Passwortsicherheit 2026: Warum Zufallspasswörter wichtig sind und wie man sie erstellt

Ihre Passwörter sind die Schlüssel zu Ihrem digitalen Leben. E-Mail, Online-Banking, soziale Medien, Cloud-Speicher, Arbeitskonten — jedes davon geschützt durch eine Zeichenfolge, die Ihr Konto entweder uneinnehmbar macht oder weit offen lässt. Trotz jahrelanger Sicherheitsverletzungen, Datenlecks und Warnungen von Sicherheitsexperten sind die weltweit häufigsten Passwörter immer noch Varianten von „123456“, „password“ und „qwerty“.

Dieser Leitfaden erklärt, wie das Knacken von Passwörtern tatsächlich funktioniert, warum die von den meisten Menschen gewählten Passwörter gefährlich schwach sind und wie Sie wirklich starke Passwörter erstellen, die Ihre Konten schützen.

Wie Passwort-Cracking funktioniert

Wenn Sie die Bedrohung verstehen, verstehen Sie auch, warum bestimmte Passwort-Praktiken wichtig sind.

Brute-Force-Angriffe probieren jede mögliche Zeichenkombination durch. Für ein 6-stelliges Passwort aus Kleinbuchstaben gibt es etwa 309 Millionen mögliche Kombinationen. Das klingt nach viel, aber ein moderner Computer kann Milliarden Kombinationen pro Sekunde durchprobieren. Ein 6-stelliges Kleinbuchstaben-Passwort fällt in weniger als einer Sekunde.

Wörterbuchangriffe probieren gängige Wörter, Phrasen und bekannte Passwörter aus, bevor zufällige Kombinationen getestet werden. Datenbanken mit geleakten Passwörtern (Milliarden echter Passwörter aus früheren Datenlecks) sind öffentlich verfügbar. Wenn Ihr Passwort „sunshine2024“, „ilovecats!“ oder „MyPassword1“ ist, steht es in diesen Datenbanken und wird sofort geknackt.

Credential Stuffing nutzt Benutzername-Passwort-Paare aus einem Datenleck, um sich bei anderen Diensten anzumelden. Wenn Sie Passwörter über mehrere Seiten hinweg wiederverwenden, gefährdet ein Datenleck bei einem Dienst auch alle Ihre anderen Konten.

Social Engineering umgeht das Passwort komplett, indem Sie (oder der Kundensupport) dazu gebracht werden, es preiszugeben oder zurückzusetzen. Starke Passwörter nützen nichts, wenn Sie sie jemandem verraten, der sich als technischer Support ausgibt.

Die wichtigste Erkenntnis: Passwortlänge und Zufälligkeit machen das Knacken rechnerisch praktisch unmöglich. Ein wirklich zufälliges 16-stelliges Passwort mit gemischten Zeichen würde mit heutiger Technologie Milliarden von Jahren zum Brute-Force-Knacken benötigen.

Was ein Passwort stark macht

Länge ist der wichtigste Faktor. Jedes zusätzliche Zeichen erhöht die Anzahl möglicher Kombinationen exponentiell. Ein 12-stelliges Passwort ist billionenfach schwerer zu knacken als ein 8-stelliges, selbst wenn beide denselben Zeichensatz verwenden.

Zufälligkeit besiegt Wörterbuchangriffe. Eine zufällige Zeichenfolge taucht in keinem Wörterbuch und keiner geleakten Passwort-Datenbank auf. „xK9#mP2$vQ8&nL“ lässt sich weder aus persönlichen Informationen noch aus gängigen Mustern erraten.

Gemischte Zeichenarten vergrößern den Suchraum. Wenn Sie Groß- und Kleinbuchstaben, Zahlen und Symbole verwenden, hat jede Position im Passwort statt 26 (nur Buchstaben) etwa 95 mögliche Werte. Bei einem 12-stelligen Passwort ist das der Unterschied zwischen etwa 95 Billionen und 95 Billiarden möglichen Kombinationen.

