Ein Passwort ist dann wirklich sicher, wenn ein Angreifer es weder erraten noch durch Ausprobieren in einer sinnvollen Zeitspanne herausfinden kann. Entscheidend sind drei Eigenschaften: ausreichende Länge, Einzigartigkeit pro Konto und Unvorhersehbarkeit. Wer diese drei Punkte konsequent einhält, ist bei den allermeisten Angriffen aus dem Schneider – auch ohne komplizierte Sonderzeichen-Kombinationen.
Kurz zusammengefasst
- Länge ist der wichtigste Faktor: ab 12 Zeichen wird es für Angreifer richtig teuer.
- Jedes Konto braucht ein eigenes Passwort – sonst kippt bei einem Leak gleich alles.
- Namen, Geburtsdaten und Wörterbuch-Wörter sind tabu, weil sie in Angriffs-Listen stehen.
- Eine gemerkte Passphrase (vier zufällige Wörter) schlägt „Kompliziert!8“ um Längen.
Was heißt bei einem Passwort überhaupt „sicher“?
„Sicher“ heißt: ein Angreifer scheitert an dem Passwort – entweder weil er es nicht erraten kann, weil ein automatischer Angriff zu lange dauert oder weil geleakte Daten aus anderen Diensten nicht weiterhelfen. Ein sicheres Passwort schützt also gegen Menschen und Maschinen zugleich.
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) beschreibt in seinem Leitfaden „Sichere Passwörter erstellen“ zwei Wege zum Ziel: entweder kurz und komplex (mindestens 8 Zeichen aus vier Zeichenarten) oder lang und einfacher (mindestens 25 Zeichen aus zwei Zeichenarten). Für den Alltag ist der zweite Weg meist praktikabler, weil er sich leichter merken lässt.
Die drei Eigenschaften, die ein Passwort sicher machen
Ein Passwort gilt heute als sicher, wenn es lang genug ist (mindestens 12 Zeichen, besser 16 und mehr), pro Konto nur einmal verwendet wird und keine für Angreifer erratbaren Bausteine enthält. Diese drei Eigenschaften wirken zusammen – fällt eine weg, sinkt das Sicherheitsniveau spürbar.
1. Länge – der stärkste Hebel
Jedes zusätzliche Zeichen vervielfacht die Zahl der möglichen Kombinationen. Ein 12-stelliges Passwort aus Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen benötigt nach der Hive Systems Password Table 2024 selbst mit hochwertiger GPU-Hardware mehrere Jahrzehnte bis Jahrhunderte, um es per Brute Force zu knacken. Ein 8-stelliges Passwort derselben Zusammensetzung fällt dagegen im schlimmsten Fall in wenigen Stunden.
2. Einzigartigkeit – kein Passwort zweimal
Wird dasselbe Passwort für mehrere Konten verwendet, reicht ein einziges Datenleck – und Angreifer probieren die Kombination automatisch bei Amazon, PayPal, Gmail und Co. durch. Dieser Angriff heißt Credential Stuffing und gehört laut BSI-Lagebericht zu den häufigsten Ursachen für gekaperte Nutzerkonten in Deutschland.
3. Unvorhersehbarkeit – nichts Persönliches, nichts aus dem Wörterbuch
Namen von Partner, Kind oder Haustier, Geburtstage, Lieblingsvereine oder einfache Reihen wie „qwertz“ sind für Angreifer trivial. Automatische Angriffe testen Millionen bekannter Passwörter aus früheren Leaks in Sekunden. Das Hasso-Plattner-Institut (HPI) veröffentlicht dazu jedes Jahr im Januar die deutsche Top-10-Liste – und Platz 1 lautet seit Jahren „123456“.
Warum Länge fast immer wichtiger ist als Sonderzeichen
Bei Brute-Force-Angriffen wird jede zusätzliche Zeichenstelle exponentiell teurer. Ein sehr langes, aber merkbares Passwort schlägt deshalb ein kurzes, „kompliziertes“ regelmäßig – vorausgesetzt, es besteht nicht aus einem einzigen Wörterbuch-Wort. Genau darum empfehlen BSI und viele IT-Sicherheitsforscher heute Passphrasen: mehrere zufällig kombinierte Wörter.
