Viele Unternehmen zwingen ihre Mitarbeiter, das Passwort alle 30, 60 oder 90 Tage zu ändern. Lange galt das als Best Practice – heute ist die Fachwelt deutlich kritischer. Dieser Artikel erklärt, woher die Regel kommt, was aktuelle Empfehlungen sagen und wie du ein sinnvolles Ablaufdatum berechnest und im Blick behältst.
Was bedeutet Passwort-Ablauf?
Beim Passwort-Ablauf (Password Expiration) legt eine Richtlinie eine maximale Gültigkeitsdauer fest. Nach Ablauf dieser Frist muss der Nutzer ein neues Passwort setzen. Das Ablaufdatum berechnet sich einfach aus dem Datum der letzten Änderung plus der Gültigkeitsdauer in Tagen. Genau das übernimmt der Passwort Ablauf Rechner: Du gibst das Änderungsdatum und die Frist ein und erfährst auf den Tag genau, wann das Passwort erneuert werden muss.
Woher kommt die 90-Tage-Regel?
Die Idee dahinter: Selbst wenn ein Passwort unbemerkt gestohlen wurde, wird es durch den regelmäßigen Wechsel irgendwann wertlos. In Zeiten, in denen Datenlecks selten öffentlich wurden und Passwörter schwer zu prüfen waren, klang das vernünftig. Entsprechend schrieben Standards und Audits über Jahre feste Wechselintervalle vor.
Warum erzwungene Wechsel heute kritisch gesehen werden
Die Erfahrung zeigt: Häufige Pflichtwechsel führen oft zu schwächeren Passwörtern. Menschen, die alle 90 Tage ein neues Passwort brauchen, wählen vorhersehbare Muster wie Sommer2025!, gefolgt von Herbst2025!, oder hängen einfach eine hochzählende Ziffer an. Solche Muster sind für Angreifer leicht zu erraten, sobald ein altes Passwort bekannt ist.
Deshalb haben einflussreiche Stellen ihre Empfehlungen geändert:
- NIST (USA) rät in den Digital Identity Guidelines ausdrücklich davon ab, Passwörter ohne konkreten Anlass periodisch ablaufen zu lassen.
- BSI (Deutschland) hat die pauschale Empfehlung regelmäßiger Wechsel zurückgenommen und betont stattdessen Länge und Einzigartigkeit.
- Ein Wechsel sollte anlassbezogen erfolgen – also dann, wenn ein Verdacht auf Kompromittierung besteht.
Wann ein Ablauf trotzdem sinnvoll ist
Ganz abschaffen lässt sich der Passwort-Ablauf nicht immer. In regulierten Branchen, bei geteilten Konten oder dort, wo keine Zwei-Faktor-Authentifizierung möglich ist, bleibt ein gesteuerter Wechselzyklus ein pragmatischer Kompromiss. Auch nach einem bekannt gewordenen Datenleck ist ein sofortiger Wechsel Pflicht. In diesen Fällen hilft eine klare Berechnung des Ablaufdatums, Fristen einzuhalten und rechtzeitig zu erinnern.
Wichtiger als der Zeitplan ist allerdings die Qualität des neuen Passworts. Ein langes, zufälliges Passwort hält Brute-Force über Jahrzehnte stand – prüfe das mit dem Passwort Brute-Force-Zeit Rechner und schätze seine Zufälligkeit mit dem Passwort Entropie Rechner.
So nutzt du die Ablaufberechnung
- Trag das Datum der letzten Passwortänderung ein.
- Wähle die in deiner Organisation geltende Gültigkeitsdauer (z. B. 90 Tage).
- Notiere dir das errechnete Datum und erinnere dich einige Tage vorher.
Das Wichtigste in Kürze
- Ablaufdatum = Änderungsdatum plus Gültigkeitsdauer in Tagen.
- Erzwungene Routinewechsel gelten heute als überholt und schwächen oft die Sicherheit.
- BSI und NIST empfehlen anlassbezogene Wechsel statt fester Intervalle.
- Wo Fristen Pflicht sind, hilft eine saubere Berechnung beim Einhalten.
Berechne das nächste Ablaufdatum deiner Passwörter direkt mit dem Passwort Ablauf Rechner und behalte alle Fristen im Griff. Weitere Tools findest du in den kotsch.tech Webtools.