sie auf Einstellungen → System → Zwischenablage → Zwischenablagedaten löschen, oder wählen Sie oben im Verlaufsfenster Alle löschen. Diese Schritte stehen in Microsoft Support, Verwenden der Zwischenablage. Sie können sie an diesem PC nachvollziehen.
Ein Passwort ist weit kleiner als 4 MB, die Länge ist also kein Filter. Sechzehn Zufallszeichen, 128 Zufallszeichen oder mehrere Passwörter als ein mit Zeilenumbrüchen verbundener Block landen alle als Text im Verlauf. Screenshots nutzen die Zwischenablage ebenfalls. Fotografieren Sie das noch sichtbare Passwort, kann diese Bitmap einen der 25 Plätze belegen. Text im Panel zu sehen heißt nicht, dass der Verlauf nur Text speichert.
Die nächste Kopie überschreibt diesen Slot. Viele prüfen nur diese Schicht und nehmen an, das alte Passwort sei weg.
Nicht angeheftete Einträge verschwinden beim Neustart. Angeheftete bleiben, bis Sie sie von Hand löschen.
Text, HTML, Bitmap. Ein Passwort passt fast immer. Ein Screenshot hängt von der Auflösung ab.
Der Support für Windows 10 endete am 14. Oktober 2025. Der Zwischenablageverlauf unter Windows 11 wird in derselben Support-Seite beschrieben. „Keine Sicherheitsupdates mehr“ heißt nicht „der Zwischenablageverlauf ist verschwunden“. Läuft der Rechner noch, kann Win+V den kopierten Text weiterhin auflisten.
Wohin Sync und universelle Zwischenablage die Zeichenfolge schicken
Der lokale Verlauf ist nur die erste Kopie. Sobald die Synchronisierung an ist, wird die Vertrauensgrenze jedes angemeldete Gerät unter diesem Konto.
Die Windows-Synchronisierung hängt am Microsoft-Konto oder am Geschäftskonto. Der Weg ist Einstellungen → System → Zwischenablage. Schalten Sie den Zwischenablageverlauf auf Ihren Geräten ein. Die automatische Synchronisierung lädt kopierten Text in die Cloud und liefert ihn an andere Geräte mit derselben Anmeldung. Die manuelle Variante wartet, bis Sie Win+V drücken und am Eintrag Synchronisieren wählen. Beide Modi stehen in derselben Microsoft-Support-Seite. Der Unterschied ist nicht „kommt es jemals in die Cloud“. Der Unterschied ist „jede Kopie – oder nur die, die Sie markieren“.
Apple-Geräte nutzen eine andere Leitung. Die universelle Zwischenablage sitzt auf Handoff: Geräte unter demselben iCloud-Konto, die nah beieinanderliegen, können auf einem kopieren und auf dem anderen einfügen. Apples Seite Handoff-Sicherheit hält zwei prüfbare Punkte fest. Erstens wird der Zwischenablageinhalt standardmäßig mit der universellen Zwischenablage geteilt, es sei denn, das App-Entwicklungsteam untersagt die Freigabe. Zweitens können Apps die Zwischenablage lesen, bevor jemand einfügt; mit universeller Zwischenablage gilt dieser Lesezugriff auch für Apps auf den anderen angemeldeten Geräten der Benutzerin oder des Benutzers.
Die Übertragung selbst ist verschlüsselt. Handoff kündigt über Bluetooth Low Energy an, schützt Aktivitätsdaten ähnlich wie iMessage und bewegt größere Mengen über Peer-to-Peer-WLAN mit TLS. Das heißt nur: Eine fremde Person auf dem Weg kann die Bytes nicht ohne Weiteres öffnen. Es heißt nicht, dass das gemeinsam genutzte iPad in der Küche die Zeichenfolge nicht sieht. Das Vertrauensmodell ist das Konto, nicht ein einzelner Rechner. Ein Haushalt mit einem gemeinsamen Apple-Account oder ein Dienstlaptop und ein privater PC unter demselben Microsoft-Konto vergrößern den Kreis, der das gerade kopierte Passwort lesen kann.
„Die Cloud-Synchronisierung ist verschlüsselt“ ist nicht „das zweite Gerät sieht keinen Klartext“. Die Verschlüsselung gilt für den Weg und die Ablage in der Cloud. Wenn Sie auf einem anderen entsperrten Gerät einfügen, erhalten Sie wieder die ursprüngliche Zeichenfolge.
