Sichere Passwörter: Warum die meisten Strategien scheitern – und was wirklich funktioniert

Passwörter nerven. Wir brauchen sie ständig, vergessen sie leicht oder nutzen immer die gleichen. Natürlich mit einem ausgefuchsten System, z. B. indem wir ans Ende eines leicht zu merkenden Basispassworts (wie wär's mit dem Lieblingsstar?) das Jahr der Firmengründung oder der Heirat hängen und diesem noch ein Sonderzeichen gönnen.

Also zum Beispiel:
hasselhoff92#

Den Trick mit den Sonderzeichen hast du schon mal gehört. Diese Kombination ist sicher. Wirklich? Ist sie tatsächlich sicher?

Spoiler: Nein, ist sie nicht.

Die beliebtesten Passwörter sind hochgradig unsicher

Dass Passwörter wie „123456", der Fingerschwenk „qwerty" oder „password" vollkommen unsicher sind, sollte jedem klar sein. Trotzdem werden solche Passwörter von Millionen Nutzer:innen gerne verwendet.

Aber wie sieht es mit unserem Beispiel von oben aus? Das Passwort hasselhoff92# ist in mehrfacher Hinsicht kritisch:

• Es enthält ein Wörterbuch-Wort: Moderne Programme zum Knacken von Passwörtern, sogenannte „Passwort-Cracker", arbeiten mit riesigen Datenbanken von Redewendungen, Wörterbüchern, Vornamen, Nachnamen (auch denen von Stars und Sternchen), Sehenswürdigkeiten und vielem mehr. Der Begriff „hasselhoff" ist dort garantiert enthalten.
• Es ist zu kurz: Mit 13 Zeichen ist das Passwort nach heutigen Empfehlungen aus der Fachwelt zu kurz. Moderne PCs können aktuell mehrere Milliarden Zeichenkombinationen pro Sekunde durchprobieren. Ein Passwort bestehend aus nur sieben Kleinbuchstaben könnte so in weniger als vier Sekunden geknackt werden.

Stand 2026 gilt: Ein sicheres Passwort sollte mindestens 15–16 Zeichen lang sein, um gegen moderne Brute-Force-Angriffe gewappnet zu sein.

Das größte Risiko: Ein Passwort für alles

Eines der größten Sicherheitsrisiken ist die Mehrfachnutzung von Passwörtern. Denn sich ein neues Passwort zu merken, macht keinen Spaß. Das ist aber äußerst kritisch.

Der Domino-Effekt bei Datenlecks

Stell dir vor: Du nutzt dasselbe Passwort für dein E-Mail-Konto, deinen Online-Shop-Account und dein Firmennetzwerk. Nun wird bei einem einzigen Anbieter (z. B. einem kleinen Online-Shop) ein Datenleck bekannt – dein Passwort ist kompromittiert.

Was passiert dann?

Kriminelle probieren dieses geknackte Passwort automatisiert bei diversen einschlägigen Anbietern aus: PayPal, eBay, Amazon, Banken, Sparkassen, E-Mail-Dienste, Cloud-Speicher, Hosting-Anbieter und vieles mehr. Ein Desaster, sollte das Passwort auch dort funktionieren.

Und du kannst dir selten sicher sein, wie gut dein Passwort bei einem einzelnen Anbieter geschützt ist. In der Vergangenheit sind immer wieder Datenlecks bekannt geworden, bei denen Millionen von Benutzeraccounts offen gelegt wurden. Blöd, wenn du das Passwort dieses Accounts dann auch woanders im Einsatz hast.

Die goldene Regel: Überall unterschiedliche Passwörter

Nutze für jeden Dienst ein eigenes, einzigartiges Passwort. Keine Doppelnutzung, keine Variationen (wie „Passwort123-Amazon" und „Passwort123-PayPal"). Jeder Account braucht sein eigenes, starkes Passwort.

Klingt unmöglich? Ist es nicht – dank Passwort-Managern (dazu gleich mehr).

Mythos regelmäßiger Passwortwechsel: Warum häufiges Ändern schadet

Vielleicht kennst du das aus deinem Unternehmen: Alle 30, 60 oder 90 Tage mussten Mitarbeiter ihre Passwörter ändern. Das galt lange als Best Practice für IT-Sicherheit. Die Idee dahinter: Selbst wenn ein Passwort kompromittiert wurde, ist es nach kurzer Zeit ohnehin ungültig.

Klingt logisch – ist aber kontraproduktiv.

