Ein sicheres Passwort besteht aus mindestens zwölf Zeichen, kombiniert Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen und wird nur ein einziges Mal verwendet. Wer dazu einen Passwort-Manager nutzt und Zwei-Faktor-Authentifizierung aktiviert, schützt seine Konten laut Bundesamt für Sicherheit in der Informationstechnik zuverlässig vor den häufigsten Angriffen.
Ein sicheres Passwort ist entweder mindestens 12 Zeichen lang mit vier Zeichenarten oder mindestens 25 Zeichen lang mit zwei Zeichenarten. Es wird pro Dienst nur einmal verwendet, enthält keine persönlichen Daten und keine Wörter aus dem Wörterbuch. Eine Passphrase aus vier zufälligen Wörtern ist genauso stark wie ein kryptisches Passwort und deutlich leichter zu merken. Ein Passwort-Manager verwaltet Dutzende dieser Zugangsdaten, ohne dass Sie sich einen einzigen davon merken müssen. Zwei-Faktor-Authentifizierung ergänzt das Passwort um eine zweite Schutzschicht.
Was macht ein Passwort im Jahr 2026 wirklich sicher?
Ein Passwort gilt heute als sicher, wenn drei Bedingungen zusammenkommen: ausreichende Länge, hohe Zufälligkeit und einmalige Verwendung. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt Privatnutzern entweder komplexe Passwörter ab acht Zeichen mit vier Zeichenarten oder lange Passwörter ab 25 Zeichen mit zwei Zeichenarten.
Die entscheidende Größe hinter dieser Empfehlung heißt Entropie. Entropie ist ein Maß dafür, wie viele Rateversuche ein Angreifer statistisch braucht, um ein Passwort zu erraten. Mit jedem zusätzlichen Zeichen verdoppelt sich die Rechenzeit für einen Brute-Force-Angriff ungefähr, mit jeder zusätzlichen Zeichenart wächst der Zeichenraum vervielfacht. Ein achtstelliges Passwort aus reinen Kleinbuchstaben ist auf einer aktuellen Grafikkarte in Sekunden geknackt. Ein zwölfstelliges Passwort mit vier Zeichenarten dauert nach Berechnungen von Hive Systems auch mit spezialisierter Hardware Jahre.
Zwei häufig unterschätzte Faktoren erhöhen die Sicherheit zusätzlich: Einmaligkeit und Zufälligkeit. Wer dasselbe Passwort auf mehreren Diensten verwendet, verliert bei einem einzigen Datenleck den Zugang zu allen anderen Konten. Und wer sein Passwort aus Geburtsdaten, Namen von Haustieren oder dem Lieblingsverein zusammensetzt, verschenkt Sicherheit an sogenannte Wörterbuch-Angriffe.
Die Norton-Analyse großer Datenlecks zeigt: Rund vier von fünf erfolgreich gehackten Accounts wurden über wiederverwendete oder zu schwache Passwörter kompromittiert, nicht über hochkomplexe Angriffe. Das gute sichere Passwort ist damit weniger ein Kampf gegen Hacker-Technologie als eine Disziplin-Frage.
Wie lang muss ein sicheres Passwort mindestens sein?
Ein sicheres Passwort sollte heute mindestens zwölf Zeichen umfassen. Diese Länge gilt als praktisches Minimum, weil moderne Grafikkarten kürzere Passwörter innerhalb von Stunden oder Tagen durchprobieren können. Ab 16 Zeichen steigt der Rechenaufwand exponentiell und macht Brute-Force-Angriffe praktisch unwirtschaftlich.
Das amerikanische National Institute of Standards and Technology (NIST) hat seine Richtlinie SP 800-63B in den letzten Jahren grundlegend überarbeitet. Die aktualisierte Fassung erlaubt Passwörter mit einer Länge von acht bis mindestens 64 Zeichen und stellt fest: Länge schlägt Komplexität. Ein langes Passwort aus vier zufälligen Wörtern ist mathematisch schwerer zu knacken als ein kurzes Passwort mit vielen Sonderzeichen.
