Was ist RSA-Schlüsselgenerator?

Erzeugen Sie RSA-Schlüsselpaare privat und sicher mithilfe der Web Crypto API. Wählen Sie Schlüsselgrößen von 1024 bis 4096 Bit und exportieren Sie Schlüssel im PEM-Format für SSH, TLS-Zertifikate, JWT-Signierung und verschlüsselte Kommunikation. Ihr privater Schlüssel verlässt niemals Ihr Gerät.

Die Web Crypto API erledigt die rechenintensive Arbeit auf deinem Gerät — die Schlüssel verlassen deine Maschine nie. Wähle 1024, 2048, 3072 oder 4096 Bit und entscheide, ob das Paar zum Verschlüsseln (RSA-OAEP) oder zum Signieren (RSASSA-PKCS1-v1_5) dient. Exportiere in vier Formaten: PEM PKCS#8 (der moderne Standard), PEM PKCS#1 (die traditionellen RSA-Blöcke), JWK für JWT- und OIDC-Stacks oder eine OpenSSH-ssh-rsa-Zeile, die du direkt in authorized_keys einfügst. Ein SHA-256-Fingerabdruck lässt dich den Schlüssel mit den Aufzeichnungen deines Servers abgleichen. Optional schützt du den privaten Schlüssel mit einer Passphrase — er wird dann als standardkonformes EncryptedPrivateKeyInfo verpackt (PBES2 + PBKDF2-HMAC-SHA256 + AES-256-CBC) und lässt sich später mit openssl pkcs8 entschlüsseln. Wenn du nur den privaten Schlüssel behalten hast, füge ihn im Tab „Öffentlichen ableiten“ ein, um den passenden öffentlichen Schlüssel wiederherzustellen.

Anleitung

1. Wählen Sie die RSA-Schlüsselgröße (2048 oder 4096 Bit werden für den Produktiveinsatz empfohlen).
2. Wähle ein Ausgabeformat (PKCS#8, PKCS#1, JWK oder OpenSSH) und lege optional eine Passphrase fest, um den privaten Schlüssel zu verschlüsseln — klicke dann auf Generieren, um das Paar auf deinem Gerät zu erstellen.
3. Kopiere oder lade den öffentlichen und privaten Schlüssel im gewählten Format herunter.

Wann verwenden

• JWTs signieren in einem Projekt, in dem der private Schlüssel keinen Drittanbieter passieren darf.
• Wegwerf-Schlüsselpaare für Unit-Tests, Staging-Umgebungen oder CI-Runner erzeugen.
• Einen neuen SSH-Benutzer ausstatten oder ein Onboarding-Ticket mit frischen Schlüsseln beantworten.

Ergebnis

Erzeugen Sie ein 4096-Bit-RSA-Schlüsselpaar zum Signieren von JWTs. Der öffentliche Schlüssel kommt in Ihre Auth-Server-Konfiguration, der private Schlüssel bleibt auf Ihrem gesicherten Rechner.

Häufige Fragen

Sollte ich 2048 oder 4096 Bit wählen?

2048 ist das aktuelle Mindestmaß im Produktivbetrieb und die Größe der meisten TLS-Zertifikate. 4096 bringt rund 10 bis 20 Jahre zusätzliche Sicherheitsmarge, signiert aber etwa 5-mal langsamer. 1024 ist in jedem modernen Bedrohungsmodell unsicher.

Lässt sich dasselbe Paar zum Verschlüsseln und Signieren verwenden?

Technisch geht das, ist aber keine gute Idee. Die Web Crypto API zwingt zu einer Verwendung pro Schlüssel, was der NIST-Empfehlung entspricht. Beide Operationen auf einem Schlüssel öffnen Protokollangriffe und erschweren die Rotation. Lieber zwei Paare erzeugen.

Wie bekomme ich aus diesem Tool einen SSH-Schlüssel?

Wähle das OpenSSH-Format (oder die Vorlage SSH-Schlüssel): Der öffentliche Teil kommt als fertige ssh-rsa-Zeile für authorized_keys heraus, der private Teil ist ein normales PKCS#8-PEM, das du als id_rsa speicherst. Wenn du bereits einen privaten PEM-Schlüssel hast, kannst du auch ssh-keygen -y -f id_rsa > id_rsa.pub ausführen, um die öffentliche Zeile abzuleiten, oder puttygen --to-openssh für PuTTY. Beide akzeptieren PKCS#8- und PKCS#1-Eingaben direkt.

Ist RSA 2026 noch sinnvoller als Ed25519?

Ed25519 ist schneller, hat 256-Bit-Schlüssel und ist heute der Standard für SSH und Signaturen. RSA bleibt sinnvoll, wenn breite Kompatibilität nötig ist: TLS-Roots, konservative JWT-Bibliotheken, ältere HSMs, Legacy-SAML oder Gegenstellen ohne EdDSA-Unterstützung.

Was sagt mir der SHA-256-Fingerabdruck konkret?

Er ist eine kurze kryptografische Zusammenfassung des öffentlichen Schlüssels (der SPKI-Bytes). Vergleiche ihn über einen zweiten Kanal — Anruf, Signal, persönlich — um sicherzugehen, dass der erhaltene Schlüssel genau der vom Gegenüber erzeugte ist.

Ähnliche Tools