Sichere Passwörter und Passwortmanager

Was macht ein Passwort sicher?

Ein Passwort ist sicher, wenn es zwei Bedingungen erfüllt: Es ist lang, und es kommt bei keinem anderen Dienst noch einmal vor. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt die Länge dabei über die Komplexität. Der Grund ist einfach zu verstehen. Wenn ein Angreifer ein Passwort knacken will, probiert sein Programm sehr viele Kombinationen durch. Jedes zusätzliche Zeichen vervielfacht die Zahl der Möglichkeiten und macht das Durchprobieren um ein Vielfaches aufwendiger. Ein kurzes Passwort mit vielen Sonderzeichen ist deshalb oft leichter zu knacken als ein langes aus einfachen Wörtern.

Wichtig ist auch, dass in einem Passwort kein Wort steckt, das leicht zu erraten ist: kein Name, kein Geburtsdatum, kein Lieblingsverein, keine Tastaturfolge wie qwertz. Solche Muster stehen ganz oben in den Listen, die Angreifer zuerst ausprobieren. Und ein sicheres Passwort teilst du mit niemandem, auch nicht mit der besten Freundin und erst recht nicht am Telefon.

Länge schlägt Sonderzeichen

Die klassische Regel, ein Passwort müsse mindestens acht Zeichen haben und aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen bestehen, führt in der Praxis zu Passwörtern, die schwer zu merken und trotzdem nicht besonders sicher sind. Das BSI nennt heute zwei gleichwertige Wege. Der eine ist ein kürzeres Passwort ab etwa acht Zeichen, das dafür alle vier Zeichenarten mischt. Der andere, bequemere Weg ist ein langes Passwort ab etwa zwanzig Zeichen aus wenigen Zeichenarten.

Am leichtesten merkst du dir eine sogenannte Passphrase: vier oder mehr zufällige Wörter, die nichts miteinander zu tun haben, aneinandergereiht, zum Beispiel Tomate-Anker-Wolke-Gitarre. Eine solche Kette ist lang, wirkt für ein Knackprogramm zufällig und lässt sich trotzdem als kleines Bild im Kopf behalten. Wähle die Wörter wirklich zufällig und nicht aus einem bekannten Zitat oder Liedtext, denn ganze Sätze aus dem Netz stehen ebenfalls in den Listen der Angreifer.

Für jedes Konto ein eigenes Passwort

Die wichtigste Regel ist nicht, wie kompliziert ein einzelnes Passwort ist, sondern dass du jedes nur einmal verwendest. Der Grund liegt in den großen Datenlecks. Wird ein Onlineshop oder ein Forum gehackt, landen die dort gespeicherten Zugangsdaten in Listen, und Kriminelle probieren dieselben Kombinationen automatisiert bei Hunderten anderer Dienste durch. Dieses Durchprobieren heißt Credential Stuffing und funktioniert nur, weil so viele Menschen dasselbe Passwort mehrfach nutzen.

Wer für jeden Dienst ein eigenes Passwort hat, verliert bei einem Datenleck höchstens ein einziges Konto. Wer überall dasselbe benutzt, verliert im schlimmsten Fall alle auf einmal: E-Mail, Shop, soziales Netzwerk und Bezahldienst. Genau so wird aus einem Leck bei einem unwichtigen Dienst ein gekapertes Konto bei einem wichtigen. Ein eigenes Passwort je Dienst zieht diese Verbindung durch, bevor sie entsteht.

Der Passwort-Manager nimmt dir das Merken ab

Für jeden Dienst ein eigenes, langes Passwort, das klingt nach einer unmöglichen Merkaufgabe. Genau dafür gibt es Passwort-Manager. Ein Passwort-Manager ist ein Programm, das für jedes Konto ein langes Zufallspasswort erzeugt, es verschlüsselt speichert und beim Anmelden automatisch einträgt. Du musst dir davon kein einziges merken. Du brauchst nur noch ein starkes Hauptpasswort, mit dem du den Manager selbst aufschließt.

Das BSI empfiehlt Passwort-Manager ausdrücklich und nennt als kostenloses Beispiel das Programm KeePass. Daneben gibt es viele weitere, auch die in Browsern und Betriebssystemen eingebauten Speicher. Achte bei der Auswahl darauf, dass der Manager deine Daten verschlüsselt und dass du ihn mit einem zweiten Faktor zusätzlich absichern kannst. Ein guter Manager nimmt dir noch mehr ab: Er warnt dich, wenn du dasselbe Passwort mehrfach benutzt, und viele prüfen auch, ob eines deiner Passwörter in einem bekannten Leck aufgetaucht ist.

Ein häufiger Einwand lautet, es sei doch gefährlich, alle Passwörter an einem Ort zu haben. In der Praxis ist das Gegenteil der Fall. Ohne Manager benutzen die meisten Menschen wenige, kurze Passwörter mehrfach, und genau das ist die eigentliche Gefahr. Ein Manager macht es überhaupt erst möglich, für jeden Dienst ein starkes, eigenes Passwort zu haben.

