Nein, du machst nichts falsch. Das ist einfach eine Schwachstelle des Verfahrens an sich. Wenn die zu verschlüsselnde Datei lange Folgen von Null-Bytes enthält, dann steht in der verschlüsselten Datei an eben diesen Stellen das Passwort im Klartext wiederholt hintereinander. Das liegt daran, dass die xor-Operation angewendet auf ein beliebiges Zeichen und das Null-Byte wieder dieses Zeichen ergibt. Daher sollte man aufpassen, wenn man diesen Algorithmus für Binärdateien verwendet, da es bei solchen nicht ungewöhnlich ist, dass sie lange Folgen von Null-Bytes enthalten. Um das Passwort in diesem Fall zu verschleiern, könnte man beispielsweise eine zufällige und möglichst lange Folge von beliebigen Bytes (und nicht nur lesbaren ASCII-Zeichen, die womöglich noch sinnvolle Wörter ergeben) verwenden, sodass ein Angreifer nicht sofort erkennt, dass es sich um ein Passwort handelt. Prinzipiell ist eine XOR-Verschlüsselung daher eher für reine Textdateien geeignet.