Die moderne Passwort-Formel: Länge schlägt Komplexität (mindestens 12, besser 16+ Zeichen oder eine Passphrase aus 4–5 Wörtern), für jedes Konto ein eigenes Passwort, verwaltet in einem Passwort-Manager, abgesichert mit Zwei-Faktor-Authentifizierung. Der früher übliche 90-Tage-Wechsel ist überholt – geändert wird nur bei Verdacht auf Kompromittierung.
- Länge zuerst: jedes zusätzliche Zeichen vervielfacht den Knack-Aufwand; Passphrasen wie „KaffeeTraktorWolkeGrün7" sind stark UND merkbar.
- Nie wiederverwenden: Ein Datenleck bei einem Dienst gefährdet sonst alle Konten (Credential Stuffing).
- Passwort-Manager macht einzigartige Passwörter alltagstauglich – nur noch EIN Master-Passwort merken.
- Regelmäßiger Zwangswechsel ist überholt (BSI): stark wählen, behalten, nur bei Verdacht ändern.
Passwörter sind die Haustürschlüssel des digitalen Lebens – und die meisten Menschen verwenden dafür sinngemäß einen Schlüssel, der unter der Fußmatte liegt: zu kurz, leicht zu erraten und für zehn Türen derselbe. Dabei sind die Regeln für wirklich sichere Passwörter heute einfacher denn je – man muss nur die richtigen kennen.
Regel 1: Länge schlägt Komplexität
Moderne Angriffe probieren Milliarden Kombinationen pro Sekunde durch. Entscheidend ist deshalb vor allem die Länge: Jedes zusätzliche Zeichen vervielfacht den Aufwand. Ein kurzes „Tr0tzdem!“ mit allen Zeichenklassen ist schneller geknackt als eine lange, simple Passphrase wie „KaffeeTraktorWolkeGrün7“.
- Mindestens 12 Zeichen, besser 16+ – für wichtige Konten gern mehr.
- Passphrasen aus 4–5 zufälligen Wörtern sind lang, stark und merkbar.
- Keine Namen, Geburtsdaten, Haustiere, „123“-Anhänge oder Tastaturmuster (qwertz).
Regel 2: Für jedes Konto ein eigenes Passwort – ausnahmslos
Der häufigste Weg zum „gehackten“ Konto ist gar kein Hack bei Ihnen: Ein Online-Dienst wird geknackt, die erbeuteten Zugangsdaten werden automatisiert bei hunderten anderen Diensten durchprobiert („Credential Stuffing“). Wer überall dasselbe Passwort nutzt, verliert mit einem Datenleck alle Konten. Ob Ihre E-Mail-Adresse bereits in bekannten Lecks auftaucht, verrät unser Leak-Checker.
Regel 3: Ein Passwort-Manager macht das alles erst praktikabel
Niemand merkt sich 50 verschiedene lange Passwörter – und das muss auch niemand. Ein Passwort-Manager speichert alle Zugänge verschlüsselt, füllt sie automatisch aus und erzeugt für jedes neue Konto ein starkes Zufallspasswort. Sie merken sich nur noch ein einziges, sehr starkes Master-Passwort (hier glänzt die Passphrase). Seriöse Optionen gibt es kostenlos und quelloffen (z. B. Bitwarden oder KeePass) – auch die in Browsern integrierten Manager sind besser als Passwort-Recycling. Zettel im Schreibtisch und Excel-Listen sind es nicht.
Regel 4: 2FA – das Sicherheitsnetz, falls doch etwas passiert
Selbst das beste Passwort kann gestohlen werden (Phishing, Datenleck, Schadsoftware). Die Zwei-Faktor-Authentifizierung macht ein gestohlenes Passwort praktisch wertlos, weil zusätzlich ein Code von Ihrem Handy nötig ist. Für E-Mail, Banking und alle wichtigen Konten ist sie Pflicht – die Anleitung gibt es in unserem Ratgeber 2FA einrichten.
Diese Passwort-Mythen können Sie vergessen
- „Alle 90 Tage ändern“: überholt. Erzwungener Wechsel führt zu „Sommer2026!“ → „Herbst2026!“. Heutige Empfehlung (auch vom BSI): ein starkes Passwort behalten und nur bei Verdacht auf Kompromittierung sofort ändern.
- „Sonderzeichen machen es sicher“: Ein kurzes Passwort bleibt schwach, egal wie kryptisch. Länge zuerst.
- „E$el5tatt“-Ersetzungen (a→@, s→$): stehen in jedem Knack-Wörterbuch.
- „Im Browser speichern ist gefährlich“: pauschal falsch – gefährlicher ist Wiederverwendung. Wichtig ist, dass das Gerät selbst geschützt ist (Sperre, Updates, kein Schadprogramm).
Sonderfall Firma: Passwörter im Team
In Betrieben kommt dazu: gemeinsame Zugänge, Mitarbeiterwechsel, Alt-Konten. Hier gehören ein Team-Passwort-Manager, klare Zuständigkeiten und das sofortige Sperren ausgeschiedener Zugänge zum Standard – sonst weiß nach zwei Jahren niemand mehr, wer alles das Amazon-Firmenkonto kennt. Wie es um Ihre IT-Sicherheit insgesamt steht, zeigt der 5-Minuten-IT-Sicherheitscheck; dauerhaft sauber bleibt das Ganze mit einer laufenden IT-Betreuung.
Häufige Fragen
Wie lang sollte ein sicheres Passwort sein?
Mindestens 12 Zeichen, besser 16 und mehr – Länge ist wichtiger als möglichst viele Sonderzeichen. Besonders praktisch sind Passphrasen aus 4–5 zufälligen Wörtern: lang, stark und trotzdem merkbar.
Muss ich Passwörter regelmäßig ändern?
Nein – diese Regel gilt als überholt (auch beim deutschen BSI). Erzwungener Wechsel führt zu schwachen Mustern wie „Sommer2026!" → „Herbst2026!". Richtig ist: ein starkes, einzigartiges Passwort behalten und sofort ändern, wenn es Hinweise auf ein Datenleck oder eine Kontoübernahme gibt.
Sind Passwort-Manager sicher?
Ja – deutlich sicherer als die Alternativen (überall dasselbe Passwort, Zettel, Excel-Listen). Seriöse Manager verschlüsseln alle Einträge mit Ihrem Master-Passwort; selbst der Anbieter kann sie nicht lesen. Wichtig: ein sehr starkes Master-Passwort (Passphrase) und 2FA für den Manager selbst.
Woher weiß ich, ob mein Passwort geleakt wurde?
Prüfen Sie Ihre E-Mail-Adresse mit einem Leak-Checker gegen bekannte Datenlecks. Taucht sie auf, ändern Sie das Passwort des betroffenen Dienstes – und überall dort, wo Sie dasselbe Passwort verwendet haben. Danach 2FA aktivieren.
Fazit
Die moderne Passwort-Formel ist kurz: lang statt kryptisch (12–16+ Zeichen oder Passphrase) · für jedes Konto einzigartig · verwaltet im Passwort-Manager · abgesichert mit 2FA. Wer diese vier Regeln umsetzt, hat das Passwort-Problem dauerhaft gelöst – ganz ohne 90-Tage-Wechselstress.
Wir richten Passwort-Manager und 2FA gern gemeinsam mit Ihnen ein – privat oder im ganzen Betrieb.