Keine persönlichen Informationen. Ihr Name, Geburtstag, der Name Ihres Haustiers, Ihre Lieblingssportmannschaft, Ihr Abschlussjahr und ähnliche persönliche Details sind über soziale Medien leicht herauszufinden. Ein darauf basierendes Passwort ist leichter zu erraten, als Sie denken.

Keine Tastaturmuster. „qwerty“, „asdfgh“, „zxcvbn“ und „1qaz2wsx“ gehören zu den häufigsten Passwörtern, weil man sie für zufällig hält (sie sind es nicht — sie sind die offensichtlichsten Muster auf einer Tastatur).

Wirklich zufällige Passwörter generieren

Menschen sind schlecht darin, zufällig zu sein. Bittet man sie, ein zufälliges Passwort zu erstellen, entsteht meist etwas mit erkennbarem Muster — ein großgeschriebenes Wort, ein paar Zahlen am Ende, vielleicht ein Ausrufezeichen. Diese Muster sind Angreifern bestens bekannt.

Ein Passwort-Generator nutzt kryptografischen Zufall — eine Quelle echter Unvorhersehbarkeit —, um Passwörter ohne Muster, ohne Verzerrung und ohne Vorhersehbarkeit zu erzeugen. Das unterscheidet sich grundlegend davon, dass ein Mensch versucht, sich etwas „Zufälliges“ auszudenken.

Einen Passwort-Generator verwenden:

1. Gewünschte Länge festlegen (mindestens 12 Zeichen, idealerweise 16 oder mehr)
2. Gewünschte Zeichenarten aktivieren (Großbuchstaben, Kleinbuchstaben, Zahlen, Symbole)
3. Passwort generieren
4. In den Passwort-Manager kopieren

Das ist der gesamte Vorgang. Er dauert drei Sekunden und erzeugt ein Passwort, das mit heutiger Technologie länger als das Alter des Universums zum Knacken bräuchte.

Passwort-Manager: Der unverzichtbare Begleiter

Ein starkes Passwort nützt nichts, wenn Sie es sich nicht merken können, und Sie sollten für jedes Konto ein anderes starkes Passwort haben. Hier kommen Passwort-Manager ins Spiel.

Ein Passwort-Manager speichert alle Ihre Passwörter in einem verschlüsselten Tresor, geschützt durch ein einziges Master-Passwort. Sie müssen sich nur ein starkes Passwort merken — das Master-Passwort —, und der Manager trägt automatisch das richtige Passwort für jede Website und App ein.

Beliebte Passwort-Manager sind unter anderem Bitwarden (kostenlos und Open Source), 1Password und die integrierten Passwort-Manager in Browsern wie Chrome, Firefox und Safari. Jeder davon ist deutlich besser, als Passwörter wiederzuverwenden oder auf Zetteln zu notieren.

Ihr Master-Passwort sollte das eine Passwort sein, das Sie sich merken. Machen Sie es lang (20+ Zeichen) und einzigartig. Eine Passphrase funktioniert gut: vier oder fünf unzusammenhängende Wörter aneinandergereiht, etwa „correct horse battery staple“ (nutzen Sie aber Ihre eigenen zufälligen Wörter, nicht dieses berühmte Beispiel). Fügen Sie noch ein paar Zahlen oder Symbole hinzu, um es weiter zu stärken.

Häufige Passwortfehler

Passwörter über mehrere Seiten hinweg wiederverwenden. Das ist die gefährlichste Angewohnheit. Wird eine Seite gehackt (und das passiert ständig), ist jedes Konto gefährdet, das dieses Passwort teilt.

Ein „1“ anhängen, um Komplexitätsanforderungen zu erfüllen. Wenn eine Seite verlangt, „mindestens eine Zahl“ zu verwenden, hängt fast jeder eine „1“ ans Ende. Angreifer wissen das und probieren es zuerst.

Vermeintlich clevere Ersetzungen verwenden. „a“ durch „@“, „e“ durch „3“, „o“ durch „0“ zu ersetzen — diese Ersetzungen sind so verbreitet, dass Cracking-Tools sie automatisch durchprobieren. „P@$$w0rd“ ist nicht wesentlich stärker als „Password“.

Passwörter auf Papier neben dem Computer notieren. Ein Klebezettel am Monitor oder eine Notiz in der Schreibtischschublade ist für jeden zugänglich, der vorbeikommt.

