Viele Menschen haben Passwortsicherheit ungefähr so gelernt:
Mindestens acht Zeichen. Ein Großbuchstabe. Eine Zahl. Ein Sonderzeichen. Alle paar Monate ändern.
Das Ergebnis sieht dann beispielsweise so aus:
Sommer2026!
Auf den ersten Blick erfüllt dieses Passwort erstaunlich viele klassische Regeln. Es enthält Groß- und Kleinbuchstaben, Zahlen und ein Sonderzeichen.
Trotzdem ist das Grundmuster ausgesprochen vorhersehbar.
Genau deshalb haben sich moderne Empfehlungen zur Passwortsicherheit verändert. Aktuelle NIST-Richtlinien stellen die Länge eines Passworts, die Vermeidung häufig verwendeter oder kompromittierter Passwörter und den Schutz vor automatisierten Rateversuchen in den Mittelpunkt. Dienste sollen dagegen keine klassischen Zusammensetzungsregeln wie „mindestens ein Großbuchstabe, eine Zahl und ein Sonderzeichen“ erzwingen und auch keinen regelmäßigen Passwortwechsel ohne konkreten Anlass verlangen. (NIST Pages)
Das moderne Grundprinzip lautet deshalb eher:
lang
+
einzigartig
+
nicht vorhersehbar
+
sicher gespeichert
=
gutes Passwort
Und noch wichtiger:
gutes Passwort
+
zusätzliche Authentifizierung
=
deutlich besserer Kontoschutz
Denn selbst ein hervorragendes Passwort schützt nicht gegen jede Angriffsart.
Was ist ein Passwort überhaupt?
Ein Passwort ist ein Geheimnis, mit dem ein Nutzer gegenüber einem System nachweist:
Ich kenne etwas, das nur der berechtigte Kontoinhaber kennen sollte.
In der Authentifizierung gehört das Passwort deshalb zur Kategorie:
etwas, das du weißt
Andere Authentifizierungsfaktoren können beispielsweise sein:
etwas, das du besitzt
oder:
etwas, das du bist
Das Passwort selbst ist also kein Identitätsnachweis im engeren Sinn. Der Server weiß nicht, welche Person vor der Tastatur sitzt. Er prüft lediglich, ob das richtige Geheimnis vorgelegt wurde.
Warum Passwörter problematisch sind
Das Konzept besitzt einen offensichtlichen Schwachpunkt:
Ein Geheimnis kann kopiert werden.
Jemand muss dir dein Passwort nicht wegnehmen. Es reicht, es zu erfahren.
Danach kennen es zwei Personen.
vorher:
Nutzer
→ kennt Passwort
nach Diebstahl:
Nutzer
→ kennt Passwort
Angreifer
→ kennt dasselbe Passwort
Der Nutzer merkt davon möglicherweise überhaupt nichts.
Das unterscheidet ein gestohlenes Passwort beispielsweise von einem verschwundenen Haustürschlüssel.
Wie werden Passwörter angegriffen?
Es gibt nicht den einen Passwortangriff. Verschiedene Angriffsmethoden nutzen vollkommen unterschiedliche Schwächen aus.
Das ist wichtig, weil ein längeres Passwort nicht gegen jede dieser Methoden hilft.
Erraten
Ein Angreifer probiert naheliegende Kennwörter:
passwort
123456
qwertz
sommer2026
firmenname123
Deshalb sollen Systeme bei der Passwortvergabe bekannte, häufig verwendete, erwartbare und bereits kompromittierte Passwörter blockieren. NIST verlangt eine solche Blockliste für vom Nutzer gewählte Passwörter. (NIST Pages)
Automatisches Durchprobieren
Statt fünf Vermutungen kann Software sehr viele Kandidaten ausprobieren.
Bei einem normalen Online-Login kann der Betreiber solche Versuche jedoch begrenzen. NIST verlangt deshalb Rate-Limiting gegen wiederholte fehlgeschlagene Authentifizierungsversuche. (NIST Pages)
Offline-Angriff
Gefährlicher wird die Situation, wenn ein Angreifer eine Datenbank mit Passwort-Hashes erbeutet.
Nun muss er nicht mehr bei der Website anfragen.
gestohlene Passwortdatenbank
↓
Angreifer arbeitet lokal
↓
Passwortkandidaten berechnen
↓
mit gespeichertem Hash vergleichen
Das Online-Limit des Dienstes hilft dann nicht.
Genau deshalb müssen Betreiber Passwörter mit dafür geeigneten, gesalzenen und absichtlich rechenaufwendigen Passwort-Hashing-Verfahren speichern. NIST fordert eine Speicherung, die gegen Offline-Angriffe widerstandsfähig ist, einschließlich Salt und geeignetem Passwort-Hashing mit einem angemessen hohen Kostenfaktor. (NIST Pages)
Credential Stuffing
Eine besonders häufige Schwäche entsteht nicht durch ein schlechtes einzelnes Passwort, sondern durch Wiederverwendung.
Angenommen:
shop-a.example
→ Passwort ABC
mail.example
→ Passwort ABC
cloud.example
→ Passwort ABC
Nun wird Shop A kompromittiert und das Passwort bekannt.
Ein Angreifer probiert dieselben Zugangsdaten anschließend automatisiert bei anderen Diensten.
gestohlen:
mailadresse + Passwort
↓
Loginversuche
├── Mail
├── Cloud
├── Social Media
└── Shops
NIST nennt genau diese Wiederverwendung als Grundlage von Password-Stuffing-Angriffen und empfiehlt deshalb unterschiedliche Passwörter für unterschiedliche Dienste. (NIST Pages)
Das wichtigste Passwortmerkmal ist Einzigartigkeit
Ein fantastisches Passwort, das für zwanzig Konten verwendet wird, besitzt einen erheblichen systemischen Nachteil.