Das eine Passwort, das du dir merken musst

Wenn ein Passwort-Manager fast alles übernimmt, entscheidet alles am Hauptpasswort. Es schützt den Tresor, in dem alle anderen liegen, deshalb sollte es besonders lang und einzigartig sein. Eine Passphrase aus fünf oder mehr zufälligen Wörtern ist hier ideal, weil sie lang genug ist und sich trotzdem behalten lässt. Dieses eine Passwort schreibst du nirgends unverschlüsselt auf und tippst es nur auf Geräten ein, denen du vertraust.

Ein kleiner, oft übersehener Punkt: Überlege, wie du auch dann noch an deinen Tresor kommst, wenn das Gerät verloren geht. Die meisten Manager bieten dafür einen Wiederherstellungsschlüssel, den du einmal ausdruckst und sicher verwahrst. Wer den Zugang zu seinem Passwort-Manager geordnet hinterlegt, erleichtert im Ernstfall auch den Angehörigen vieles, mehr dazu steht im Ratgeber zum digitalen Nachlass.

Zwei-Faktor-Schutz und Passkeys

Ein starkes Passwort ist die halbe Miete. Die andere Hälfte ist ein zweiter Faktor. Der Zwei-Faktor-Schutz verlangt zur Anmeldung zusätzlich etwas, das nur du hast, meist einen Code aus einer App auf deinem Handy oder eine Bestätigung per Fingerabdruck. Selbst wenn dein Passwort gestohlen wird, kommt damit niemand allein hinein.

Nicht alle Verfahren sind gleich stark. Der Code per SMS ist der schwächste, weil er sich beim sogenannten Echtzeit-Phishing abfangen lässt: Du gibst ihn auf einer gefälschten Seite ein, und die Täter reichen ihn im selben Moment an die echte Seite weiter. Wie diese Masche funktioniert, steht im Ratgeber zum Phishing. Deutlich sicherer sind Codes aus einer Authenticator-App. Am stärksten sind Passkeys und Sicherheitsschlüssel.

Ein Passkey ist ein moderner Ersatz fürs Passwort, der auf deinem Gerät liegt und an die echte Adresse eines Dienstes gebunden ist. Auf einer gefälschten Seite funktioniert er gar nicht erst, deshalb lässt er sich nicht abphishen. Immer mehr Dienste bieten Passkeys an. Wo du die Wahl hast, ist der Passkey die beste Option, weil er stark und zugleich bequem ist, du entsperrst ihn einfach mit dem Fingerabdruck oder der Bildschirmsperre deines Geräts.

Wann du ein Passwort wechseln musst und wann nicht

Lange galt die Regel, man solle Passwörter alle paar Wochen oder Monate wechseln. Diese Empfehlung hat das BSI zurückgenommen, und das aus gutem Grund. Wer ständig neue Passwörter erfinden muss, wählt am Ende schwächere und ändert oft nur eine Zahl am Ende. Der erzwungene Routinewechsel senkt die Sicherheit eher, als dass er sie erhöht.

Richtig ist der gezielte Wechsel. Ändere ein Passwort dann, wenn es in einem Datenleck aufgetaucht ist, wenn du einen unbefugten Zugriff bemerkst oder wenn du es aus Versehen auf einer verdächtigen Seite eingegeben hast. Ob deine Zugangsdaten im Umlauf sind, prüfst du kostenlos beim Identity Leak Checker des Hasso-Plattner-Instituts oder bei Have I Been Pwned. Schlägt der Check an, gilt jedes Passwort, das du mit dieser Adresse benutzt hast, als bekannt, und du tauschst es überall aus.

Diese Fehler solltest du vermeiden

Ein paar Gewohnheiten machen selbst ein gutes Passwort wertlos. Wer sie kennt, umgeht sie.

1. Dasselbe Passwort bei mehreren Diensten benutzen. Das ist der häufigste und teuerste Fehler.
2. Persönliche Angaben einbauen, etwa Namen, Geburtsdaten oder den Lieblingsverein.
3. Ein Passwort per Mail oder Messenger verschicken oder es am Telefon durchgeben.
4. Das Passwort auf einem Zettel am Bildschirm oder ungeschützt in einer Notiz speichern.
5. Ein einmal geleaktes Passwort weiter benutzen, nur leicht abgewandelt.
6. Den Zwei-Faktor-Schutz aus Bequemlichkeit ausgeschaltet lassen, wo ein Dienst ihn anbietet.

Wenn ein Konto trotzdem übernommen wurde

Auch mit guten Passwörtern kann ein Konto einmal in falsche Hände geraten, etwa nach einem Leck oder einem Phishing-Angriff. Dann zählt Tempo. Ändere das Passwort des betroffenen Kontos und aller Konten, bei denen du dasselbe benutzt hast, melde alle fremden Geräte ab und schalte den Zwei-Faktor-Schutz ein. Die vollständige Reihenfolge steht im Ratgeber zum gehackten Konto. Ein gutes Passwortkonzept ist außerdem der beste Schutz gegen die Folgen anderer Angriffe. Ein eigenes Passwort je Dienst begrenzt den Schaden bei einem Datenleck, erschwert den Identitätsdiebstahl und hält, zusammen mit einem getrennten Backup, auch die Folgen von Erpressungssoftware klein.

Häufige Fragen