Für sensible Konten wie E-Mail, Online-Banking oder Cloud-Speicher empfiehlt sich eine Länge von 16 bis 20 Zeichen. Für Passwort-Manager selbst — das sogenannte Master-Passwort — sollten es mindestens 20 Zeichen sein, da dieses eine Passwort den Zugang zu allen anderen schützt. Ein einmal geknacktes Master-Passwort bricht die gesamte Schutzarchitektur auf.
Viele Nutzer verlassen sich auf die Passwortstärke-Anzeige beim Registrieren neuer Konten. Diese Anzeigen sind allerdings nicht standardisiert — dieselbe Zeichenkette wird bei einem Anbieter als „mittel“, beim nächsten als „stark“ bewertet. Verlässlicher ist die Faustregel: ab 12 Zeichen mit vier Zeichenarten reicht es für Standard-Konten, ab 20 Zeichen mit zwei Zeichenarten ist es auch als reine Passphrase stark. Anzeigen wie „sehr stark“ verleiten dazu, kurze Passwörter mit Sonderzeichen zu wählen — die schneller knackbar sind als eine lange schlichte Wortfolge.
Welche Zeichen gehören in ein starkes Passwort?
Ein starkes Passwort kombiniert vier Zeichenarten: Großbuchstaben, Kleinbuchstaben, Ziffern und Sonderzeichen. Diese Kombination vergrößert den Zeichenraum, den ein Angreifer durchprobieren muss, von 26 auf über 90 mögliche Zeichen pro Stelle und erschwert automatisierte Angriffe damit erheblich.
Die vier Zeichenarten im Detail:
- Großbuchstaben (A–Z, 26 Zeichen)
- Kleinbuchstaben (a–z, 26 Zeichen)
- Ziffern (0–9, 10 Zeichen)
- Sonderzeichen (! @ # $ % & * ? / usw., meist 30+ nutzbar)
Wichtig ist, Sonderzeichen nicht nur am Anfang oder Ende zu setzen. Angreifer wissen, dass viele Nutzer ein Standardpasswort wie „Sommer2026!“ verwenden — mit Großbuchstaben vorne, Jahr in der Mitte und einem Ausrufezeichen am Schluss. Solche Muster werden von Rate-Programmen bevorzugt getestet. Streut man Sonderzeichen dagegen zufällig ein, verliert der Angreifer diesen Vorteil.
Nicht alle Dienste akzeptieren jedes Sonderzeichen. Manche Systeme lehnen Umlaute, Leerzeichen oder Zeichen wie das Semikolon ab. Aus diesem Grund empfiehlt sich ein Kern aus universell akzeptierten Sonderzeichen: das Ausrufezeichen, das Fragezeichen, der Bindestrich, das Dollar-Zeichen und der Punkt funktionieren nahezu überall.
Wie erstelle ich Schritt für Schritt ein sicheres Passwort?
Ein sicheres Passwort lässt sich in fünf klaren Schritten erstellen. Die folgende Anleitung — im Weiteren die Vier-S-Passwort-Regel genannt — führt zu einem Ergebnis, das die BSI-Empfehlungen erfüllt und im Alltag praktikabel bleibt.
Schritt 1: Länge festlegen. Für Alltags-Konten mindestens 12 Zeichen, für sensible Konten (E-Mail, Bank, Cloud) mindestens 16, für Master-Passwörter mindestens 20 Zeichen.
Schritt 2: Vier Zeichenarten mischen. Groß-, Kleinbuchstaben, Ziffern und Sonderzeichen kombinieren. Sonderzeichen bewusst zwischen die Buchstaben streuen, nicht nur außen anhängen.
Schritt 3: Zufälligkeit sicherstellen. Keine Namen, Geburtsdaten, Wörter aus dem Wörterbuch oder erkennbare Muster wie „qwertz“ oder „12345″ verwenden. Ein Passwort-Generator liefert echte Zufallsergebnisse in Sekunden.
