Wie erstellt man ein sicheres Passwort?

Die Frage kommt meist zum ungünstigsten Zeitpunkt: Eine Warnung über ein Datenleck landet im Postfach, oder das Online-Banking akzeptiert das gewohnte Passwort nicht mehr. Wie erstellt man ein sicheres Passwort? Die Antwort ist einfacher als erwartet — und sie hat viel weniger mit auswendig gelernten Sonderzeichen zu tun, als die meisten glauben.

Unten steht zuerst, was ein Passwort tatsächlich schwer erratbar macht, dann, wie ein langes Passwort entsteht, das Sie sich merken können, und zum Schluss eine kurze Prüfliste für Ihr bisheriges Passwort. Alles zusammen ist die Arbeit eines Nachmittags.

Die Stärke eines Passworts ist die Zahl der nötigen Versuche

Ein Programm, das in Ihr Konto will, tippt nicht wie ein Mensch. Es arbeitet Listen aus früheren Datenlecks und bekannte Muster ab, Millionen Kandidaten pro Sekunde. Die Stärke eines Passworts ist deshalb nicht, wie wirr es aussieht, sondern wie lang diese Warteschlange ist. Anders gesagt: Wie viele Versuche müssen durchlaufen, bis Ihres an der Reihe ist?

Zwei Dinge verlängern die Schlange: wie viele verschiedene Zeichen an jeder Stelle stehen können und wie viele Stellen es gibt. Das Zweite ist der deutlich billigere Gewinn. Bei einem Passwort mit acht Zeichen vervielfacht der Sprung von Kleinbuchstaben auf Buchstaben, Ziffern und Sonderzeichen die Gesamtzahl etwa um das Dreißigtausendfache. Drei zusätzliche Kleinbuchstaben bringen rund das Siebzehntausendfache — und der vierte Buchstabe überholt sämtliche Sonderzeichen, ganz ohne Merkarbeit.

In der Sicherheitswelt kürzt man diese Zahlen als „Bit“ ab, weil sie sonst schnell unlesbar werden. Jedes Bit verdoppelt die Zahl der Versuche: zehn Bit Unterschied bedeuten eine tausendmal, zwanzig Bit eine millionenfach längere Suche. Der Passwort-Generator schreibt zu jedem erzeugten Passwort den Bit-Wert dazu; ein paar Sekunden am Längenregler zeigen also sofort, wo eine bestimmte Länge landet.

Wortketten: ein langes Passwort, das im Kopf bleibt

Das einzige echte Problem langer Passwörter ist das Erinnern. Die Lösung sind zufällige Wörter statt zufälliger Zeichen: Fünf davon ergeben fast dreißig Zeichen, lesbar auf einen Blick und im Kopf eher ein kleines Bild als ein Code. „melone-vorhang-anker-laterne-ofen“ zeigt die Form — und auf der Handytastatur tippt sich das erheblich leichter als eine Reihe Satzzeichen.

Die ganze Methode steht und fällt damit, dass die Wörter wirklich zufällig sind. Die ersten fünf Wörter, die Ihnen einfallen, sind es nicht: Menschen greifen zu verwandten Begriffen, und Rateprogramme kennen diese Abkürzungen. Wenn Sie sich fragen, woher unverbundene Wörter kommen sollen — die Quelle steht meist im selben Raum. Schlagen Sie ein beliebiges Buch fünfmal an zufälliger Stelle auf, nehmen Sie jedes Mal das erste greifbare Substantiv oben auf der linken Seite und klappen Sie es wieder zu. Fünf Griffe, ein Passwort.

Heben Sie sich die Methode für die wenigen Passwörter auf, die Sie auswendig brauchen: Rechner-Anmeldung, Handy, E-Mail-Konto und gegebenenfalls das Hauptpasswort eines Passwort-Managers. Für Dutzende weiterer Konten wird Wörterbauen zur Plage; dort gehören erzeugte Passwörter hin, die Sie speichern.