Was in der Praxis passierte

Erzwungene regelmäßige Passwortwechsel führten zu massiven Problemen:

• Vorhersehbare Muster: Mitarbeiter änderten ihre Passwörter nur minimal (z. B. „Passwort1" → „Passwort2" → „Passwort3"). Solche Muster sind für Angreifer leicht zu erraten.
• Vergessene Passwörter: Wer alle vier Wochen ein neues Passwort braucht, vergisst es häufiger – und schreibt es dann auf einen Zettel am Monitor. Das Gegenteil von Sicherheit.
• Schwächere Passwörter: Um sich die häufigen Wechsel zu erleichtern, wählten Mitarbeiter einfachere, kürzere Passwörter.
• Frustration & Umgehungsstrategien: Mitarbeiter entwickelten kreative Wege, die Richtlinien zu umgehen – oft auf Kosten der Sicherheit.

Was BSI und NIST heute empfehlen

Sowohl das Bundesamt für Sicherheit in der Informationstechnik (BSI) als auch das US-amerikanische NIST (National Institute of Standards and Technology) haben ihre Empfehlungen grundlegend geändert:

Passwörter sollten nur dann geändert werden, wenn es einen konkreten Hinweis auf eine Kompromittierung gibt – nicht routinemäßig alle 90 Tage.

Die neue Strategie: Starke Passwörter über Jahre nutzen

Ein starkes, einzigartiges Passwort (15–16 Zeichen oder länger) kann problemlos über Monate oder sogar Jahre genutzt werden – solange es:

• Nicht in einem Datenleck aufgetaucht ist (das kannst du z. B. auf haveibeenpwned.com prüfen)
• Nur für einen einzigen Dienst verwendet wird
• Ausreichend komplex oder lang ist (z. B. eine Passphrase)

Resultat: Mitarbeiter können sich ein wirklich starkes Passwort überlegen und es langfristig nutzen – ohne ständige Änderungen, die die Sicherheit faktisch verschlechtern.

Was bedeutet das für dein Unternehmen?

Falls du in deinem Unternehmen noch eine Passwort-Wechsel-Policy hast (z. B. alle 90 Tage), solltest du diese überdenken:

• Setze auf starke Passwörter statt auf häufige Wechsel.
• Nutze Passwort-Manager (siehe unten), die sichere, einzigartige Passwörter für jeden Dienst generieren.
• Implementiere Monitoring: Prüfe, ob Passwörter in bekannten Datenlecks aufgetaucht sind – und ändere sie dann gezielt.
• Setze auf Zwei-Faktor-Authentifizierung (2FA) als zusätzliche Sicherheitsebene.

Die Zeiten von „alle 90 Tage Passwort ändern" sind vorbei. Moderne IT-Sicherheit setzt auf Qualität statt Quantität.

Wie sieht ein sicheres Passwort aus?

Es stellt sich also die Frage, was ein besonders gutes Passwort ausmacht. Die aktuellen Empfehlungen von BSI, NIST und anderen Sicherheitsexperten lauten:

Klassische kryptische Passwörter

• Mindestens 15–16 Zeichen lang (Stand 2026)
• Klein- und Großbuchstaben gemischt
• Sonderzeichen enthalten
• Zahlen integriert
• Keinerlei Wortbestandteile, die in Wörterbüchern enthalten sein könnten (Namen, Redewendungen, Wörter)

Also zum Beispiel:
FB3\sS0y.!Na8!Kp2

Das Problem: Wer kann sich solch ein Passwort merken? Und dann auch noch mehrere davon? Auch das Ausdenken eines solchen Passworts ist leidig.

Die bessere Alternative: Passphrasen (Passwort-Sätze)

Hier kommt eine deutlich merkbarere Alternative ins Spiel: Passphrasen (auch Passwort-Sätze genannt).

Was sind Passphrasen?

Anstatt dir eine kryptische Zeichenfolge zu merken, kombinierst du mehrere, idealerweise zufällige Wörter zu einem langen Satz. Diese Methode wird von NIST und anderen Sicherheitsexperten ausdrücklich empfohlen.

Beispiel:
Kaffee-Morgen-Fahrrad-Hamburg-Wolke-2026

oder

BahnhofSommerkleidSiemensallee362!

Warum sind Passphrasen sicher?

• Länge schlägt Komplexität: Ein 30-Zeichen-Satz aus zufälligen Wörtern ist deutlich sicherer als ein 12-Zeichen-Kauderwelsch.
• Leichter zu merken: Für einen Menschen ist „Kaffee-Morgen-Fahrrad-Hamburg-Wolke-2026" deutlich leichter zu merken als „Tr!x1&?bA".
• Hohe Sicherheit durch Länge: Durch die Länge bietet eine Passphrase eine weitaus höhere Sicherheit gegen Brute-Force-Angriffe.

Wie erstelle ich eine gute Passphrase?

