Was ist ein sicheres Passwort, und wie erstellen Sie eines, das wirklich schützt?

Die meisten von uns wählen Passwörter, die sie sich merken können: einen Namen, ein Geburtsdatum, eine Telefonnummer oder das übliche Passwort mit einer zusätzlichen Ziffer. Das Problem: Was ein Passwort leicht zu merken macht, macht es auch leicht zu erraten. Dieser Ratgeber erklärt, was ein sicheres Passwort wirklich ist, wie Passwörter in der Praxis geknackt werden, welche Gewohnheiten sie schwach machen und wie Sie Ihr E-Mail-Konto und andere wichtige Konten mit dem Passwort-Generator, einem Passwort-Manager und Zwei-Faktor-Authentifizierung schützen.

Was ist ein sicheres Passwort?

Ein sicheres Passwort ist eines, das selbst ein Computer mit Milliarden Rateversuchen pro Sekunde nicht in vertretbarer Zeit findet. Zwei Eigenschaften machen diese Stärke aus: Länge und Zufälligkeit. Kompliziert auszusehen reicht allein nicht; P@ssw0rd! enthält ein Sonderzeichen, Ziffern und einen Großbuchstaben und gehört trotzdem zu den ersten Passwörtern, die Knackprogramme ausprobieren.

Der Grund wird klar, wenn man sich ansieht, wie Angriffe ablaufen. Angreifer probieren Passwörter selten auf der Anmeldeseite einer Website aus, weil Websites sie nach einigen Fehlversuchen sperren. Die eigentliche Gefahr entsteht, wenn die Datenbank einer Website abfließt. Dann hat der Angreifer die gehashten Versionen der Passwörter und kann auf seinem eigenen Computer ohne jede Begrenzung raten: zuerst mit Listen gängiger und bereits geleakter Passwörter, dann mit denselben Passwörtern nach vorhersehbaren Regeln wie einem großen Anfangsbuchstaben, @ statt a oder einer Jahreszahl am Ende, und schließlich mit allen möglichen Kombinationen.

Entropie: Passwortstärke einfach erklärt

Die Stärke eines wirklich zufällig erzeugten Passworts wird als „Entropie“ in Bit gemessen. Jedes Bit Entropie verdoppelt die Zahl der Möglichkeiten, die ein Angreifer ausprobieren muss. Wird jedes Zeichen zufällig aus einem Satz von N Zeichen gewählt, ist die Entropie des Passworts seine Länge multipliziert mit dem Logarithmus zur Basis 2 von N.

Eine englische Standardtastatur hat 94 druckbare Zeichen: 26 Kleinbuchstaben, 26 Großbuchstaben, 10 Ziffern und 32 Sonderzeichen. Jedes zufällige Zeichen aus diesem Satz bringt etwas mehr als 6,5 Bit Entropie, ein zufälliges Passwort mit 16 Zeichen daraus hat also etwa 105 Bit.

Um diese Zahlen greifbar zu machen, stellen Sie sich einen Angreifer vor, der gegen einen schnellen Hash eine Billion Rateversuche pro Sekunde schafft. Alle möglichen zufälligen Passwörter mit 8 Zeichen hätte er in weniger als zwei Stunden durchprobiert, für ein Passwort mit 16 Zeichen bräuchte er dagegen mehr als eine Billion Jahre. Die tatsächliche Geschwindigkeit hängt von der Art des Hashes und von der Hardware ab, aber das Muster bleibt: Jedes zusätzliche zufällige Zeichen macht dem Angreifer die Arbeit dutzendfach schwerer.

Eine wichtige Bedingung: Diese Rechnung gilt nur für ein Passwort, das wirklich zufällig erzeugt wurde. Ein Passwort wie Ali@1991! hat neun Zeichen, fällt aber schon in den allerersten Phasen eines Angriffs, weil es aus gängigen Mustern besteht.

Typische Fehler, die Passwörter schwach machen

• Ein Passwort für mehrere Konten: der gefährlichste Fehler überhaupt. Wird eine unwichtige Website gehackt, probieren Angreifer dieselbe E-Mail-Adresse und dasselbe Passwort automatisch bei E-Mail-Anbietern, sozialen Netzwerken und Onlineshops aus.
• Persönliche Informationen: Ihr eigener Name oder der Ihres Kindes, ein Geburtsdatum, eine Telefonnummer, eine Ausweisnummer, ein Kfz-Kennzeichen oder Ihr Lieblingsverein; Informationen, die sich oft in sozialen Medien finden.
• Einfache Ersetzungen: p@ssw0rd statt password oder $ statt s bringt keine zusätzliche Sicherheit; diese Regeln sind seit Jahren in Knackprogramme eingebaut.
• Eine Jahreszahl oder ein Sonderzeichen am Ende: 2026, 123 oder ! hinter einem Wort gehören zu den ersten Varianten, die ausprobiert werden, ebenso das Ändern von 2025 in 2026, wenn Sie ein Passwort erneuern.
• Tastaturmuster: qwerty, 1qaz2wsx und 123456 tauchen auf den Listen der häufigsten geleakten Passwörter auf.
• Unsichere Aufbewahrung: ein Passwort per Messenger verschicken oder es in einer Notiz auf dem Handy oder in einem Screenshot aufbewahren, der mit einem Cloud-Speicher synchronisiert wird.

