Sicheres Passwort

Ein sicheres Passwort ist lang, zufällig und gehört zu genau einem Konto. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) lässt dir dabei zwei Wege: ein kürzeres Passwort mit mindestens acht Zeichen aus allen vier Zeichenarten oder ein langes mit mindestens 25 Zeichen, das dafür einfacher aufgebaut sein darf. Am bequemsten ist es, wenn du Passwörter gar nicht selbst ausdenkst, sondern mit dem Passwort-Generator erzeugst und in einem Passwortmanager speicherst.

Was das BSI empfiehlt

Die BSI-Empfehlungen für sichere Passwörter lassen sich in einer Tabelle zusammenfassen:

Grundsätzlich kannst du alle verfügbaren Zeichen verwenden, auch Leerzeichen. Eine Ausnahme macht das BSI bei Umlauten und Zeichen wie ä, ö, ü, ß oder €: Sie fehlen auf ausländischen Tastaturen oder werden von manchen Diensten anders kodiert, und dann kommst du im Urlaub nicht mehr in dein Konto.

Warum Länge mehr bringt als Sonderzeichen

Die Stärke eines zufälligen Passworts misst man in Bit Entropie. Jedes Bit verdoppelt die Zahl der Möglichkeiten, die ein Angreifer durchprobieren müsste. Jedes zusätzliche Zeichen erhöht die Entropie spürbar, ein zusätzlicher Zeichentyp nur ein wenig.

Ein Rechenbeispiel: Ein zufälliges Passwort aus 8 Zeichen mit Groß- und Kleinbuchstaben und Ziffern kommt auf rund 48 Bit. Ein zufälliges Passwort aus 16 Kleinbuchstaben kommt auf rund 75 Bit, obwohl es nur eine Zeichenart nutzt. Die Rechnung dahinter erklären wir beim Passwort-Generator.

Wichtig: Diese Rechnung gilt nur für echten Zufall. Ein Passwort, das du dir selbst ausdenkst, folgt fast immer Mustern, die Angreifer kennen.

Was du vermeiden solltest

Das BSI nennt typische Fehler, die ein Passwort schwach machen:

• Namen von Familienmitgliedern, Haustieren, Freunden oder Lieblingsstars,
• Geburtsdaten,
• Tastatur- und Wiederholungsmuster wie „asdfgh“ oder „1234abcd“,
• einfache Ziffern am Ende eines Worts oder ein Sonderzeichen wie $, !, ? oder # am Anfang oder Ende eines simplen Passworts,
• dasselbe Passwort für mehrere Zugänge.

Der letzte Punkt wiegt am schwersten. Werden Zugangsdaten eines Dienstes gestohlen und veröffentlicht, probieren Angreifer sie automatisiert bei anderen Diensten aus. Wer überall dasselbe Passwort nutzt, verliert dann mehrere Konten auf einmal.

Passphrase: lang und trotzdem merkbar

Für die wenigen Passwörter, die du im Kopf behalten musst, eignet sich eine Passphrase. Das BSI schlägt vor, fünf bis sechs Wörter zufällig aus dem Wörterbuch zu wählen und mit Leerzeichen zu trennen. Wichtig ist das Wort „zufällig“: Ein Liedtext oder ein bekanntes Zitat ist keine gute Passphrase.

So erstellst du eine Passphrase:

1. Öffne den Passwort-Generator und wähle den Modus „Passphrase“.
2. Stelle sechs oder mehr Wörter ein. Jedes Wort aus unserer Liste mit 2.048 Wörtern bringt 11 Bit.
3. Wähle ein Trennzeichen, etwa ein Leerzeichen oder einen Bindestrich.
4. Erzeuge so lange neu, bis dir eine Kombination gefällt, die du dir als kleine Geschichte merken kannst.
5. Tippe sie in den nächsten Tagen ein paar Mal bewusst ein, bis sie sitzt.