Passwörter per SMS oder E-Mail teilen. Solche Nachrichten können abgefangen, unbegrenzt gespeichert und durchsucht werden. Wenn Sie einen Zugang teilen müssen, nutzen Sie die Freigabefunktion eines Passwort-Managers oder ein sicheres Freigabe-Tool.

Dasselbe Passwort für immer verwenden. Häufige erzwungene Änderungen können kontraproduktiv sein (sie führen oft zu schwächeren Passwörtern), aber Sie sollten ein Passwort sofort ändern, wenn der Dienst ein Datenleck meldet oder Sie unbefugten Zugriff vermuten.

Wie lang sollte Ihr Passwort sein?

Hier ist eine vereinfachte Übersicht der Knackzeit für Zufallspasswörter mit leistungsstarker Hardware:

• 8 Zeichen (gemischt): Stunden bis Tage.
• 10 Zeichen (gemischt): Wochen bis Monate.
• 12 Zeichen (gemischt): Jahrhunderte.
• 14 Zeichen (gemischt): Millionen von Jahren.
• 16 Zeichen (gemischt): Mit heutiger und absehbarer künftiger Technologie praktisch unknackbar.

Der Sprung von 8 auf 12 Zeichen ist der Unterschied zwischen „an einem Tag knackbar“ und „ein Leben lang nicht knackbar“. Vier zusätzliche Zeichen. Mehr braucht es nicht.

Sonderfälle

WLAN-Passwörter. Ihr WLAN-Passwort schützt Ihr gesamtes Heimnetzwerk. Machen Sie es mindestens 16 Zeichen lang. Sie tippen es pro Gerät nur einmal ein und nie wieder, es gibt also keinen Grund, es kurz oder einfach zu halten. Sie können sogar einen QR-Code dafür erstellen, damit Gäste sich verbinden können, ohne es einzutippen.

PIN-Codes. Bei Beschränkung auf Ziffern (Geldautomat, Handysperrbildschirm) nutzen Sie die maximal zulässige Länge. Eine 4-stellige PIN hat 10.000 Kombinationen. Eine 6-stellige PIN hat 1 Million. Wählen Sie immer die längere Option.

Sicherheitsfragen. Das sind im Grunde zweite Passwörter, keine echten Fragen zu Ihrem Leben. Behandeln Sie sie auch so — erzeugen Sie zufällige Antworten mit einem Passwort-Generator und speichern Sie sie in Ihrem Passwort-Manager. Die Antwort auf „Wie lautet der Mädchenname Ihrer Mutter?“ sollte eine zufällige Zeichenfolge sein, nicht der tatsächliche Mädchenname (der öffentlich herausfindbar ist).

Zwei-Faktor-Authentifizierung (2FA). Aktivieren Sie sie, wo immer verfügbar. Selbst wenn Ihr Passwort kompromittiert ist, verlangt 2FA eine zweite Bestätigung (meist einen Code vom Handy), um sich anzumelden. Es ist die wirksamste zusätzliche Sicherheitsmaßnahme, die Sie ergreifen können.

Zum Abschluss

Passwortsicherheit ist nicht kompliziert, erfordert aber Disziplin. Nutzen Sie einen Passwort-Generator, um lange, wirklich zufällige Passwörter für jedes Konto zu erstellen. Speichern Sie sie in einem Passwort-Manager, damit Sie sie sich nicht merken müssen. Aktivieren Sie die Zwei-Faktor-Authentifizierung, wo immer möglich. Und verwenden Sie nie ein Passwort auf mehreren Seiten wieder. Diese vier Praktiken machen Ihre Konten zusammen praktisch immun gegen die gängigsten Angriffsmethoden. Die drei Sekunden, die es braucht, ein starkes Passwort zu generieren, können Sie vor den verheerenden Folgen eines kompromittierten Kontos bewahren.

Möchten Sie auch Ihr WLAN absichern? Erfahren Sie, wie Sie einen QR-Code für Ihr WLAN-Passwort erstellen, damit Gäste sich verbinden können, ohne dass Sie das Passwort direkt weitergeben.