Sichere Passwörter und Passwortmanager

Ein sicheres Passwort ist lang, zufällig und wird nur für ein einziges Konto verwendet. Weil sich niemand Dutzende solcher Passwörter merken kann, übernimmt das ein Passwortmanager: Er erzeugt und speichert sie, und du merkst dir nur noch ein einziges, starkes Master-Passwort.

Warum Passwörter geknackt werden#

Die meisten Konten werden nicht durch geniales Hacken übernommen, sondern auf drei einfache Arten:

1. Wiederverwendung: Nach einem Datenleck probieren Angreifer die erbeuteten Kombinationen aus E-Mail und Passwort automatisch bei vielen anderen Diensten aus. Das nennt man Credential Stuffing. Solche Listen werden massenhaft im Darknet gehandelt.
2. Erraten: Kurze oder gängige Passwörter wie „Sommer2026!“ stehen in Wortlisten und werden in Sekunden gefunden.
3. Phishing: Gefälschte Anmeldeseiten fangen das Passwort ab – egal, wie stark es ist. Dagegen hilft Zwei-Faktor-Authentifizierung.

Was das BSI empfiehlt#

Das Bundesamt für Sicherheit in der Informationstechnik hat seine Empfehlungen in den vergangenen Jahren vereinfacht:

• Länge vor Komplexität: Lieber lange Passwörter oder Passphrasen aus mehreren Wörtern als kurze, schwer merkbare Zeichenfolgen.
• Kein Wechsel ohne Anlass: Passwörter nicht nach festem Zeitplan ändern, sondern wenn sie schwach sind oder ein Verdacht auf Missbrauch besteht.
• Passwortmanager nutzen: Sie gelten als gute Lösung zur Verwaltung vieler Passwörter.
• Zwei-Faktor-Authentifizierung einschalten, wo immer es möglich ist.

So sieht ein gutes Passwort aus#

Für das Master-Passwort deines Passwortmanagers eignet sich eine Passphrase aus fünf oder mehr zufälligen Wörtern: lang, gut merkbar und schwer zu erraten. Wähle die Wörter nicht selbst aus, sondern lass sie zufällig erzeugen – etwa durch den Passwortgenerator des Managers oder mit Würfeln und einer Wortliste.

Passwortmanager: die Praxis#

Ein Passwortmanager speichert alle Zugangsdaten in einem verschlüsselten Tresor. Gute Manager:

• erzeugen für jedes Konto ein neues Zufallspasswort,
• füllen Anmeldefelder nur auf der richtigen Website aus – ein eingebauter Schutz gegen Phishing-Seiten mit ähnlicher Adresse,
• verschlüsseln den Tresor auf deinem Gerät, bevor etwas in eine Cloud geht.

Eine Schritt-für-Schritt-Anleitung findest du unter KeePassXC: Anleitung für Einsteiger.

Passwörter und anonyme Identitäten#

Für anonyme Konten gelten dieselben Regeln, mit einer Ergänzung: Verwende niemals ein Passwort, das du auch für deine echte Identität nutzt oder genutzt hast. Ermittler werten Passwörter aus beschlagnahmten Datenbanken aus; beim Marktplatz Hansa sammelte die Polizei 2017 Passwörter im Klartext – bei wiederverwendeten Passwörtern ein Schlüssel zu weiteren Konten derselben Nutzer. Halte anonyme Zugangsdaten außerdem in einem eigenen, getrennten Tresor.

Prüfen, ob ein Passwort geleakt ist#

Der Dienst Have I Been Pwned bietet unter „Pwned Passwords“ eine Prüfung an, ob ein Passwort in bekannten Datenlecks vorkommt. Viele Passwortmanager haben diese Prüfung eingebaut. Taucht ein Passwort auf, ändere es überall, wo du es verwendest. Mehr dazu: Prüfen, ob deine Daten im Darknet sind.