Schritt 4: Einmaligkeit prüfen. Das Passwort darf für keinen anderen Dienst bereits verwendet werden. Wer viele Konten hat, kommt hier ohne Passwort-Manager nicht sinnvoll durch.
Schritt 5: Sicher speichern. Passwörter niemals im Klartext in Notiz-Apps, E-Mails oder Browser-Autoausfüll-Feldern ohne Master-Schutz ablegen. Ein Passwort-Manager verschlüsselt sie und macht sie nur mit einem Master-Passwort zugänglich.
Alternative: die Satz-Methode. Man denkt sich einen leicht merkbaren Satz aus und nimmt jeweils den ersten Buchstaben jedes Wortes plus einige Zahlen. Aus „Meine Katze Mika trinkt jeden Morgen um 7 Uhr frische Milch!“ wird „MKMtjMu7UfM!“. Zwölf Zeichen, vier Zeichenarten, für einen Angreifer zufällig, für den Nutzer merkbar. Wichtig: den zugrundeliegenden Satz nicht aufschreiben und keinen bekannten Zitaten entnehmen.
Was ist eine Passphrase und wann ist sie besser als ein klassisches Passwort?
Eine Passphrase ist eine Kette aus mehreren zufälligen Wörtern, die als ein einziges langes Passwort dient. Sie ist genauso sicher wie ein kryptisches Passwort gleicher Zeichenlänge, aber deutlich leichter zu merken. Das NIST empfiehlt Passphrasen seit der Neufassung seiner Richtlinien als bevorzugte Form für Endnutzer.
Ein Beispiel: „Kaktus-Kompass-Wasserfall-Regenschirm-42″ ist 38 Zeichen lang, enthält alle vier Zeichenarten und lässt sich als bildhafte Kombination merken. Statistisch braucht ein Angreifer selbst mit spezialisierter Hardware Milliarden Jahre, um so eine Phrase zu erraten — vorausgesetzt, die Wörter sind wirklich zufällig gewählt und stammen nicht aus einem bekannten Zitat oder Songtext.
Die Passphrase spielt ihre Stärke besonders in drei Situationen aus:
- Als Master-Passwort für Passwort-Manager, das man niemals vergessen darf
- Als Wiederherstellungs-Passwort für Cloud-Backups oder verschlüsselte Festplatten
- Als Login-Passwort für den privaten Computer oder das Smartphone-Master
Zur zufälligen Wortauswahl gibt es die sogenannte Diceware-Methode: Man würfelt fünf Zahlen und schlägt in einer Wortliste das entsprechende Wort nach. Wer die Diceware-Liste nicht verwenden mag, lässt seinen Passwort-Manager Passphrasen generieren — die meisten Programme bieten diese Funktion.
Welche Passwörter sollte ich niemals verwenden?
Die Liste der schlechtesten Passwörter sieht seit Jahren fast identisch aus. Das Hasso-Plattner-Institut wertet jährlich Datenlecks aus deutschsprachigem Raum aus und veröffentlicht die zehn häufigsten Passwörter. An der Spitze stehen dort seit langem numerische Zahlenreihen und triviale Wörter, die ein Angreifer in Sekundenbruchteilen durchprobiert.
Diese Muster sollten Sie in keinem Konto verwenden:
- Zahlenreihen wie „123456″, „12345678″ oder „1234567890″
- Trivialwörter wie „passwort“, „password“, „hallo“ oder „iloveyou“
- Tastatur-Muster wie „qwertz“, „asdfgh“ oder „qwerty123″
- Der eigene Name, Benutzername oder das Geburtsdatum
- Namen von Familienmitgliedern, Haustieren oder Lieblingsvereinen
- Wörter aus dem Wörterbuch ohne zusätzliche Zeichen
- Passwörter aus bekannten Datenlecks (auch mit kleinen Änderungen)
Angreifer arbeiten heute nicht mehr mit reinen Brute-Force-Angriffen, sondern mit sogenannten Wörterbuch-Angriffen. Sie probieren zuerst Millionen bekannter Passwörter aus früheren Datenlecks durch, ergänzt um typische Variationen wie das Anhängen einer Zahl oder eines Ausrufezeichens. Ein Passwort wie „Sommer2026!“ oder „Bayern1!“ ist damit trotz vier Zeichenarten praktisch wertlos — es steht auf jeder Standard-Angriffsliste.