Warum Passwortmanager den Verlauf überspringen können
Windows „erkennt“ kein Passwort. Eine native App kann zusätzliche Formate in die Zwischenablage legen, die das System bereits kennt.
Die Win32-Dokumentation von Microsoft listet Formate für Cloud-Zwischenablage und Zwischenablageverlauf. Will eine App ihre Daten nicht im Verlauf und nicht auf anderen Geräten, kann sie diese Formate registrieren und schreiben: ExcludeClipboardContentFromMonitorProcessing hält alle Formate dieses Schreibvorgangs aus Verlauf und Synchronisierung heraus; CanIncludeInClipboardHistory mit einem DWORD-Wert 0 bleibt außerhalb des Verlaufs, der Wert 1 fordert die Aufnahme ausdrücklich; CanUploadToCloudClipboard mit 0 und 1 steuert nur die Cloud-Synchronisierung, nicht den lokalen Verlauf. Die Referenz ist Microsoft Learn, Formate der Zwischenablage.
Passwortmanager und die Windows-Anmeldeinformationsverwaltung nutzen diesen nativen Weg. Eine Webseite, die navigator.clipboard.writeText aufruft, hat kein Gegenstück: Sie kann Text schreiben und diese Ausschlussformate nicht anhängen. Ein Kopieren-Klick von einer Website ist für das System und für Drittanbieter-Zwischenablagen gewöhnlicher Text. Das ist nicht „die Seite hat vergessen zu verschlüsseln“. Das ist die Clipboard-API, die der Seite erlaubt ist – und die bei Text endet.
UsePwd ist kein Tresor und bietet keine Konten. In der Kopfzeile rechts sitzt nur die Sprachumschaltung. Generator und Prüfung sind sofort nutzbar. Die Prüfung schätzt die Stärke auf diesem Gerät und vergleicht mit einer öffentlichen Liste geleakter Passwörter, die mit der Seite kommt. Das geprüfte Passwort wird nicht hochgeladen, und der Abgleich ist weder Have I Been Pwned noch eine netzweite Suche. Diese Zusagen decken „ist das Passwort in eine UsePwd-Anfrage gelaufen“. Sie decken nicht, ob Windows dieselbe Zeichenfolge in Win+V geschrieben hat. Beides kann gleichzeitig gelten: Das Netzwerk-Panel ist sauber, und der Zwischenablageverlauf zeigt trotzdem Klartext.
Verlauf an diesem PC prüfen
Das Ziel ist nicht der Beweis „niemand auf der Welt sieht dieses Passwort“. Das Ziel ist der Beweis: Der Anfragekörper der Seite enthält es nicht, der Systemverlauf kann es enthalten, und ein zweites Gerät kann es lesen, wenn die Synchronisierung an ist.
-
01
Ein Beispielpasswort vorbereiten, das Sie auf keinem echten Konto verwenden
Nehmen Sie kein lebendes Anmeldepasswort. Erzeugen Sie 16 Zufallszeichen im Passwort-Generator oder tippen Sie
ExampleClip-20260904. Die Seite ist sofort nutzbar. Die Schritte unten zeigen nur das Systemverhalten. Speichern Sie diese Zeichenfolge auf keinem echten Konto. -
02
Kopieren, dann sofort Win+V drücken
Klicken Sie auf Kopieren oder markieren Sie den Text und drücken Sie Strg+C. Ist der Verlauf noch aus, fordert das Fenster Sie auf, ihn zu aktivieren. Ist er an, sollte die Zeichenfolge oben in der Liste stehen. Sehen Sie sie, hat Kopieren den Tab bereits verlassen und sitzt im Systemverlauf. macOS hat kein Win+V-Fenster. Läuft die universelle Zwischenablage, fügen Sie auf einem nahen zweiten Gerät unter demselben Apple-Account ein und prüfen, ob dieselbe Zeichenfolge erscheint.
