Fast jeder Online-Dienst verlangt ein Passwort, und fast jeder hat zu viele davon. Die Folge: schwache, wiederverwendete Kennwörter, die im Ernstfall in Sekunden geknackt sind. Doch was macht ein Passwort eigentlich stark? Es ist nicht die wilde Mischung aus Sonderzeichen, die viele vermuten – die Wahrheit ist überraschend einfach. Dieser Ratgeber erklärt, worauf es bei der Passwortstärke wirklich ankommt.
Länge schlägt Komplexität
Die wichtigste Erkenntnis vorweg: Länge ist der entscheidende Faktor. Ein 16 Zeichen langes Passwort aus nur Kleinbuchstaben ist deutlich schwerer zu knacken als ein 8 Zeichen langes mit Groß-, Kleinschreibung, Zahlen und Sonderzeichen. Der Grund liegt in der Mathematik: Jedes zusätzliche Zeichen vervielfacht die Anzahl möglicher Kombinationen, und dieser Effekt wächst exponentiell mit der Länge.
Genau diesen Zusammenhang spiegelt der Passwort-Stärke-Score wider: Er bewertet ein Passwort nach Länge und Zeichenvielfalt und gibt dir einen sofortigen Score zurück – ohne das Passwort irgendwohin zu senden, denn die Bewertung läuft lokal im Browser.
Entropie: das Maß für Unvorhersehbarkeit
In der Kryptografie misst man die Stärke eines Passworts in Entropie, angegeben in Bit. Vereinfacht beschreibt die Entropie, wie viele Versuche ein Angreifer im Schnitt braucht, um das Passwort durch Ausprobieren (Brute Force) zu erraten. Jedes zusätzliche Bit verdoppelt diese Anzahl.
Die Entropie hängt von zwei Größen ab: der Größe des Zeichenvorrats (nur Kleinbuchstaben sind 26 Zeichen, mit Großbuchstaben 52, plus Zahlen 62, plus gängige Sonderzeichen rund 95) und der Länge des Passworts. Als grobe Orientierung gilt: Unter 28 Bit ist sehr schwach, 60 Bit gelten als brauchbar, ab etwa 80 Bit spricht man von stark. Eine präzise Berechnung in Bit liefert dir der Passwort Entropie Rechner.
Passphrasen: lang und doch merkbar
Wie verbindet man große Länge mit Merkbarkeit? Die Antwort sind Passphrasen – mehrere zufällig gewählte Wörter, aneinandergereiht. Vier zufällige Wörter wie „Anker-Tulpe-Quarz-Wolke“ ergeben über 20 Zeichen, sind leicht zu merken und durch die Länge extrem schwer zu knacken. Wichtig ist, dass die Wörter wirklich zufällig gewählt sind und nicht aus einem bekannten Zitat oder Liedtext stammen, denn solche Sequenzen stehen in den Wörterbüchern der Angreifer.
Typische Fehler, die Passwörter schwächen
- Wiederverwendung: Ein einziges geleaktes Passwort öffnet sonst gleich mehrere Konten. Nach einem Datenleck probieren Angreifer dieselbe Kombination automatisiert bei hunderten Diensten durch (Credential Stuffing).
- Vorhersehbare Muster: „Passwort123!“ oder das Anhängen einer 1 und eines Ausrufezeichens erfüllen zwar formale Komplexitätsregeln, sind aber den Crackern bestens bekannt.
- Persönliche Daten: Geburtsdaten, Namen von Kindern oder Haustieren lassen sich über soziale Netzwerke leicht recherchieren.
- Zeichenersetzung: Aus „Passwort“ wird „P4ssw0rt“ – solche Tricks rechnen moderne Knack-Tools standardmäßig mit ein und bringen kaum Sicherheitsgewinn.
Über das Passwort hinaus: Zwei-Faktor und Passwortmanager
Selbst das stärkste Passwort schützt nicht, wenn es durch Phishing oder ein Datenleck in falsche Hände gerät. Deshalb gehören zwei Maßnahmen zur Grundausstattung. Ein Passwortmanager erzeugt und speichert für jeden Dienst ein einzigartiges, langes Zufallspasswort – du musst dir nur noch ein einziges starkes Master-Passwort merken. Die Zwei-Faktor-Authentifizierung (2FA) verlangt zusätzlich einen zweiten Nachweis, etwa einen Code aus einer App. Selbst wenn ein Angreifer das Passwort kennt, scheitert er ohne den zweiten Faktor.
Für besondere Anwendungsfälle lohnt ein Generator: Ein gut merkbares und dennoch sicheres WLAN-Passwort erstellst du etwa mit dem WLAN Passwort Generator. Die generelle Faustregel bleibt: Länge vor Komplexität, jedes Konto einzigartig, plus 2FA wo immer möglich.
Wer die Stärke eines konkreten Passworts einschätzen will, nutzt am besten den Passwort-Stärke-Score – und denkt daran, dass das beste Passwort eines ist, das du nirgendwo sonst verwendest. Weitere Sicherheits- und Entwickler-Tools findest du in der Webtools-Sammlung.
Häufige Fragen
Wie lang sollte ein sicheres Passwort sein?
Mindestens 12 Zeichen, besser 16 oder mehr. Da die Stärke exponentiell mit der Länge wächst, bringt jedes zusätzliche Zeichen einen deutlichen Sicherheitsgewinn – mehr als das Hinzufügen weiterer Sonderzeichen bei gleicher Länge.
Sind Sonderzeichen Pflicht für ein starkes Passwort?
Sie helfen, sind aber kein Allheilmittel. Eine ausreichend lange Passphrase aus mehreren zufälligen Wörtern kann sicherer sein als ein kurzes Passwort mit vielen Sonderzeichen. Länge ist der wichtigere Hebel.
Muss ich meine Passwörter regelmäßig ändern?
Erzwungene regelmäßige Wechsel gelten heute als überholt, weil sie zu vorhersehbaren Mustern führen. Ändere ein Passwort gezielt dann, wenn ein Dienst von einem Datenleck betroffen ist oder du einen Verdacht hast – sonst genügen lange, einzigartige Passwörter.