Passphrasen: Passwörter, die man sich merken kann

Für die wenigen Passwörter, die Sie wirklich auswendig kennen müssen, etwa das Master-Passwort Ihres Passwort-Managers oder die Anmeldung am Laptop, ist eine Passphrase eine gute Wahl: mehrere zufällige, unzusammenhängende Wörter hintereinander. Auch eine Passphrase bezieht ihre Stärke aus dem Zufall. Wird jedes Wort zufällig aus einer Liste mit 7.776 Wörtern gewählt, wie bei der Diceware-Methode, die Wörter durch Würfeln auswählt, bringt jedes Wort etwa 13 Bit Entropie, und sechs Wörter ergeben mehr als 77 Bit.

„Wählen“ Sie die Wörter nicht selbst aus; ein bekannter Gedichtvers, ein Sprichwort oder ein sinnvoller Satz ist nicht zufällig, egal wie lang er ist. Bauen Sie die Passphrase außerdem besser aus einfachen Buchstaben ohne Umlaute oder ß, weil manche Systeme mit anderen Zeichen in Passwörtern Probleme haben. Für alle übrigen Konten, bei denen ein Passwort-Manager das Passwort für Sie einträgt, ist eine zufällige Zeichenfolge kürzer und praktischer. Der Passwort-Generator dieser Website kann beides: Im Menü Modus wechseln Sie zwischen einer zufälligen Zeichenfolge und einer Passphrase aus derselben Liste mit 7.776 Wörtern; die Seite Passphrase-Generator öffnet ihn direkt in diesem Modus.

Sicheres Passwort mit dem Passwort-Generator erstellen

Der Passwort-Generator erzeugt das Passwort in Ihrem Browser mit crypto.getRandomValues, der kryptografisch sicheren Zufallsquelle, die Browser für Sicherheitsaufgaben bereitstellen. Das erzeugte Passwort wird an keinen Server gesendet und nirgends gespeichert. Die Schritte:

1. Lassen Sie das Menü Modus auf Passwort stehen, wenn Sie eine zufällige Zeichenfolge möchten. Im selben Menü stehen auch Passphrase und PIN; die oben beschriebene Passphrase und eine PIN aus 3 bis 12 Ziffern kommen also aus demselben Werkzeug.
2. Wählen Sie mit dem Regler Länge eine Länge von 4 bis 128 Zeichen; voreingestellt sind 16. Für E-Mail und sensible Konten wählen Sie 20 oder mehr.
3. Wählen Sie die Zeichensätze: Großbuchstaben, Kleinbuchstaben und Ziffern sind standardmäßig aktiviert. Mit Sonderzeichen kommen 26 Zeichen wie !@#$% hinzu.
4. Wenn Sie das Passwort von Papier ablesen oder von Hand eintippen werden, aktivieren Sie Verwechselbare Zeichen ausschließen, um leicht verwechselbare Zeichen wie 0, O, 1, l und I auszuschließen. Für ein WLAN-Passwort für Gäste können Sie statt des Vorlesens auch einen WLAN-QR-Code erstellen.
5. Mindestens ein Zeichen jeder Art ist standardmäßig aktiviert: Die Option sorgt dafür, dass aus jeder ausgewählten Zeichenart mindestens ein Zeichen vorkommt, solange die Länge für je ein Zeichen Platz lässt. Lassen Sie sie aktiviert, wenn eine Website eine Ziffer oder ein Sonderzeichen verlangt.
6. Klicken Sie auf Generieren. 10 generieren erzeugt zehn Passwörter auf einmal; weil Mindestens ein Zeichen jeder Art aktiviert ist, enthält jedes davon bereits ein Zeichen aus jeder gewählten Art, Sie können also einfach das erste nehmen. Die Liste ist nur dafür da, dass Sie sich ein besser lesbares aussuchen können.
7. Kopieren Sie das Passwort mit Kopieren und fügen Sie es direkt in Ihren Passwort-Manager und das Formular der Website ein.

Mit den Standardeinstellungen (16 Zeichen aus 62 Buchstaben und Ziffern) beträgt die Entropie etwa 95 Bit, mit aktivierten Sonderzeichen (88 Zeichen) steigt sie auf etwa 103 Bit. Akzeptiert eine Website keine Sonderzeichen, deaktivieren Sie sie und erhöhen die Länge auf 20; mit etwa 119 Bit ist das Ergebnis sogar stärker als ein Passwort mit 16 Zeichen einschließlich Sonderzeichen. Sie müssen den Wert nicht selbst ausrechnen: Die Zeile unter dem Ergebnis nennt ihn, mit den Standardeinstellungen als Etwa 95 Bit Entropie. Die Anzeige Stärke unter dem Passwort ist nur ein einfacher Indikator auf Basis von Länge und Zeichenarten; der eigentliche Maßstab bleiben Länge und Zufälligkeit.

