Das Passwort ist seit Jahrzehnten der wichtigste Schutzwall zwischen deinen Daten und einem Angreifer – und gleichzeitig die mit Abstand häufigste Schwachstelle. Schwache, mehrfach verwendete oder leicht erratbare Passwörter sind nach wie vor die Ursache für einen großen Teil aller erfolgreichen Account-Übernahmen. Dieser Artikel zeigt dir, wie ein wirklich sicheres Passwort aufgebaut ist, warum die alten Komplexitätsregeln überholt sind und wie du dutzende starke Passwörter verwalten kannst, ohne dir auch nur ein einziges merken zu müssen.
Warum schwache Passwörter so gefährlich sind
Angreifer raten Passwörter heute nicht mehr von Hand. Sie nutzen automatisierte Werkzeuge, die Millionen Kombinationen pro Sekunde durchprobieren. Dabei kommen drei Methoden besonders häufig zum Einsatz:
- Brute-Force-Angriffe: Das systematische Durchprobieren aller möglichen Zeichenkombinationen. Je kürzer das Passwort, desto schneller ist es geknackt.
- Wörterbuch-Angriffe: Hier werden Listen mit gängigen Wörtern, Namen und bekannten Passwörtern abgearbeitet. "Sommer2024!" wirkt komplex, steht aber faktisch in jeder dieser Listen.
- Credential Stuffing: Bei einem Datenleck erbeutete Zugangsdaten werden automatisiert bei anderen Diensten ausprobiert. Wer dasselbe Passwort mehrfach nutzt, verliert mit einem Leck gleich alle Konten.
Genau deshalb ist Wiederverwendung das größte Einzelrisiko überhaupt. Selbst ein perfektes Passwort wird wertlos, sobald es bei mehreren Diensten zum Einsatz kommt und einer davon kompromittiert wird.
Länge schlägt Komplexität
Lange Zeit galt die Regel: möglichst viele Sonderzeichen, Zahlen, Groß- und Kleinbuchstaben. Das Problem an dieser Logik ist, dass sie Passwörter erzeugt, die für Menschen schwer zu merken, für Computer aber leicht zu knacken sind. Das US-amerikanische NIST (National Institute of Standards and Technology) hat seine Empfehlungen entsprechend angepasst und stellt heute die Länge in den Vordergrund.
Der mathematische Hintergrund ist einfach: Jedes zusätzliche Zeichen vervielfacht die Anzahl der möglichen Kombinationen. Ein Passwort aus 16 zufälligen Kleinbuchstaben hat mehr Entropie – also mehr Unvorhersehbarkeit – als ein achtstelliges Passwort mit allen erdenklichen Sonderzeichen. Entropie ist die eigentliche Kennzahl für Passwortstärke, nicht die Frage, ob ein Ausrufezeichen dabei ist.
Als grobe Faustregel gilt: Unter 12 Zeichen sind heute zu wenig. 16 oder mehr Zeichen bieten einen komfortablen Sicherheitspuffer, der auch zukünftiger Rechenleistung lange standhält.
Passphrasen: lang und trotzdem merkbar
Eine elegante Lösung für Passwörter, die du dir selbst merken musst – etwa das Master-Passwort deines Passwort-Managers oder die Anmeldung an deinem Laptop – ist die Passphrase. Statt einer kryptischen Zeichenfolge kombinierst du mehrere zufällige, voneinander unabhängige Wörter.
Wichtig ist, dass die Wörter wirklich zufällig gewählt sind und keinen sinnvollen Satz ergeben. "Tisch Komet Lawine Bürste Anker" ist eine starke Passphrase, weil sie lang ist und keinem bekannten Muster folgt. Ein Zitat aus einem Lied oder ein bekannter Spruch hingegen ist wertlos, weil solche Phrasen ebenfalls in Angriffslisten stehen.
Die Methode dahinter nennt sich oft "Diceware": Man würfelt echte Wörter aus einer langen Liste aus, sodass die Auswahl garantiert zufällig ist. Fünf bis sechs zufällige Wörter ergeben eine Passphrase, die praktisch nicht zu knacken und dennoch deutlich leichter zu tippen und zu merken ist als kryptischer Buchstabensalat.
Der Passwort-Manager als zentrale Lösung
Die ehrliche Wahrheit ist: Niemand kann sich für dutzende Online-Dienste jeweils ein einzigartiges, langes Zufallspasswort merken. Genau dafür gibt es Passwort-Manager. Sie erzeugen für jeden Dienst ein eigenes starkes Passwort, speichern es verschlüsselt und füllen es beim Login automatisch aus. Du musst dir nur noch ein einziges, sehr starkes Master-Passwort merken.
Die Vorteile sind erheblich:
- Jeder Dienst bekommt automatisch ein einzigartiges Passwort – Wiederverwendung wird unmöglich.
- Die Passwörter dürfen so lang und zufällig sein, wie du möchtest, weil du sie dir nicht merken musst.
- Gute Manager warnen dich, wenn ein gespeichertes Passwort in einem bekannten Datenleck aufgetaucht ist.
- Die Auto-Fill-Funktion schützt zusätzlich vor Phishing: Der Manager füllt Zugangsdaten nur auf der echten, registrierten Domain aus.
