Sicheres Passwort erstellen: Länge, Passphrasen und MFA

Ein sicheres Passwort ist lang, zufällig und wird nur für ein einziges Konto verwendet. Aktuelle Empfehlungen der US-Behörden setzen auf Länge statt Komplexität: Die CISA empfiehlt mindestens 16 Zeichen – zum Beispiel eine zufällige Zeichenfolge aus einem Passwort-Manager oder eine Passphrase aus 5–7 Wörtern, die nichts miteinander zu tun haben.

Länge und Einzigartigkeit sind weit wichtiger, als Buchstaben durch Sonderzeichen zu ersetzen. Aktivieren Sie für wichtige Konten zusätzlich die Multi-Faktor-Authentifizierung (MFA), dann sind Sie selbst dann geschützt, wenn ein Passwort in falsche Hände gerät.

Kurz gesagt

• Lang machen: Mindestens 16 Zeichen anstreben. Je länger, desto sicherer.
• Einzigartig machen: Für jedes Konto ein anderes Passwort verwenden.
• Zufällig machen: Einen Passwort-Manager das Passwort erzeugen lassen oder 5–7 zusammenhanglose Wörter als Passphrase nutzen.
• Alte Regeln vergessen: Erzwungene Sonderzeichen oder regelmäßige Passwortwechsel sind nicht nötig. Ändern Sie ein Passwort, wenn es offengelegt worden sein könnte.
• Einen Passwort-Manager nutzen, um Passwörter zu erstellen, zu speichern und auszufüllen.
• MFA aktivieren für E-Mail, Onlinebanking, Gesundheitsportale und andere wichtige Konten.

Was macht ein Passwort sicher?

Angreifer raten Passwörter selten von Hand. Sie nutzen Software, die riesige Listen gängiger Passwörter, geleakter Passwörter und vorhersehbarer Muster durchprobiert. Ein sicheres Passwort schlägt diese Werkzeuge auf drei Arten.

1. Länge. Jedes zusätzliche Zeichen vervielfacht die Zahl möglicher Kombinationen. Deshalb legen NIST und CISA den Schwerpunkt auf die Länge.
2. Zufälligkeit. Wörter, Namen, Daten und Tastaturmuster wie „qwertz“ probieren Angreifer als Erstes aus. Wirklich zufällige Auswahl ist viel schwerer zu knacken.
3. Einzigartigkeit. Wird eine Website gehackt, probieren Kriminelle die gestohlene E-Mail-Adresse und das Passwort auf anderen Websites aus. Wenn Sie Passwörter mehrfach verwenden, kann ein einziges Datenleck viele Konten öffnen.

Was aktuelle Richtlinien sagen

Das US-amerikanische National Institute of Standards and Technology (NIST) verfasst die Passwortregeln, an denen sich viele Organisationen orientieren. Laut seinen Richtlinien zur digitalen Identität sollten Dienste:

• Passwörter mit mindestens 15 Zeichen verlangen, wenn das Passwort die einzige Anmeldemethode ist, oder mindestens 8 Zeichen, wenn es zusammen mit MFA verwendet wird.
• Passwörter mit mindestens 64 Zeichen zulassen.
• Keine Mischung von Zeichentypen erzwingen, etwa „ein Großbuchstabe, eine Zahl, ein Sonderzeichen“.
• Keine regelmäßigen Passwortwechsel erzwingen, aber einen Wechsel verlangen, wenn es Hinweise gibt, dass das Passwort kompromittiert wurde.
• Neue Passwörter mit Listen gängiger oder bereits geleakter Passwörter abgleichen.
• Passwort-Manager, automatisches Ausfüllen und Einfügen erlauben.

Die Cybersecurity and Infrastructure Security Agency (CISA) gibt der Öffentlichkeit ähnliche Ratschläge: mindestens 16 Zeichen, für jedes Konto ein anderes Passwort und ein Passwort-Manager, der die Arbeit übernimmt.