Passwort-Manager: der einzige praktikable Weg zu unterschiedlichen Passwörtern

Niemand kann sich zufällige, unterschiedliche Passwörter für Dutzende Konten merken, und das muss auch niemand. Ein Passwort-Manager bewahrt alle Passwörter in einem verschlüsselten Tresor auf und verlangt von Ihnen nur eine einzige starke Passphrase. Die meisten Passwort-Manager füllen Anmeldeformulare automatisch aus, und weil sie dabei die Adresse der Website abgleichen, tragen sie das Passwort auf einer gefälschten Seite, die nur so aussieht wie die echte, in der Regel nicht ein; ein echter Schutz gegen Phishing.

• Der in Browser oder Betriebssystem eingebaute Passwort-Manager ist der einfachste Einstieg und steht auf allen Geräten zur Verfügung, die mit demselben Konto synchronisiert sind.
• Eigenständige Passwort-Manager wie Bitwarden (Open Source, mit kostenlosem Tarif) oder KeePassXC (Open Source und komplett offline) funktionieren über verschiedene Browser und Betriebssysteme hinweg.
• Aktivieren Sie auch für den Passwort-Manager selbst die Zwei-Faktor-Authentifizierung und bewahren Sie seine Wiederherstellungscodes an einem sicheren Ort auf, der nicht Ihr Handy ist.

Zwei-Faktor-Authentifizierung: die zweite Schutzschicht

Auch das stärkste Passwort kann auf einer Phishing-Seite eingegeben oder von Schadsoftware gestohlen werden. Zwei-Faktor-Authentifizierung (2FA) bedeutet, dass für die Anmeldung zusätzlich zum Passwort etwas von einem Gerät nötig ist, das Sie besitzen. Die Verfahren sind nicht gleich sicher:

Notieren Sie die Backup-Codes, die bei der Einrichtung angezeigt werden, und bewahren Sie sie sicher auf, damit Sie den Zugang zum Konto nicht verlieren, wenn Ihr Handy verloren geht. Und schicken Sie niemals einen Bestätigungscode an jemanden; Nachrichten nach dem Muster „Schicken Sie uns den Code, den wir Ihnen gerade gesendet haben“ gehören zu den häufigsten Betrugsmaschen.

Ein sicheres Passwort für Ihre E-Mail

Ihr E-Mail-Konto ist Ihr wichtigstes Konto, weil fast jeder Dienst seine Links zum Zurücksetzen des Passworts dorthin schickt; wer Ihre E-Mail übernimmt, kann auch die Passwörter der meisten anderen Konten ändern. Für Ihre wichtigste E-Mail-Adresse gilt deshalb:

• Erstellen Sie ein zufälliges Passwort mit mindestens 20 Zeichen, das nirgendwo sonst verwendet wird.
• Aktivieren Sie die Zwei-Faktor-Authentifizierung mit einer Authenticator-App oder einem Passkey.
• Halten Sie die Telefonnummer und die E-Mail-Adresse für die Wiederherstellung aktuell; eine Nummer, die Sie nicht mehr besitzen, kann zum Einfallstor werden.
• Prüfen Sie ab und zu die Liste der Geräte und Sitzungen, die im Konto angemeldet sind, und melden Sie alle ab, die Sie nicht kennen.
• Suchen Sie auf haveibeenpwned.com nach Ihrer E-Mail-Adresse, um zu sehen, ob sie in bekannten Datenlecks vorkommt.
• Geben Sie Ihr E-Mail-Passwort nur auf einer Seite ein, deren Adresse Sie selbst aufgerufen haben, niemals über einen Link aus einer Nachricht.

Wann sollten Sie ein Passwort ändern?

Erzwungene regelmäßige Passwortwechsel, etwa alle drei Monate, werden nicht mehr empfohlen; auch die Richtlinien des US-Standardisierungsinstituts NIST sagen, dass Dienste sie nicht verlangen sollten, weil sie Menschen zu vorhersehbaren Änderungen verleiten, etwa dazu, nur die letzte Ziffer des Passworts zu ändern. Behalten Sie ein gutes Passwort, aber ändern Sie es sofort, wenn der Dienst ein Datenleck meldet oder Ihre E-Mail-Adresse in einer Liste von Datenlecks auftaucht, wenn Sie das Passwort jemandem geschickt oder auf einem öffentlichen Gerät eingegeben haben, wenn Sie ungewohnte Aktivitäten im Konto bemerken oder wenn Sie dasselbe Passwort auch anderswo verwendet haben.