-
03
Das Netzwerk-Panel öffnen und nach der Rohzeichenfolge suchen
Drücken Sie F12 und wechseln Sie zu Netzwerk. Während Sie erzeugen und kopieren, sollte keine Schnittstelle dieses Passwort als Anfragekörper an UsePwd schicken. In der Produktion können Seiten- und Buttonnamen an
/tj/gehen. Diese Nutzlast ist nicht der Klartext, den Sie kopiert haben. Eine lokale Vorschau sendet keine Analyse. Dieser Schritt prüft die Website-Grenze, nicht die Betriebssystem-Grenze. -
04
Den Sync-Schalter lesen, dann entscheiden, welche Schicht Sie leeren
Öffnen Sie Einstellungen → System → Zwischenablage. Ist der Zwischenablageverlauf auf Ihren Geräten an, prüfen Sie, ob die Synchronisierung automatisch oder manuell läuft. Den Verlauf löschen Sie über den einzelnen Eintrag in Win+V oder über Zwischenablagedaten löschen. Angeheftete Einträge müssen Sie zuerst lösen. Auf Apple-Geräten prüfen Sie Systemeinstellungen → Allgemein → AirDrop & Handoff sowie die Geräteliste unter dem Konto.
-
05
Den aktuellen Slot mit harmlosem Text überschreiben
Kopieren Sie „Überschreibtest“ oder ein einzelnes Leerzeichen. Nach dem Ersetzen der aktuellen Zwischenablage kann der alte Eintrag im Verlauf bleiben, bis Sie ihn wie oben löschen – oder bis zu einem Neustart, wenn er nicht angeheftet ist. Den aktuellen Slot zu überschreiben ist nicht dasselbe wie „der Verlauf ist leer“.
Wenn Sie außerdem sehen wollen, ob die Zeichenfolge schwach ist oder auf der öffentlichen Liste schwacher Passwörter steht, die mit der Seite kommt, öffnen Sie Passwort prüfen. Die Prüfung läuft auf diesem Gerät. Das geprüfte Passwort wird nicht hochgeladen. Diese Seite beantwortet „wie stark“, nicht „steht es noch in Win+V“. Beide Seiten sind sofort nutzbar. Tracking-Felder wie utm_* und Click-IDs auf einem Kampagnenlink sind ein anderes Ausgangsproblem; siehe Was UTM und Click-IDs mitnehmen, wenn Sie einen Kampagnenlink weiterleiten.
Was das Leeren des Verlaufs nicht aufhält
„Ich habe Alle löschen gedrückt“ als „dieses Passwort hat die Welt verlassen“ zu lesen, überspringt Grenzen, die Sie weiterhin prüfen können.
Wenn jemand anderes das Passwort braucht, verlassen Sie sich nicht auf „kopieren, in den Chat einfügen, danach Win+V leeren“. Der Chat behält durchsuchbaren Klartext. Eine einmalige Übergabe gehört auf den Einmal-Link: Der Klartext wird auf diesem Gerät mit AES-256-GCM verschlüsselt, die Nummer steht in ?id=, der Schlüssel hinter #, Erzeugen und Lesen sind sofort nutzbar, der Server speichert nur Geheimtext. Warum der Schlüssel nicht in Zugriffsprotokolle kommt, steht in Warum das #-Fragment einer URL nicht in Server-Logs steht. Diese beiden Wege nicht zu einer Zusage zusammenziehen.
Dateien sind ein dritter Weg. Lokale Verschlüsselung für eine einzelne Datei bis 5 GB ist Datei verschlüsseln, Ausgabe .lock / .enc. Die Datei wird standardmäßig nicht hochgeladen. Erzeugen Sie das Passwort im Bereich 6–128 Zeichen und prüfen Sie die Stärke unter Passwort prüfen. Diese Seiten sind wie dieser Artikel sofort nutzbar. UsePwd hat keine Konten und keinen Tresor und kann eine kopierte Zeichenfolge nicht über einen Nutzer wiederfinden. Zur Identität siehe Über uns.
Nach dem Kopieren zuerst Systemverlauf und Sync-Schalter ansehen, dann den Anfragekörper der Website. Wer „nicht an UsePwd hochgeladen“ von „nicht in Win+V“ trennen kann, liest einen Artikel über lokale Erzeugung nicht als Garantie, dass Kopieren nur im Zielfeld existiert.
Was nach dem Kopieren häufig gefragt wird
Die vier Punkte bleiben in der Grenze dieses Artikels. Sie wiederholen nicht die Buttons auf der Generatorseite.
Danach den Zwischenablageverlauf prüfen
Der Artikel beantwortet, warum der Verlauf nach dem Kopieren noch Klartext behält. Um ein Beispielpasswort zu erzeugen, das Sie auf keinem echten Konto verwenden, und dann Win+V zu drücken, öffnen Sie den Passwort-Generator – ohne Registrierung.