Was ist ein sicheres Passwort?

Ein Passwort gilt dann als sicher, wenn ein Angreifer es weder erraten noch mit vertretbarem Aufwand durchprobieren kann und wenn der Verlust eines einzelnen Passworts keine weiteren Konten gefährdet. Daraus folgen drei Eigenschaften, die alle drei erfüllt sein müssen:

• Zufällig erzeugt: nicht selbst ausgedacht, sondern von einem Zufallsgenerator gebildet. Menschen wählen vorhersehbare Muster – Namen, Jahreszahlen, Tastaturreihen, ein Ausrufezeichen am Ende.
• Ausreichend lang: die Länge bestimmt den Suchraum stärker als jede Sonderzeichenregel. Ein zufälliges 20-Zeichen-Passwort ist einem „komplizierten“ 8-Zeichen-Passwort deutlich überlegen.
• Einzigartig pro Dienst: ein wiederverwendetes Passwort wird nach einem Datenleck automatisiert bei anderen Diensten ausprobiert (Credential Stuffing).

Wie viel Sicherheit eine bestimmte Länge tatsächlich bedeutet, hängt vom Angriffsszenario ab. Genau deshalb vermeiden wir Formulierungen wie „unknackbar“ – siehe Brute Force und Credential Stuffing.

Klassische Regeln („mindestens ein Grossbuchstabe, eine Ziffer und ein Sonderzeichen“) sollten eigentlich die Vielfalt erhöhen. In der Praxis erzeugen sie erwartbare Ergebnisse: Sommer2024! erfüllt jede dieser Regeln und steht dennoch weit oben in Angreifer-Wörterbüchern. Die aktuellen Empfehlungen des NIST (SP 800-63B) verzichten deshalb auf erzwungene Zeichenklassen und setzen stattdessen auf grosszügige Mindestlängen und den Abgleich mit Sperrlisten kompromittierter Passwörter.

Der Suchraum eines zufälligen Passworts ist Zeichenvorrat hoch Länge. Bei einem Vorrat aus Klein-, Grossbuchstaben, Ziffern und 26 Sonderzeichen sind das 88 mögliche Zeichen pro Stelle, also rund 6,46 Bit Entropie je Zeichen (log₂ 88).

Diese Zahlen sind reine Kombinatorik. Ob sie Schutz bedeuten, entscheidet das Szenario: Bei einem Online-Login mit Rate Limiting scheitern Angreifer schon an weit kleineren Suchräumen, bei einem Offline-Angriff auf schwach gehashte Datenbanken sind 52 Bit dagegen angreifbar. Die Herleitung finden Sie unter Passwortlänge und Entropie.

• Mindestens 15 Zeichen, bei sensiblen Konten (E-Mail, Banking, Passwortmanager) eher 20 und mehr.
• Von einem Zufallsgenerator erzeugt oder als zufällige Passphrase gewürfelt – nicht selbst ausgedacht.
• Für jeden Dienst ein eigenes Passwort, ohne erkennbares Schema zwischen den Diensten.
• In einem Passwortmanager gespeichert statt im Browser-Notizzettel oder auf Papier neben dem Gerät.
• Zweiter Faktor oder Passkey aktiviert, wo der Dienst das anbietet.
• Kein Bestandteil aus öffentlich bekannten Daten: Name, Geburtsdatum, Verein, Haustier, Arbeitgeber.
• Nicht in einem bekannten Datenleck enthalten – viele Passwortmanager prüfen das automatisch.

1. 1Passwortmanager einrichten und ein einziges, langes Master-Passwort als Passphrase merken (siehe Passwortmanager).
2. 2Konten nach Priorität abarbeiten: zuerst E-Mail-Postfach, dann Passwortmanager-Konto, Banking, Cloud-Speicher, Shops. Für jedes Konto ein neues Passwort mit dem Generator erzeugen.
3. 3Zweiten Faktor oder Passkey aktivieren und Wiederherstellungscodes offline sichern.