Auch wenn ein Passwort im ersten Moment unverdächtig wirkt: prüfen Sie über die kostenlose Datenbank des Hasso-Plattner-Instituts (HPI Identity Leak Checker), ob Ihre E-Mail-Adresse in bekannten Datenlecks aufgetaucht ist. Falls ja, sollten Sie ALLE damit verknüpften Passwörter unverzüglich austauschen — nicht nur das eine geknackte.
Wie merke ich mir viele sichere Passwörter ohne Notizzettel?
Ein Passwort-Manager übernimmt genau diese Aufgabe: er speichert alle Zugangsdaten verschlüsselt und füllt sie beim Login automatisch aus. Nutzer müssen sich damit nur noch ein einziges Master-Passwort merken, das den Zugang zum Manager schützt. Diese Lösung wird sowohl vom BSI als auch von der Verbraucherzentrale als Standard-Empfehlung ausgesprochen.
Passwort-Manager gibt es in drei Grundformen:
- Lokale Manager (z. B. KeePassXC): speichern die verschlüsselte Datenbank ausschließlich auf dem eigenen Gerät, keine Cloud-Anbindung
- Cloud-basierte Manager (z. B. Bitwarden, 1Password): synchronisieren die verschlüsselte Datenbank zwischen mehreren Geräten
- Betriebssystem-integrierte Manager (Apple Schlüsselbund, Google Passwortmanager, Microsoft Authenticator): funktionieren im jeweiligen Ökosystem, sind bereits vorinstalliert
Für Einsteiger reicht ein Betriebssystem-Manager oder eine kostenlose Cloud-Lösung wie Bitwarden. Wer sensible Daten getrennt vom Cloud-Anbieter halten möchte, greift zu KeePassXC und trägt die Synchronisation über einen selbst gewählten Cloud-Ordner selbst bei. Wichtig ist in allen Fällen: das Master-Passwort ist mindestens 20 Zeichen lang und wird nirgendwo digital abgelegt.
Wer keinen Passwort-Manager verwenden möchte, kann eine handschriftliche Liste in einem verschlossenen Ordner zuhause führen — die Verbraucherzentrale nennt das ausdrücklich als Notlösung für Nutzer, denen ein digitaler Manager zu kompliziert erscheint. Die Liste darf nur nicht am Bildschirm hängen und nicht im Rucksack unterwegs mitgeführt werden.
Wie oft sollte ich mein Passwort ändern?
Ein sicheres Passwort muss nicht mehr regelmäßig getauscht werden. Das BSI hat seine frühere Empfehlung eines routinemäßigen Passwortwechsels alle drei Monate aufgegeben, weil die Wissenschaft zeigen konnte: Erzwungene Wechsel führen dazu, dass Nutzer schwächere, ähnlich klingende Passwörter wählen. Ein Passwort sollte heute nur dann getauscht werden, wenn ein konkreter Anlass besteht.
Diese Anlässe machen einen Passwortwechsel notwendig:
- Nach einem bekannt gewordenen Datenleck bei einem genutzten Dienst
- Bei Verdacht auf unbefugten Zugriff (unerwartete Login-Benachrichtigungen)
- Wenn das Passwort einem anderen Menschen bekannt wurde
- Wenn ein Gerät verloren oder gestohlen wurde, auf dem das Passwort gespeichert war
- Beim Wechsel des Passwort-Managers (dann Master-Passwort neu setzen)
Die aktualisierte NIST-Richtlinie SP 800-63B geht sogar noch weiter und rät Institutionen aktiv davon ab, ihren Nutzern periodische Passwortwechsel vorzuschreiben. Anlassbezogener Wechsel sei wirksamer als kalender-basierter.
Ersetzt die Zwei-Faktor-Authentifizierung ein starkes Passwort?
