Ein gutes Passwort ist lang und nur für ein einziges Konto bestimmt. Ein Passwortmanager kann solche Passwörter erzeugen und speichern. Aktiviere zusätzlich MFA oder – wenn angeboten – einen Passkey, der gegen klassische Phishing-Seiten deutlich robuster ist.
Länge vor unnötiger Komplexität
NIST betont die Länge als wichtigsten Faktor für selbst gewählte Passwörter. Starre Regeln wie monatlicher Wechsel oder erzwungene Sonderzeichen führen häufig zu vorhersehbaren Mustern. Dienste sollten bekannte kompromittierte Passwörter blockieren.
Für zufällig generierte Passwörter übernimmt ein Manager die Komplexität. Für ein merkbares Master-Passwort eignet sich eine lange, nur dort verwendete Passphrase. Konkrete Mindestlängen unterscheiden sich nach Dienst und Bedrohungsmodell.
Belege: NIST: How Do I Create a Good Password? · NIST SP 800-63B-4: Authentication
Brute Force, Wörterbuch und Datenlecks
Beim Brute Force werden viele Kombinationen ausprobiert. Wörterbuchangriffe priorisieren häufige Wörter, Varianten und bekannte Muster. Noch gefährlicher ist Credential Stuffing: Ein geleaktes Passwort wird automatisiert bei anderen Diensten getestet.
Darum ist Einzigartigkeit so wichtig. Ein einzelnes Datenleck darf nicht mehrere Konten öffnen. Prüfe Warnungen deines Passwortmanagers oder seriöse Leak-Benachrichtigungen und ändere betroffene Zugangsdaten direkt beim echten Dienst.
Passwortmanager und MFA
Ein Passwortmanager erzeugt für jedes Konto ein langes Zufallspasswort. Schütze den Tresor mit einer starken, einzigartigen Passphrase und MFA. Plane Wiederherstellungscodes so, dass du bei Geräteverlust nicht ausgesperrt bist.
MFA ergänzt das Passwort um einen zweiten Faktor. Authenticator-App oder Sicherheitsschlüssel sind meist stärker als SMS, doch jede zusätzliche Hürde hilft gegen reine Passwortdiebstähle.
Belege: CISA: Passwortmanager · Primärquelle
Passkeys: Anmeldung ohne geteiltes Geheimnis
Passkeys basieren auf einem Schlüsselpaar. Der private Schlüssel bleibt auf deinem Gerät beziehungsweise in deinem geschützten Synchronisationssystem; der Dienst erhält den öffentlichen Schlüssel. Weil die Anmeldung an die echte Domain gebunden ist, sind Passkeys gegen klassische Phishing-Seiten widerstandsfähig.
Prüfe vor der Umstellung, wie Synchronisation, Gerätewechsel und Wiederherstellung beim Anbieter funktionieren. Behalte Wiederherstellungswege sicher im Blick.
Belege: FIDO Alliance: Passkeys · Primärquelle
Typische Irrtümer
Kurze und bekannte Muster bleiben leicht erratbar.
Wiederverwendung macht ein einziges Datenleck zum Dominoeffekt.
MFA reduziert Risiken stark, ersetzt aber keine Wachsamkeit und sichere Wiederherstellung.
Praktische Checkliste
- Wichtige Konten zuerst auf einzigartige Passwörter umstellen
- Passwortmanager einrichten
- E-Mail-Konto besonders stark absichern
- MFA oder Passkey aktivieren
- Wiederherstellungscodes offline sichern
- Bei Leak-Warnung direkt die echte Website öffnen und Passwort ändern
Fazit
Beurteile ein Passwort nicht nach dekorativer Komplexität oder spektakulären Knackzeit-Tabellen. Sicherheit entsteht aus langen, einzigartigen Zugangsdaten, einem vertrauenswürdigen Manager, zusätzlicher Authentifizierung und einem guten Wiederherstellungsplan.
Quellen und weiterführende Informationen
Alle Anleitungen und Quellen wurden zuletzt am 23. Juli 2026 geprüft. Produktmenüs können sich je nach Version, Region und Hersteller unterscheiden.
