Ein gutes Passwort muss nicht kompliziert aussehen. Es muss vor allem lang sein und darf nur für ein einziges Konto gelten. Mit drei einfachen Regeln bist du deutlich sicherer als die meisten.
Regel 1: Länge schlägt Komplexität
Computer probieren beim Knacken Millionen Kombinationen pro Sekunde durch. Jedes zusätzliche Zeichen macht das Raten um ein Vielfaches schwerer. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt zwei Wege:
- Lang und einfacher: zum Beispiel 25 Zeichen und mehr, etwa ein Satz aus mehreren Wörtern.
- Kürzer und komplex: mindestens 8 bis 12 Zeichen mit Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen.
Für alles, was du dir merken musst, ist ein langer Passsatz meist die bessere Wahl.
So baust du einen Passsatz
Nimm vier oder fünf Wörter, die nicht zusammengehören, und verbinde sie, etwa mit Bindestrichen. Ein Beispiel für das Prinzip, bitte nicht übernehmen: Frosch-Leuchtturm-Kaktus-Zebra-Nudel. Das ist leicht zu merken und sehr lang.
Vermeide dabei:
- Namen, Geburtstage und Haustiere
- Bekannte Zitate und Liedzeilen
- Einfache Folgen wie 123456 oder qwertz
- Dasselbe Passwort mit einer angehängten Zahl für verschiedene Konten
Regel 2: Für jedes Konto ein eigenes Passwort
Wird ein Dienst gehackt, probieren Angreifer die erbeuteten Zugangsdaten automatisch bei vielen anderen Diensten aus. Wer überall dasselbe Passwort nutzt, verliert dann alle Konten auf einmal.
Die Lösung ist ein Passwort-Manager. Er erzeugt für jedes Konto ein langes Zufallspasswort und speichert es verschlüsselt. Du musst dir nur noch ein einziges gutes Master-Passwort merken. Viele Betriebssysteme und Browser haben bereits einen eingebaut, daneben gibt es eigenständige Programme.
Regel 3: Einen zweiten Faktor einschalten
Mit der Zwei-Faktor-Anmeldung reicht das Passwort allein nicht mehr. Du bestätigst den Login zusätzlich, etwa mit einem Code aus einer Authenticator-App oder per Bestätigung auf dem Smartphone. Selbst wenn jemand dein Passwort kennt, kommt er so nicht in dein Konto.
Schalte den zweiten Faktor zuerst dort ein, wo es am meisten weh tun würde: E-Mail, Bank, Onlineshops mit gespeicherter Zahlungsart und soziale Netzwerke.
Passkeys: Die Zukunft ohne Passwort
Immer mehr Dienste bieten Passkeys an. Dabei meldest du dich mit Fingerabdruck, Gesichtserkennung oder der Geräte-PIN an. Es gibt kein Passwort mehr, das gestohlen oder abgefischt werden kann. Wenn ein Dienst Passkeys anbietet, lohnt es sich, sie zu nutzen.
Prüfen, ob deine Daten betroffen sind
Mit Diensten wie dem Identity Leak Checker des Hasso-Plattner-Instituts kannst du prüfen, ob deine E-Mail-Adresse in bekannten Datenlecks auftaucht. Wenn ja, ändere die betroffenen Passwörter.
Frosch-Tipp
Fang klein an: Richte heute für dein E-Mail-Konto einen langen Passsatz und den zweiten Faktor ein. Das E-Mail-Postfach ist der Generalschlüssel, denn über „Passwort vergessen“ kommt man von dort an fast alle anderen Konten. Wie Angreifer an Passwörter kommen wollen, liest du in Phishing-Mails erkennen.