Sicheres Passwort erstellen: Schritt für Schritt

Option 1: Den Passwort-Manager erzeugen lassen (am besten)

1. Wählen Sie einen seriösen Passwort-Manager. Viele Browser und Handys haben bereits einen eingebaut, außerdem gibt es eigenständige Apps.
2. Schützen Sie den Manager mit einem langen, einzigartigen Master-Passwort oder einer Passphrase und aktivieren Sie MFA dafür.
3. Wenn Sie ein Konto anlegen oder aktualisieren, nutzen Sie die Funktion Passwort generieren des Managers.
4. Stellen Sie die Länge auf mindestens 16 Zeichen ein. Wenn die Website es erlaubt, gern länger.
5. Speichern Sie es im Manager. Er füllt das Passwort beim nächsten Mal für Sie aus, sodass Sie es sich nie merken müssen.

Option 2: Eine Passphrase erstellen, die Sie sich merken können

Nutzen Sie diese Methode für die wenigen Passwörter, die Sie aus dem Gedächtnis eintippen müssen, etwa für die Anmeldung am Computer oder das Master-Passwort Ihres Passwort-Managers.

1. Wählen Sie 5–7 Wörter, die nichts miteinander zu tun haben. Je zufälliger, desto besser. Vermeiden Sie Liedtexte, Zitate und alles, was mit Ihnen zu tun hat.
2. Wörter per Zufall auszuwählen (zum Beispiel durch Würfeln anhand einer Wortliste oder indem Sie ein Wörterbuch an beliebigen Stellen aufschlagen) ist sicherer, als Wörter zu nehmen, die sich nur zufällig „anfühlen“.
3. Reihen Sie sie aneinander – mit oder ohne Leerzeichen oder Trennzeichen, falls die Website das erlaubt: zum Beispiel laterne-kies-auster-tundra-gurke. (Verwenden Sie dieses Beispiel nicht. Es ist jetzt öffentlich.)
4. Prüfen Sie, ob sie mindestens 16 Zeichen lang ist. Die meisten Passphrasen aus fünf Wörtern schaffen das problemlos.
5. Verwenden Sie sie nur für ein einziges Konto.

Option 3: Ein bestehendes schwaches Passwort verbessern

1. Beginnen Sie mit Ihren wichtigsten Konten: E-Mail, Onlinebanking und alle Konten, über die sich andere zurücksetzen lassen.
2. Ersetzen Sie kurze oder mehrfach verwendete Passwörter durch ein generiertes Passwort oder eine neue Passphrase.
3. Aktivieren Sie MFA, solange Sie ohnehin in den Sicherheitseinstellungen des Kontos sind.
4. Arbeiten Sie den Rest nach und nach ab und nutzen Sie dabei die Liste mehrfach verwendeter oder schwacher Passwörter in Ihrem Passwort-Manager als To-do-Liste.

Schwache und sichere Passwörter im Vergleich

Die Tabelle zeigt Muster, keine echten Passwörter. Verwenden Sie niemals ein Beispielpasswort von irgendeiner Website.

Multi-Faktor-Authentifizierung (MFA) aktivieren

MFA fügt bei der Anmeldung einen zweiten Schritt hinzu, sodass ein gestohlenes Passwort allein nicht reicht. Die CISA empfiehlt, sie für E-Mail, Onlinebanking, Gesundheitsdienste und andere wichtige Konten zu aktivieren. Ihr E-Mail-Konto kommt zuerst, denn wer es kontrolliert, kann Ihre anderen Passwörter zurücksetzen.

Gängige MFA-Methoden sind:

• Authenticator-Apps, die alle 30 Sekunden einen neuen Code anzeigen.
• Codes per SMS oder E-Mail. Besser als gar keine MFA, aber laut CISA sind Codes per SMS und Anruf anfällig für Phishing und SIM-Swapping – nutzen Sie sie daher nur als letzte Option.
• Biometrie, etwa Fingerabdruck oder Gesichtserkennung.
• FIDO-basierte Anmeldung, etwa mit einem physischen Sicherheitsschlüssel. Die CISA bezeichnet FIDO/WebAuthn als einzige weit verbreitete phishingresistente Methode.