Ein Beispiel: „Kaktus!Ozean-Klavier-Nudel7“ hat 25 Zeichen, ist gut merkbar und für einen Brute-Force-Angriff praktisch unbezahlbar. „Sommer2026!“ hat zwar auch Sonderzeichen, kombiniert aber ein Wörterbuchwort mit einer aktuellen Jahreszahl – genau das Muster, das Angriffs-Tools zuerst durchprobieren.
Konkrete Beispiele: sicher vs. unsicher
Die folgenden Beispiele zeigen den Unterschied auf einen Blick. Sie sollen als Muster dienen – bitte nicht wörtlich übernehmen, weil öffentlich publizierte Beispiele in Angriffslisten landen.
| Passwort-Beispiel | Bewertung | Warum |
|---|---|---|
| 123456 | Sehr unsicher | Platz 1 der HPI-Liste, Sekunden zum Knacken. |
| Sommer2026! | Unsicher | Wörterbuchwort + Jahreszahl + typisches Sonderzeichen am Ende. |
| Mieze1998 | Unsicher | Haustiername + Geburtsjahr – Angreifer testen genau diese Muster. |
| gW4$k!7pQ2mZ | Sicher (12 Z.) | Zufällig, hohe Zeichenvielfalt – aber schwer zu merken. |
| Kaktus!Ozean-Klavier-Nudel7 | Sehr sicher (Passphrase) | 25 Zeichen, gut merkbar, keine bekannten Muster. |
Typische Fehler, die ein Passwort schwach machen
Selbst grundsätzlich lange Passwörter kippen, wenn sie nach vorhersehbaren Mustern gebaut sind. Angreifer wissen, wie Menschen ihre Passwörter „stärken“ – und ihre Tools testen genau diese Abwandlungen zuerst. Wer die häufigsten Fallen kennt, umgeht sie ohne Aufwand.
- Zahl am Ende anhängen („Sonne1“, „Sonne2“) – trivial für Angreifer.
- Buchstaben durch Ziffern ersetzen („P@ssw0rt“, „L1ebe“) – die Tools kennen alle diese Substitutionen.
- Tastatur-Muster („qwertz“, „asdfghjk“) – stehen in jeder Angriffs-Wörterliste.
- Persönliche Daten (Geburtsdatum, Postleitzahl, Fußballverein) – oft in sozialen Netzwerken öffentlich sichtbar.
- Dasselbe Passwort mehrfach nutzen – ein einziger Leak reißt sonst das ganze digitale Leben mit.
Expert Insight
Die Verbraucherzentrale weist ausdrücklich darauf hin, dass regelmäßiges „prophylaktisches“ Passwort-Ändern nicht mehr empfohlen wird, wenn das Passwort gut gewählt ist. Ändern sollte man ein Passwort dann, wenn der Verdacht auf einen Datenabfluss besteht oder ein Dienst einen Leak meldet. Ein gutes langes Passwort darf – ohne Vorfall – jahrelang bleiben. Das entlastet den Alltag, ohne das Sicherheitsniveau zu senken.
Wie baue ich eine sichere Passphrase, die ich mir merken kann?
Wählen Sie vier bis fünf unzusammenhängende Wörter, mischen Sie Groß- und Kleinschreibung und fügen Sie ein Sonderzeichen oder eine Ziffer ein. Beispiel-Bauweise: Substantiv – Trennzeichen – Substantiv – Trennzeichen – Substantiv – Ziffer. Wichtig ist, dass die Wörter zufällig zusammengewürfelt sind und keinen Satz ergeben.
Für die wichtigsten Konten (E-Mail-Postfach, Online-Banking, Passwort-Manager, Cloud-Speicher) empfiehlt sich zusätzlich die Zwei-Faktor-Authentifizierung. Selbst wenn das Passwort geknackt oder geleakt wird, bleibt das Konto ohne den zweiten Faktor unerreichbar.
Und wenn ich mir das alles nicht merken kann?
Dann übernimmt ein Passwort-Manager die Arbeit: Ein Programm speichert alle Zugangsdaten verschlüsselt, generiert für jedes Konto ein eigenes, zufälliges Passwort und trägt es beim Login automatisch ein. Sie merken sich nur noch ein starkes Master-Passwort – oder eine gute Passphrase.
