Kann ich Dashlane vibecoden?

Baue mir eine Passwort-Hygieneprüfung für einen bestehenden Tresor, den Teil von Dashlane, der offline funktioniert. Anforderungen:

- Ein Python-Kommandozeilenwerkzeug mit Typer. Es speichert keine Passwörter und ersetzt keinen Passwortmanager.
- Eingabe ist ein CSV-Export aus einem beliebigen Passwortmanager. Die Datei wird gelesen, ausgewertet und danach nicht abgelegt. Am Ende erinnert das Werkzeug daran, den Export sicher zu löschen.
- Finde Mehrfachverwendung: gleiche Passwörter über mehrere Einträge, gruppiert und nach Anzahl sortiert. Das ist der wichtigste Befund und steht deshalb oben.
- Bewerte Stärke über die tatsächliche Entropie aus Länge und Zeichenraum, nicht über Regeln wie ein Sonderzeichen. Zeige die Schätzung in Bit.
- Prüfe auf bekannte Leaks über die Have-I-Been-Pwned-Range-API mit k-Anonymität: es gehen nur die ersten fünf Zeichen des SHA-1-Hashes über das Netz, nie das Passwort und nie der volle Hash. Erkläre dieses Verfahren in der README, damit man dem Werkzeug glauben kann.
- Melde Einträge ohne Zwei-Faktor-Hinweis für Domains aus einer mitgelieferten Liste bekannter Anbieter mit 2FA-Unterstützung.
- Ergebnis als Bericht in HTML und CSV, priorisiert: mehrfach verwendet und geleakt zuerst, dann geleakt, dann schwach.
- Das Werkzeug arbeitet vollständig offline bis auf die HIBP-Abfrage, die sich mit --offline abschalten lässt.
- Deutsch sind Bericht, Ausgaben, Kommentare und README. Alle Bezeichner bleiben englisch: Befehle, Optionen, CSV-Spalten.

Bewusst weglassen:

- Passwörter speichern oder verwalten. Dafür gibt es KeePassXC und Bitwarden, beide geprüft.
- Autofill und Browsererweiterungen.
- Dark-Web-Überwachung über HIBP hinaus. Die Datenquellen dahinter sind eingekauft.