Nein — die Zwei-Faktor-Authentifizierung ergänzt das Passwort, sie ersetzt es nicht. Bei aktivierter Zwei-Faktor-Authentifizierung fordert der Dienst nach der korrekten Passwort-Eingabe einen zusätzlichen Nachweis an: einen Code aus einer App, eine SMS oder die Bestätigung an einem gekoppelten Gerät. Ein Angreifer benötigt damit sowohl das Passwort als auch den zweiten Faktor.
Diese Kombination macht viele Angriffs-Szenarien praktisch unmöglich. Selbst wenn ein Datenleck das Passwort offenbart, hilft es dem Angreifer nichts, solange er nicht gleichzeitig das Smartphone oder den Hardware-Schlüssel des Nutzers besitzt. Google berichtete in einer Sicherheitsstudie, dass die Aktivierung eines zweiten Faktors automatisierte Angriffe fast vollständig neutralisiert.
Wichtig bleibt aber: das Passwort ist die erste Schutzlinie. Wer ein triviales Passwort wählt und darauf vertraut, dass die Zwei-Faktor-Authentifizierung es schon richten wird, spielt Roulette. Die zweite Faktor-Ebene ist nicht bei jedem Angriff aktiv (bei Session-Diebstahl beispielsweise umgeht der Angreifer sie), und sie kann selbst kompromittiert werden — etwa durch SIM-Swapping bei SMS-basierten Codes. Ein starkes Passwort plus TOTP-App (wie Aegis, Google Authenticator oder Microsoft Authenticator) oder Hardware-Schlüssel (wie YubiKey) ist die verlässlichste Kombination.
Machen Passkeys klassische Passwörter überflüssig?
Passkeys sind ein neues Anmeldeverfahren, das klassische Passwörter langfristig ablösen soll. Statt einer Zeichenkette wird ein kryptografischer Schlüssel erzeugt und sicher auf dem Gerät (Smartphone, Laptop) gespeichert. Der Nutzer entsperrt ihn per Fingerabdruck, Gesichts-Scan oder Geräte-PIN — die Anmeldung erfolgt danach ohne Eingabe eines Passworts. Große Anbieter wie Apple, Google, Microsoft, PayPal und viele weitere unterstützen Passkeys inzwischen.
Die Vorteile von Passkeys sind erheblich: sie können nicht abgefischt werden (Phishing-resistent), sie tauchen bei keinem Datenleck des Diensts auf, und der Nutzer muss sich nichts merken. Der kryptografische Ansatz ist mathematisch stärker als jedes Passwort einer üblichen Länge.
Trotzdem bleiben klassische Passwörter im Jahr 2026 noch unverzichtbar. Nicht alle Dienste unterstützen Passkeys, viele ältere Konten laufen weiter über Passwort-Anmeldung, und selbst Passkey-fähige Dienste bieten oft parallel eine Passwort-Option als Fallback. Wer heute schon auf Passkeys umstellt, sollte das bei den unterstützenden großen Anbietern (Google, Apple, Microsoft, GitHub, PayPal) tun und die klassischen Passwörter dort trotzdem weiter stark und aktuell halten — als Rückfallebene für den Fall, dass das Passkey-Gerät verloren geht.
💬 Meine Einschätzung
Die verbreitete Vorstellung, sichere Passwörter seien eine technische Herausforderung, geht am Kernproblem vorbei. In der Praxis scheitert Passwort-Sicherheit fast nie an mangelnder Zeichenanzahl, sondern an drei Verhaltensmustern: dasselbe Passwort mehrfach nutzen, es an unsicheren Orten notieren und es aus persönlichen Daten zusammensetzen. Wer diese drei Fehler abstellt und einen Passwort-Manager einsetzt, hat 90 Prozent der Sicherheitsarbeit erledigt — auch mit „nur“ zwölfstelligen Passwörtern. Der Umstieg auf einen Manager kostet einmalig eine Stunde Einrichtung, spart aber langfristig Ärger, Zeit und im Ernstfall echtes Geld. Der aufwendige Weg über selbst erdachte Kryptik-Formeln ist deutlich schlechter als der einfache Weg über ein Werkzeug, das für genau diesen Zweck existiert.