Passwort-Manager sind heute Standardempfehlung von BSI und Verbraucherzentrale. Wie sie funktionieren und worauf Sie bei der Auswahl achten sollten, erklärt der Beitrag Wie funktioniert ein Passwort-Manager?. Ein tiefergehender Überblick zur gesamten Passwort-Erstellung steht im Ratgeber Wie erstelle ich ein sicheres Passwort?.
Häufige Fragen zu sicheren Passwörtern
Wie lang sollte ein sicheres Passwort mindestens sein?
Für den Alltag empfiehlt sich eine Mindestlänge von 12 Zeichen. Wer eine reine Passphrase aus Wörtern nutzt, sollte auf mindestens 20 bis 25 Zeichen zielen. Für besonders sensible Konten wie E-Mail und Banking gilt: eher länger als kürzer.
Reicht ein einziges „ganz sicheres“ Passwort für alle Konten?
Nein, und das ist einer der häufigsten Fehler. Wird das Passwort bei einem einzigen Dienst geleakt, testen Angreifer es automatisiert bei Dutzenden weiteren Plattformen. Nur ein eigenes Passwort pro Konto stoppt dieses Credential-Stuffing-Muster zuverlässig.
Muss ich mein Passwort regelmäßig ändern?
Nein, sofern es lang, einzigartig und geheim ist. Ein anlassloser Wechsel wird von BSI und Verbraucherzentrale nicht mehr empfohlen. Wechseln Sie das Passwort erst, wenn ein Datenleck bekannt wird, ein Anmeldeversuch verdächtig ist oder der Dienst Sie ausdrücklich dazu auffordert.
Sind Sonderzeichen wirklich nötig?
Sonderzeichen erhöhen die Zahl möglicher Kombinationen und damit den Aufwand für Brute-Force-Angriffe. Zwingend nötig sind sie aber nicht, wenn das Passwort dafür ausreichend lang ist. Eine 25-stellige Passphrase ohne Sonderzeichen ist typischerweise sicherer als „Kurz!23“.
Kann ich mein Passwort einfach aufschreiben?
Auf einem Zettel im Portemonnaie: eher nein. Als notierte Erinnerung im heimischen Notizbuch, das niemand außer Ihnen sieht: durchaus möglich. Besser ist ein Passwort-Manager, weil er verschlüsselt speichert, automatisch ausfüllt und geräteübergreifend funktioniert.
Meine Einschätzung
Wer im Alltag nur eine einzige Regel mitnehmen möchte, sollte diese wählen: lieber lang und merkbar als kurz und kryptisch. Eine gute Passphrase aus vier bis fünf zufälligen Wörtern ist heute Sicherheitsstandard – kombiniert mit einem Passwort-Manager für die Masse an Konten und Zwei-Faktor-Authentifizierung bei allem, was wirklich weh tun würde. Damit ist die häufigste Angriffsform – automatisiertes Ausprobieren geleakter Zugangsdaten – für Ihre Konten praktisch chancenlos. Und das ohne, dass Sie täglich mit einer Passwort-Erinnerung kämpfen müssen.
Das Wichtigste in Kürze
- Mindestens 12 Zeichen, besser 16 oder mehr – Länge schlägt Komplexität.
- Ein eigenes Passwort pro Konto – ohne Ausnahme.
- Keine persönlichen Daten, keine Wörterbuch-Wörter, keine Tastatur-Muster.
- Passphrase aus vier zufälligen Wörtern schlägt „Kompliziert!23“.
- Passwort-Manager nutzen und die wichtigsten Konten per 2FA zusätzlich absichern.
- Nur bei Verdacht wechseln, nicht anlasslos alle 90 Tage.
Stand: 25. Juli 2026. Quellen: BSI – „Sichere Passwörter erstellen“ (bsi.bund.de); Hasso-Plattner-Institut – Top-Passwörter-Report 2025 (hpi.de); Hive Systems – Password Table 2024; Verbraucherzentrale – „Sichere Passwörter“ (verbraucherzentrale.de).
