Sichere Passwörter: Der einfache Leitfaden
Die meisten Passwort-Ratschläge sind veraltet oder unnötig kompliziert. Hier sind die Regeln, die 2026 wirklich zählen – ohne Sicherheits-Theater.
Das eigentliche Problem: nicht Hacker, sondern Wiederverwendung
Die romantische Vorstellung vom Hacker, der dein Passwort „errät", ist selten die Realität. Der häufigste Angriffsweg ist banaler: Ein Onlinedienst wird gehackt, Millionen Passwörter landen im Netz – und Kriminelle probieren diese Kombinationen automatisiert bei anderen Diensten durch („Credential Stuffing"). Wer dasselbe Passwort bei E-Mail, Shop und Streaming nutzt, verliert mit einem einzigen Leak alles auf einmal.
Daraus folgt Regel Nummer eins, wichtiger als alles andere: Für jeden Dienst ein eigenes Passwort.
Länge schlägt Komplexität
Jahrzehntelang wurde gepredigt: Sonderzeichen, Zahlen, Großbuchstaben. Das Ergebnis waren Passwörter wie „Sommer2024!" – für Menschen schwer zu merken, für Maschinen leicht zu knacken, weil sie auf Wörterbuchmustern basieren. Entscheidend ist mathematisch etwas anderes: die Länge.
| Passwort | Bewertung |
|---|---|
| Sommer2024! | ❌ schwach – Wörterbuchmuster trotz Sonderzeichen |
| xK9#m$2v (8 Zeichen, zufällig) | ⚠️ mittel – in Tagen knackbar |
| xK9#m$2vQp!4 (12 Zeichen, zufällig) | ✅ stark – Jahrhunderte |
| KorrektBatterieTulpeHeft (Passphrase) | ✅ stark – und merkbar |
Jedes zusätzliche zufällige Zeichen multipliziert den Knack-Aufwand um das rund 90-fache. Faustregel: mindestens 12, besser 16 Zeichen – erzeugt in einer Sekunde mit unserem Passwort-Generator.
Das Drei-Schichten-System für den Alltag
So organisierst du deine Passwörter einmal richtig – und hast danach Ruhe:
- Schicht 1 – Passwort-Manager: Ein Programm, das alle Passwörter verschlüsselt speichert und auf Wunsch selbst generiert. Du merkst dir nur noch ein einziges Master-Passwort. Seriöse Manager gibt es kostenlos und quelloffen.
- Schicht 2 – die Master-Passphrase: Für den Manager selbst nimmst du eine lange Passphrase aus 4–5 wirklich zufälligen Wörtern („BesenMondKaktusZiffer"). 25+ Zeichen, extrem stark, trotzdem merkbar.
- Schicht 3 – Zwei-Faktor-Authentifizierung (2FA): Für E-Mail, Banking und alle wichtigen Konten zusätzlich aktivieren. Selbst ein gestohlenes Passwort läuft dann ins Leere. Authenticator-App ist besser als SMS.
Drei hartnäckige Mythen
- „Passwörter regelmäßig wechseln!" Überholt. Erzwungene Wechsel führen zu schwachen Mustern (Sommer2024 → Herbst2024). Auch das BSI empfiehlt den Wechsel nur noch bei konkretem Verdacht auf einen Leak.
- „Im Browser speichern ist unsicher." Moderne Browser-Passwortspeicher sind solide – ein dedizierter Passwort-Manager ist besser, aber Browser-Speicher schlägt Zettel und Wiederverwendung allemal.
- „Meine Konten interessieren doch niemanden." Angriffe laufen automatisiert gegen Millionen Konten gleichzeitig. Dein E-Mail-Konto ist als Reset-Schlüssel für alle anderen Dienste sogar besonders wertvoll.
Bin ich schon betroffen? So findest du es heraus
Ob deine E-Mail-Adresse in bekannten Datenlecks auftaucht, prüfst du bei seriösen Diensten wie „Have I Been Pwned" oder dem Identity Leak Checker des Hasso-Plattner-Instituts. Wenn ja: Passwort des betroffenen Dienstes ändern – und überall dort, wo du dasselbe Passwort genutzt hast. Danach sorgt das Drei-Schichten-System dafür, dass dich der nächste Leak kaltlässt.