- Mindestlänge: 12 Zeichen für Standard-Konten, 16 für sensible Konten, 20 für Master-Passwörter
- Vier Zeichenarten mischen: Groß-, Kleinbuchstaben, Ziffern, Sonderzeichen
- Jedes Passwort nur für einen einzigen Dienst verwenden — nie mehrfach
- Passphrase aus vier zufälligen Wörtern ist genauso stark wie kryptisches Passwort
- Passwort-Manager übernimmt Speicherung und Ausfüllen automatisch
- Zwei-Faktor-Authentifizierung als zweite Schutzschicht immer aktivieren
Häufige Fragen zu sicheren Passwörtern
Was ist ein Beispiel für ein sicheres 12-stelliges Passwort?
Ein Beispiel ist „Tf7!kBz2xQ&p“ — zwölf Zeichen, alle vier Zeichenarten, keine Bedeutung. Wichtig: dieses konkrete Beispiel dürfen Sie nicht verwenden, weil es jetzt öffentlich im Internet steht. Erzeugen Sie stattdessen ein eigenes Zufalls-Passwort über den Generator Ihres Passwort-Managers.
Reicht ein achtstelliges Passwort noch aus?
Für unkritische Konten ausnahmsweise ja, für alles Wichtige nein. Ein achtstelliges Passwort mit allen vier Zeichenarten kann auf spezialisierter Hardware innerhalb weniger Stunden geknackt werden. Für Bank, E-Mail und Cloud-Speicher sollten mindestens zwölf Zeichen Standard sein.
Darf ich ein sicheres Passwort im Browser speichern?
Ja, wenn das Nutzerkonto des Browsers selbst durch ein starkes Master-Passwort und Zwei-Faktor-Authentifizierung geschützt ist. Ohne diesen Schutz kann jeder mit physischem Gerätezugriff die gespeicherten Passwörter im Klartext auslesen. Ein dedizierter Passwort-Manager bietet stärkere Verschlüsselung und mehr Kontrolle.
Wie erkenne ich, ob ein Dienst mein Passwort sicher speichert?
Ein sicher speichernder Dienst kann Ihnen bei „Passwort vergessen“ nicht Ihr altes Passwort per E-Mail zusenden, sondern nur einen Zurücksetzungs-Link. Kann der Dienst das alte Passwort zusenden, speichert er es im Klartext oder unverschlüsselt — das ist ein deutliches Sicherheitswarnzeichen.
Was mache ich, wenn ich mein Master-Passwort vergesse?
Bei den meisten Passwort-Managern gibt es keinen Zurücksetzungsmechanismus — das ist gewollt, damit auch der Anbieter Ihre Daten nicht einsehen kann. Sichern Sie das Master-Passwort deshalb einmal auf einem schriftlichen Wiederherstellungs-Blatt, das Sie an einem sicheren Ort (z. B. Safe, Bankschließfach) verwahren.
Quellen und weiterführende Literatur
- Bundesamt für Sicherheit in der Informationstechnik (BSI) — Empfehlungen für sichere Passwörter für Privatnutzer (bsi.bund.de)
- Verbraucherzentrale — Ratgeber „Starke Passwörter erstellen: So schützen Sie Ihre Online-Konten“ (verbraucherzentrale.de)
- Hasso-Plattner-Institut (HPI) — Identity Leak Checker & jährliche Top-Liste der beliebtesten deutschen Passwörter (sec.hpi.de)
- National Institute of Standards and Technology (NIST) — Digital Identity Guidelines SP 800-63B, Abschnitt „Memorized Secret Verifiers“ (nist.gov)
- Norton — Analysen zu Datenlecks und Passwort-Verhalten (de.norton.com)
Empfohlene weitere Artikel auf Safety-IT
- Welche Grundregeln der IT-Sicherheit sollte jeder kennen?
- Was ist IT-Sicherheit und warum ist sie im Alltag wichtig?