Bei der Auswahl hast du die Wahl zwischen cloudbasierten Lösungen mit Synchronisation über mehrere Geräte und rein lokalen Varianten, bei denen die verschlüsselte Datenbank ausschließlich auf deinen eigenen Geräten liegt. Beide Ansätze sind legitim – entscheidend ist, dass die Verschlüsselung lokal auf deinem Gerät stattfindet und der Anbieter dein Master-Passwort niemals zu Gesicht bekommt (Zero-Knowledge-Prinzip).
Ein starkes Passwort sofort erzeugen
Wenn du schnell ein zufälliges, sicheres Passwort brauchst, ohne dafür gleich Software zu installieren, kannst du unseren Passwort-Generator nutzen. Er erzeugt direkt im Browser zufällige Zeichenketten in der gewünschten Länge und mit den gewünschten Zeichenklassen. Achte darauf, dass das erzeugte Passwort lokal generiert wird und nicht über das Netzwerk wandert. Weitere praktische Helfer rund um Sicherheit und Alltag findest du in unserem Webtools-Bereich.
Wurde mein Passwort schon geleakt?
Datenlecks sind Alltag. Große Plattformen, Foren und Onlineshops werden regelmäßig kompromittiert, und die erbeuteten Zugangsdaten landen in riesigen, frei zirkulierenden Sammlungen. Es lohnt sich daher, regelmäßig zu prüfen, ob die eigene E-Mail-Adresse oder ein Passwort in einem bekannten Leck auftaucht.
Seriöse Prüfdienste arbeiten dabei mit einem cleveren Verfahren: Sie übertragen nie dein vollständiges Passwort, sondern nur einen kleinen Teil eines Hashwertes (k-Anonymität). So lässt sich abgleichen, ob dein Passwort in einer Datenbank steht, ohne dass das Passwort selbst den Anbieter erreicht. Findest du eines deiner Passwörter in einem Leck, solltest du es sofort überall dort ändern, wo du es verwendet hast – und es nie wieder einsetzen.
Häufige Fehler, die du vermeiden solltest
- Persönliche Bezüge: Geburtsdaten, Namen von Haustieren, Lieblingsvereine – all das lässt sich oft aus sozialen Netzwerken ableiten und gehört nicht ins Passwort.
- Vorhersehbare Variationen: Aus "Passwort1" wird "Passwort2" – solche Muster erkennen Angreifer sofort.
- Tastaturmuster: "qwertz", "123456" oder "asdfgh" stehen ganz oben in jeder Angriffsliste.
- Passwörter im Klartext speichern: Notizen auf dem Desktop, eine unverschlüsselte Tabelle oder eine Mail an sich selbst sind alles offene Einfallstore.
- Erzwungene regelmäßige Wechsel: Moderne Empfehlungen raten von willkürlichen Passwortwechseln ab, weil sie meist nur zu schwächeren, leicht abgewandelten Passwörtern führen. Ändere ein Passwort, wenn es kompromittiert wurde – nicht aus reiner Routine.
Passwörter allein reichen nicht
Selbst das stärkste Passwort kann durch ein Datenleck oder einen erfolgreichen Phishing-Angriff in falsche Hände geraten. Deshalb ist die zweite Verteidigungslinie genauso wichtig: die Zwei-Faktor-Authentifizierung. Sie sorgt dafür, dass ein gestohlenes Passwort allein nicht ausreicht, um sich einzuloggen. Und langfristig zeichnet sich mit Passkeys bereits eine Zukunft ab, in der das klassische Passwort ganz verschwindet.
Häufige Fragen
Wie lang sollte mein Passwort mindestens sein?
Für normale Online-Konten gelten 12 Zeichen als absolutes Minimum, 16 oder mehr sind empfehlenswert. Bei besonders wichtigen Zugängen wie deinem Master-Passwort oder E-Mail-Konto solltest du eher zu einer langen Passphrase aus fünf bis sechs zufälligen Wörtern greifen.
Sind Passwort-Manager wirklich sicher?
Ja, sofern du eine etablierte Lösung mit Zero-Knowledge-Architektur und ein starkes Master-Passwort verwendest. Das theoretische Risiko, dass ein Manager kompromittiert wird, ist um ein Vielfaches geringer als das sehr reale Risiko, dass du ohne ihn schwache oder mehrfach verwendete Passwörter nutzt.
Muss ich meine Passwörter regelmäßig wechseln?
Nein, nicht ohne Anlass. Aktuelle Empfehlungen sprechen sich gegen erzwungene Routinewechsel aus. Ändere ein Passwort dann, wenn es in einem Datenleck aufgetaucht ist oder du einen begründeten Verdacht auf Kompromittierung hast.
Was mache ich, wenn ein Dienst keine langen Passwörter zulässt?
Nutze die maximal erlaubte Länge und die zulässigen Zeichenklassen voll aus und aktiviere zusätzlich die Zwei-Faktor-Authentifizierung, falls der Dienst sie anbietet. Künstliche Längenbeschränkungen sind ein schlechtes Zeichen, aber 2FA gleicht das Risiko deutlich aus.
Ist es sicher, Passwörter im Browser zu speichern?
Moderne Browser haben ihre Passwortspeicher deutlich verbessert und sind besser als gar kein System. Dedizierte Passwort-Manager bieten jedoch mehr Funktionen, plattformübergreifende Synchronisation und eine sauberere Trennung von deinem Surfverhalten. Wenn du den Browserspeicher nutzt, schütze ihn unbedingt mit einem zusätzlichen Geräte-Passwort oder einer biometrischen Sperre.