Das BSI nennt noch zwei andere Merkhilfen: einen ganzen Satz als Passwort nutzen oder von einem Satz nur die Anfangsbuchstaben nehmen und einzelne Zeichen durch Ziffern oder Sonderzeichen ersetzen.

Beispiel: Eine Familie teilt sich ein Netflix- und ein Amazon-Konto. Statt eines gemeinsamen Passworts für alles bekommt jedes Konto ein eigenes, zufällig erzeugtes Passwort, das im gemeinsamen Tresor des Passwortmanagers liegt. Die Eltern merken sich nur ihre eigene Passphrase für den Passwortmanager.

Wohin mit den vielen Passwörtern?

Niemand kann sich 50 verschiedene, zufällige Passwörter merken. Das BSI empfiehlt bei vielen Konten einen Passwortmanager, dann brauchst du nur noch ein starkes Masterpasswort. Wie die Programme funktionieren und worauf du achten solltest, steht im Ratgeber Passwortmanager.

Wenn du Passwörter aufschreibst, dann laut BSI nicht unverschlüsselt auf dem Rechner und nicht auf einem Zettel am Monitor, sondern weggeschlossen oder in einer verschlüsselten Datei. Per E-Mail solltest du Passwörter nicht verschicken, weil E-Mails meist unverschlüsselt unterwegs sind.

Wann du ein Passwort ändern solltest

Einen festen Wechselrhythmus empfiehlt das BSI nicht. Es nennt stattdessen konkrete Anlässe:

• Der Anbieter fordert dich dazu auf.
• Ein Datenleck bei dem Dienst wird bekannt.
• Eine Spam- oder Phishing-Mail enthält korrekte persönliche Daten von dir.
• Dein Gerät ist womöglich mit Schadsoftware befallen. Dann zuerst das Gerät bereinigen und danach die Passwörter ändern.

Außerdem rät das BSI, voreingestellte Passwörter an Geräten und Programmen zu ändern, zum Beispiel am Router. Angreifer probieren solche Standard-Zugangsdaten zuerst aus.

Ob deine E-Mail-Adresse in einem bekannten Datenleck auftaucht, kannst du bei Have I Been Pwned oder beim Identity Leak Checker des Hasso-Plattner-Instituts prüfen. Das BSI nennt beide Dienste, weist aber darauf hin, dass es für deren Daten nicht garantieren kann und ein Treffer nicht immer zeigt, welches Konto betroffen war.

Router, WLAN und Bildschirmsperre

Ein Passwort, das oft vergessen wird, ist das für das WLAN. Das BSI empfiehlt für WLAN-Netze mit WPA2 oder WPA3 mindestens 20 Zeichen. Weil du das WLAN-Passwort meist nur einmal pro Gerät eingibst, darf es ruhig lang sein. Ändere außerdem das voreingestellte Passwort für die Verwaltungsoberfläche des Routers, falls der Hersteller eines vergeben hat.

Auch der eigene Rechner braucht Schutz, wenn du kurz weggehst. Das BSI rät, den Bildschirmschoner so einzustellen, dass er nach etwa fünf Minuten ohne Eingabe sperrt, und den Bildschirm von Hand zu sperren, wenn du den Platz verlässt.

Passwörter an andere weiterzugeben, etwa an Kollegen oder Familienmitglieder, bedeutet laut BSI, die Kontrolle über das Konto aus der Hand zu geben. Wenn mehrere Leute ein Konto brauchen, sind eigene Zugänge oder ein geteilter Tresor im Passwortmanager die bessere Lösung.

Mehr Schutz als ein Passwort

Selbst ein perfektes Passwort hilft nicht, wenn du es auf einer gefälschten Seite eingibst. Deshalb lohnt sich bei wichtigen Konten ein zweiter Faktor. Laut BSI bietet die Anmeldung mit zweitem Faktor ein höheres Maß an Sicherheit als Benutzername und Passwort allein. Wie du sie einrichtest, erklärt der Ratgeber Zwei-Faktor-Authentifizierung. Noch einen Schritt weiter gehen Passkeys, die das Passwort ganz ersetzen.