• Die Wörter müssen zufällig gezogen sein; „ist mir eingefallen“ ist nicht zufällig
• Bilden Sie keinen Satz — vertraute Wortfolgen probieren Rateprogramme zuerst
• Trennen Sie mit Bindestrich oder Punkt: besser lesbar und zusätzliche Länge
• Zielen Sie auf fünf Wörter, gehen Sie nie unter vier
• Namen, Geburtsjahre, Vereine und Heimatorte gehören nicht in die Kette

Dasselbe Passwort zweimal — die teuerste Gewohnheit

Private Konten gehen selten verloren, weil jemand ein Passwort geknackt hat. Sie gehen verloren, weil das Passwort woanders abgeflossen ist. Ein kleiner Shop oder ein längst vergessenes Forum wird ausgeräumt, Ihre E-Mail-Adresse und das Passwort landen auf einer Liste, und dieses Paar wird anschließend der Reihe nach bei Banken, sozialen Netzwerken und Mail-Anbietern durchprobiert. Beachten Sie, was das heißt: In diesem Fall ist die Stärke Ihres Passworts völlig gleichgültig, denn niemand rät — man hat es bereits.

Das einzige Gegenmittel ist ein eigenes Passwort pro Konto. Sie müssen nicht alles heute erledigen; arbeiten Sie nach dem ab, was ein Fremder damit anfangen könnte. Ganz oben steht das E-Mail-Konto, denn dorthin schickt jeder andere Dienst seinen Link zum Zurücksetzen. Wer Ihr Postfach hat, öffnet den Rest der Reihe nach.

Die zweite Maßnahme ist die Zwei-Faktor-Anmeldung überall dort, wo es sie gibt. Selbst ein abgeflossenes Passwort nützt ohne den Code aus Ihrer App oder per SMS nichts. Den Schalter finden Sie bei den meisten Diensten im Kontomenü unter „Sicherheit“ oder „Anmeldung und Sicherheit“.

• Zuerst: Ihr E-Mail-Konto — jeder Wiederherstellungsweg führt dorthin
• Danach: Online-Banking, Zahlungsdienste und Behördenportale wie ELSTER
• Dann: soziale Netzwerke und Shop-Konten
• Zuletzt: einmalige Anmeldungen, die Sie seit Jahren nicht genutzt haben

Ist mein Passwort sicher? Sechs Fragen zur Prüfung

Ihr bisheriges Passwort können Sie prüfen, ohne es irgendwo einzutippen. Wenn schon eine der folgenden Fragen mit Ja zu beantworten ist, hat dieses Passwort einen Nachfolger verdient. Und meiden Sie Seiten, die Ihr Passwort für Sie bewerten wollen: Es gibt keinen Grund, ein funktionierendes Passwort an Fremde zu geben, nur um zu hören, dass es kurz ist.

• Kürzer als zwölf Zeichen? An der Länge kommt heutige Hardware nicht vorbei
• Steckt Ihr Name, Ihr Geburtsjahr oder der Name eines Kindes oder Haustiers darin?
• Ist es ein Wörterbuchwort mit Ziffer davor und Ausrufezeichen dahinter? Dieses Muster steht ganz vorn in den Ratelisten
• Sind es Tasten, die auf der Tastatur nebeneinanderliegen?
• Wird dasselbe Passwort noch auf einer anderen Seite benutzt?
• Liegt es irgendwo offen herum: in einer E-Mail, in den Handynotizen, in einer Datei auf dem Schreibtisch?

Wo sollten diese Passwörter liegen?

Dutzende starker Passwörter behält niemand im Kopf, und das ist auch nicht der Sinn. Drei Wege sind vernünftig. Ein Passwort-Manager bewahrt alles in einem verschlüsselten Tresor auf, und Sie merken sich nur das Hauptpasswort — genau dafür ist die Wortketten-Methode da. Der eingebaute Passwortspeicher Ihres Browsers ist weniger flexibel, aber um Längen besser als gar nichts. Und ein Heft zu Hause ist das einzige Verfahren, an das niemand über das Netz herankommt, so altmodisch es wirkt.