Zum Einrichten suchen Sie in den Einstellungen des Kontos unter Sicherheit oder Anmeldung nach Optionen wie „Bestätigung in zwei Schritten“, „Zwei-Faktor-Authentifizierung“ oder „Multi-Faktor-Authentifizierung“. Bewahren Sie die Backup-Codes an einem sicheren Ort auf.

Häufige Fehler, die Sie vermeiden sollten

• Passwörter mehrfach verwenden. Das ist das größte Risiko. Ein einziges Datenleck kann jedes Konto offenlegen, das dasselbe Passwort nutzt.
• Auf Zeichenersetzungen vertrauen. „a“ durch „@“ zu ersetzen oder „1!“ ans Ende zu hängen, ist vorhersehbar – Knackprogramme probieren das automatisch.
• Persönliche Daten verwenden. Namen von Haustieren, Geburtstage und Lieblingsvereine sind online leicht zu finden.
• Passwörter in einer ungeschützten Notiz oder Tabelle notieren. Nutzen Sie stattdessen einen verschlüsselten Passwort-Manager.
• Passwörter oder MFA-Codes weitergeben. Echte Unternehmen fragen nie per Telefon, SMS oder E-Mail nach Ihrem Passwort oder einem Anmeldecode. Erfahren Sie, wie Sie Online-Betrug erkennen – auch Phishing.
• Passwörter ohne Grund nach Plan ändern. Das NIST empfiehlt keine erzwungenen regelmäßigen Wechsel mehr, da diese oft zu kleinen, vorhersehbaren Änderungen führen. Ändern Sie ein Passwort, wenn es Anzeichen gibt, dass es offengelegt wurde.

Häufig gestellte Fragen

Wie lang sollte ein sicheres Passwort sein?

Die CISA empfiehlt mindestens 16 Zeichen, länger ist besser. Laut NIST sollten Dienste mindestens 15 Zeichen verlangen, wenn ein Passwort der einzige Anmeldefaktor ist. Mit einem Passwort-Manager sind lange Passwörter kein Problem.

Sind Passphrasen wirklich sicherer als komplexe Passwörter?

Eine lange Passphrase aus wirklich zufälligen Wörtern ist meist sicherer als ein kurzes Passwort voller Sonderzeichen – und viel leichter zu merken. Länge bringt mehr Sicherheit als Komplexitätsregeln.

Sollte ich meine Passwörter regelmäßig ändern?

Laut aktuellen NIST-Richtlinien müssen Sie Passwörter nicht nach festem Zeitplan ändern. Ändern Sie eines sofort, wenn ein Dienst ein Datenleck meldet, Sie verdächtige Aktivitäten bemerken oder Sie es versehentlich weitergegeben haben.

Sind Passwort-Manager sicher?

Ein seriöser Passwort-Manager, geschützt durch ein starkes Master-Passwort und MFA, ist weit sicherer, als Passwörter mehrfach zu verwenden oder aufzuschreiben. Außerdem wird es damit praktikabel, überall ein einzigartiges Passwort zu nutzen.

Was soll ich tun, wenn mein Passwort von einem Datenleck betroffen war?

Ändern Sie dieses Passwort sofort, ebenso bei jedem Konto, bei dem Sie dasselbe verwendet haben. Aktivieren Sie MFA und prüfen Sie die letzten Kontoaktivitäten. Wurde das Konto für Geldgeschäfte genutzt, kontrollieren Sie auch Ihre Kontoauszüge.

Ist es sicher, Passwörter im Browser zu speichern?

Die integrierten Passwort-Manager großer Browser und Handys sind für viele Menschen eine vernünftige Wahl, vor allem mit aktivierter Gerätesperre und MFA. Bevor Sie den Browser-Cache leeren, achten Sie darauf, nicht versehentlich auch gespeicherte Passwörter zu löschen, auf die Sie angewiesen sind.

---

Quellen

• NIST SP 800-63B – Digital Identity Guidelines: Authentication and Authenticator Management
• CISA Secure Our World – Passwords Tip Sheet
• CISA Secure Our World – Turn On Multifactor Authentication
• CISA – Implementing Phishing-Resistant MFA (fact sheet)