1. Nutze 4–6 zufällige Wörter (keine zusammenhängenden Sätze wie „Ich gehe heute einkaufen")
2. Trenne die Wörter mit Bindestrichen, Punkten oder Leerzeichen (z. B. „Kaffee-Morgen-Fahrrad-Hamburg")
3. Optional: Füge Zahlen oder Sonderzeichen hinzu (z. B. „Kaffee-Morgen-Fahrrad-2026!")
4. Vermeide bekannte Zitate, Songtexte oder Redewendungen

Wichtig: Wenn du einen Passwort-Manager nutzt (siehe unten), ist es im Prinzip egal, ob du kryptische Passwörter oder Passphrasen verwendest – der Manager merkt sich beides für dich. Passphrasen sind aber ideal für das Master-Passwort deines Passwort-Managers, weil du dir dieses eine Passwort ja merken musst.

Die Lösung: Nutzung von Passwort-Managern

Unser Fazit und unsere Empfehlung ist die Nutzung eines Passwort-Managers – einer kleinen Software, die dir beim Generieren, beim Speichern und beim Ausfüllen von Passwörtern hilft.

Wie funktioniert ein Passwort-Manager?

Das Prinzip ist ein sogenannter „Tresor", der mit einem einzigen (sicheren!) Passwort geschützt ist und der dann nach dem Öffnen alle anderen Passwörter enthält. Als Benutzer musst du dir nur noch dieses eine Master-Passwort merken, alles andere macht der Tresor.

Die Vorteile: Sicherheit trifft auf maximalen Komfort

Passwort-Manager sind nicht nur sicher – sie sind extrem komfortabel. Und genau das ist entscheidend, denn im Alltag funktioniert Sicherheit nur, wenn sie bequem ist. Alles andere scheitert an fehlender Disziplin.

Warum Passwort-Manager so praktisch sind:

• Geräteübergreifend: Egal ob Windows-PC, Mac, Linux, iPhone, Android-Smartphone oder Tablet – Passwort-Manager funktionieren auf allen Plattformen gleichermaßen.
• Browser-unabhängig: Chrome, Firefox, Safari, Edge – überall gibt es passende Erweiterungen, die Passwörter automatisch ausfüllen.
• Synchronisation in Echtzeit: Änderst du ein Passwort auf dem Laptop, ist es Sekunden später auch auf dem Smartphone verfügbar.
• Automatisches Ausfüllen: Kein Abtippen mehr – der Passwort-Manager füllt Login-Daten automatisch aus.
• Passwort-Generator: Auf Knopfdruck ein neues, sicheres 20-Zeichen-Passwort – ohne nachdenken zu müssen.

Und genau hier liegt der Schlüssel: Nur wenn die Nutzung so reibungslos ist wie bei Passwort-Managern, hältst du langfristig durch. Alles andere – Passwörter in Excel-Listen, auf Zetteln oder im Kopf – scheitert früher oder später an der fehlenden Disziplin oder wird zur Sicherheitslücke.

Diese Tools sind heutzutage mehr als ausgereift und als sicher einzustufen, wenn du ein gutes Master-Passwort wählst (am besten eine Passphrase!).

Sind Passwörter in der Cloud sicher?

Wegen der Speicherung der Passwörter in der Cloud werden gerne Bedenken geäußert. Wir sehen das Risiko gegenüber dem Sicherheitszuwachs jedoch als eher gering an.

Warum?

• Es ist deutlich unsicherer, ein nicht sicheres Passwort in diversen Accounts zu nutzen.
• Die Passwort-Tresore werden stark verschlüsselt und dann erst in der Cloud abgelegt.
• Zum Entschlüsseln ist dein Master-Passwort notwendig, das nur dir bekannt ist.
• Selbst wenn ein Angreifer Zugriff auf die verschlüsselten Daten hätte, könnte er ohne dein Master-Passwort nichts damit anfangen.

Welcher Passwort-Manager passt zu dir?

Wir empfehlen dir Passwort-Manager, die flexibel einsetzbar sind – egal ob du sie privat, im kleinen Team oder im größeren Unternehmen nutzen möchtest.