Die Liste der Fehler ist kurz: sich Passwörter selbst per E-Mail schicken, sie sich im Messenger zusenden und eine Passwortliste als einfache Textdatei auf dem Schreibtisch liegen lassen. Wenn eine Liste als Datei sein muss, sperren Sie diese Datei mit dem Werkzeug zur Dateiverschlüsselung hinter ein Passwort. Dann gibt selbst ein gestohlener Laptop nichts preis, und zu merken bleibt genau dieses eine Passwort.

Wann lohnt ein Passwortwechsel wirklich?

„Alle neunzig Tage das Passwort ändern“ war jahrelang fester Bestandteil betrieblicher Vorgaben; die meisten aktuellen Empfehlungen sind von diesem Zwang abgerückt. Der Grund liegt im tatsächlichen Verhalten: Wer ständig wechseln muss, zählt die Ziffer am Ende hoch, statt etwas Neues zu bauen — und das Ergebnis ist berechenbarer als das, was es ersetzt. Ein langes, nur einmal verwendetes Passwort wird durch grundloses Wechseln nicht stärker.

Die Anlässe für einen Wechsel sind dagegen klar und dulden keinen Aufschub: eine Leck-Meldung eines Dienstes, die Erkenntnis, dass dasselbe Passwort woanders läuft, ein Passwort, das Sie jemandem gesagt haben, eine Anmeldung an einem fremden Rechner oder Aktivität im Konto, die Sie nicht zuordnen können. Im letzten Fall genügt ein neues Passwort nicht — suchen Sie auf derselben Einstellungsseite die Liste der angemeldeten Geräte und beenden Sie alle übrigen Sitzungen, sonst macht der Eindringling in seiner einfach weiter.

Häufige Fragen

Wie lang sollte ein Passwort sein?

Bei Passwörtern, die Sie aus dem Kopf tippen, sind sechzehn Zeichen ein gutes Ziel, zwölf die Untergrenze. Bei Passwörtern, die Sie speichern statt zu tippen, kostet zusätzliche Länge gar nichts: zwanzig Zeichen und mehr sind völlig unproblematisch.

Können Sie Beispiele für sichere Passwörter nennen?

Verwenden Sie kein veröffentlichtes Beispiel unverändert; ein Passwort, das auf einer Webseite steht, ist nicht mehr geheim. Beispiele zeigen nur die Form: fünf zufällige Wörter mit Bindestrichen oder eine erzeugte Folge aus sechzehn bis zwanzig Zeichen. Am schnellsten kommen Sie zu einem eigenen, indem Sie im Passwort-Generator einen Satz erzeugen und den besten speichern.

Muss ich mein Passwort alle drei Monate ändern?

Nein. Ein langes Passwort, das nur auf einer Seite läuft, gewinnt durch einen grundlosen Wechsel nichts; erzwungenes Wechseln treibt Menschen zu bequemen Mustern wie einer hochgezählten Ziffer. Echte Anlässe sind eine Leck-Meldung, ein weitergegebenes Passwort oder ungewohnte Aktivität im Konto.

Ist ein Passwort-Manager nicht riskant — alles an einem Ort?

Alle Passwörter in einem Tresor klingt beunruhigend, bis man es mit der üblichen Alternative vergleicht: ein Passwort überall. Wenn Sie einen Manager nutzen, bauen Sie sein Hauptpasswort mit der Wortketten-Methode, schalten Sie die Zwei-Faktor-Anmeldung ein und sorgen Sie für eine Sicherung des Tresors.

Wie erfahre ich, ob mein Passwort in einem Datenleck aufgetaucht ist?

Die meisten aktuellen Browser und Passwort-Manager gleichen gespeicherte Passwörter mit bekannten Leck-Listen ab und warnen bei einem Treffer; die Prüfung steckt in den Passworteinstellungen Ihres Browsers. Kommt eine Warnung, ändern Sie zuerst dieses Konto und danach alle weiteren, in denen dasselbe Passwort steckte.

Zuletzt aktualisiert: 27. August 2026