Drei Anbieter kommen dabei in die engere Wahl, die wir selbst verwenden und für gut befunden haben (wir haben keinerlei Verbindungen zu den Unternehmen):

1Password

• Für wen? Privatnutzer, kleine Teams und Unternehmen
• Kosten: Kostenpflichtig (Abo-Modell)
• Vorteile: Sehr benutzerfreundlich, ausgereifte Apps für alle Plattformen (Windows, Mac, Linux, iOS, Android), hervorragende Team-Funktionen mit Rechteverwaltung und Audit-Logs
• Ideal für: Unternehmen, die eine professionelle, sofort einsatzbereite Lösung suchen
• www.1password.com

Bitwarden

• Für wen? Privatnutzer, kleine Teams und Unternehmen
• Kosten: Kostenlose Basisversion, kostenpflichtig für Team-Funktionen (Abo-Modell)
• Vorteile: Open Source, sehr gutes Preis-Leistungs-Verhältnis, kann auch selbst gehostet werden (siehe unten), Team-Funktionen mit Rechteverwaltung
• Ideal für: Preisbewusste Nutzer und Unternehmen, die Open Source bevorzugen oder Self-Hosting wünschen
• www.bitwarden.com

Enpass

• Für wen? Privatnutzer und kleine Teams
• Kosten: Desktopversion kostenlos, mobile Apps kostenpflichtig (Abo-Modell)
• Vorteile: Unterstützt viele Cloud-Anbieter (WebDAV, Dropbox, Google Drive, OneDrive etc.), sehr benutzerfreundlich, kann auch selbst gehostet werden (siehe unten)
• Ideal für: Nutzer, die selbst entscheiden möchten, wo ihre Passwörter gespeichert werden
• www.enpass.io

Unser Tipp: Alle drei Tools bieten kostenlose Testversionen oder Basis-Tarife. Probiere aus, welches am besten zu deinem Workflow passt!

Self-Hosting: Maximale Kontrolle über deine Passwörter

Wer noch mehr Kontrolle über seine Passwörter haben möchte, kann auf selbst gehostete Passwort-Manager setzen. Dabei werden die verschlüsselten Passwörter nicht auf den Servern des Anbieters gespeichert, sondern auf einem eigenen Server oder Cloud-Speicher (z. B. über WebDAV).

Vorteile von Self-Hosting

• Volle Datenkontrolle: Die Passwörter liegen auf deinem eigenen Server oder Cloud-Speicher.
• Unabhängigkeit: Keine Abhängigkeit von externen Anbietern.
• DSGVO-Konformität: Besonders für Unternehmen interessant, die sensible Daten nicht in fremde Hände geben möchten.

Diese Tools unterstützen Self-Hosting

Bitwarden (selbst gehostet)

• Open Source, kostenpflichtig für Team-Funktionen (Abo-Modell)
• Kann auf einem eigenen Server gehostet werden (Docker-basiert)
• Erfordert etwas technisches Know-how für die Einrichtung
• Ideal für KMUs mit IT-Abteilung

Enpass mit eigenem Cloud-Speicher

• Kostenpflichtig (Abo-Modell)
• Unterstützt WebDAV, Dropbox, Google Drive, OneDrive und viele weitere Cloud-Dienste
• Sehr benutzerfreundlich, auch für Nicht-Techniker geeignet
• Du entscheidest, wo deine Passwörter liegen (z. B. auf deinem eigenen WebDAV-Server)

Wichtig: Selbst gehostete Lösungen erfordern etwas mehr technisches Verständnis und Wartungsaufwand. Für die meisten Nutzer sind Cloud-basierte Lösungen mit starker Verschlüsselung (wie 1Password oder Bitwarden Cloud) völlig ausreichend und sicherer als unsichere Passwörter.

Zusammenfassung: So schützt du dich wirklich

1. Nutze für jeden Dienst ein eigenes, einzigartiges Passwort – keine Doppelnutzung!
2. Setze auf Länge: Mindestens 15–16 Zeichen (Stand 2026).
3. Passphrasen sind eine tolle Alternative: Leichter zu merken als kryptische Passwörter, aber genauso sicher (wenn lang genug).
4. Verwende einen Passwort-Manager: Das ist die einzige realistische Möglichkeit, für jeden Dienst ein sicheres, einzigartiges Passwort zu nutzen.
5. Vergiss regelmäßige Passwortwechsel: Starke Passwörter über Jahre nutzen ist sicherer als häufige Wechsel mit schwachen Variationen.
6. Für Unternehmen: Team-Lösungen nutzen (1Password Teams, Bitwarden Organizations).
7. Wer maximale Kontrolle will: Selbst gehostete Lösungen (Enpass mit WebDAV, Bitwarden self-hosted).

Die wichtigste Erkenntnis: Ein Passwort-Manager ist kein Luxus, sondern eine Notwendigkeit für moderne digitale Sicherheit. Die Investition (Zeit oder Geld) lohnt sich – denn ein einziges geknacktes Passwort kann dich deutlich mehr kosten.

Update Mai 2026: Dieser Artikel wurde umfassend überarbeitet und um aktuelle Empfehlungen zu Passphrasen, Team-Passwortmanagern und Self-Hosting-Lösungen erweitert.