Wird es einmal kompromittiert, sind zwanzig Konten gefährdet.
Einzigartige Passwörter begrenzen den Schaden:
Dienst A kompromittiert
↓
Passwort A bekannt
aber:
Dienst B
→ Passwort B
Dienst C
→ Passwort C
Dienst D
→ Passwort D
bleiben davon zunächst unabhängig.
Das ist einer der stärksten Gründe für einen Passwortmanager: Ein Mensch kann sich nur schwer hundert lange zufällige Geheimnisse merken. Software kann genau das problemlos verwalten.
Warum Länge so wichtig ist
Bei einem Angriff muss ein Angreifer mögliche Passwortkandidaten ausprobieren oder anhand intelligenter Wortlisten erraten.
Ein sehr kurzes Geheimnis bietet grundsätzlich weniger möglichen Suchraum als ein langes.
Das bedeutet nicht, dass man aus einer Zeichenanzahl eine garantierte „Knackzeit“ berechnen kann. Reale Angreifer probieren Passwörter nicht stumpf in alphabetischer Reihenfolge, sondern nutzen Wörterbücher, bekannte Passwortmuster und Daten aus früheren Leaks.
NIST nennt die Länge dennoch ausdrücklich einen primären Faktor für die effektive Passwortstärke und beschreibt Passphrasen als einen sinnvollen Weg, lange merkbare Passwörter zu erzeugen. (NIST Pages)
Die aktuellen NIST-Mindestlängen
Für Betreiber von Authentifizierungssystemen enthält die aktuelle NIST-Richtlinie eine klare Unterscheidung.
Wenn das Passwort der einzige Authentifizierungsfaktor ist, soll der Verifier mindestens:
15 Zeichen
verlangen.
Wird das Passwort ausschließlich als Bestandteil einer Mehrfaktor-Authentifizierung verwendet, dürfen mindestens:
8 Zeichen
verlangt werden.
Außerdem sollen Systeme Passwörter mit einer Maximallänge von mindestens 64 Zeichen erlauben, damit auch lange Passphrasen möglich sind. (NIST Pages)
Diese Vorgaben sind Anforderungen an Systeme nach dem NIST-Modell und keine magische Grenze, ab der ein individuelles Passwort plötzlich „sicher“ wird.
Für den Nutzer bleibt die praktischere Regel:
Länger ist in vernünftigem Rahmen besser, sofern das Passwort gleichzeitig einzigartig und nicht leicht vorhersehbar ist.
Warum „P@ssw0rd!“ kein besonders gutes Passwort ist
Klassische Komplexitätsregeln haben Menschen trainiert, vorhersehbare Änderungen vorzunehmen.
Aus:
passwort
wird:
Passwort1!
Aus:
sommer
wird:
Sommer2026!
Menschen erfüllen damit formal eine Vorschrift, verändern das ursprüngliche Muster aber kaum.
NIST begründet den Verzicht auf solche Zusammensetzungsregeln genau damit: Nutzer reagieren auf diese Anforderungen häufig auf vorhersehbare Weise. Ein obligatorisches Sonderzeichen macht aus einem bekannten Passwortmuster daher nicht automatisch ein starkes Geheimnis. (NIST Pages)
Sonderzeichen sind trotzdem nicht schlecht
Das bedeutet keineswegs:
Verwende keine Sonderzeichen.
Ein zufällig erzeugtes Passwort wie:
g7!Bv4#qR8@xL2$wP9
kann hervorragend sein.
Der Unterschied lautet:
Sonderzeichen erlaubt
→ sinnvoll
gegen:
Sonderzeichen zwingend erforderlich
→ kaum zusätzlicher Nutzen,
wenn Menschen dadurch vorhersehbare Muster erzeugen
NIST empfiehlt deshalb, Leerzeichen und eine große Zeichenauswahl zu erlauben, anstatt künstlich bestimmte Zeichentypen vorzuschreiben. (NIST Pages)
Was ist eine Passphrase?
Eine Passphrase ist im Grunde ein Passwort, das aus mehreren Wörtern beziehungsweise einer längeren Zeichenfolge besteht.
Beispielsweise vom Prinzip her:
wort-wort-wort-wort-wort
Der Vorteil:
Sie kann lang sein und trotzdem leichter im Gedächtnis bleiben als eine ähnlich lange völlig zufällige Zeichenfolge.
NIST nennt Passphrasen ausdrücklich als effektive Möglichkeit, längere Passwörter zu wählen. (NIST Pages)
Wörter müssen trotzdem unvorhersehbar sein
Eine berühmte Zeile aus einem Lied, ein Sprichwort oder:
ichliebedichfürimmer
ist lang.
Aber möglicherweise sehr vorhersehbar.
Länge allein bedeutet daher nicht automatisch:
stark.
Besser ist eine Kombination, die nicht aus einer naheliegenden Phrase, persönlichen Angaben oder allgemein bekannten Textpassage besteht.
Passphrase oder Zufallspasswort?
Das hängt davon ab, ob du das Passwort selbst im Kopf behalten musst.
Für ein Passwort, das ein Passwortmanager erzeugt und einträgt:
lang
+
zufällig
+
einzigartig
ist ideal.
Du musst es gar nicht auswendig kennen.
Für eines der wenigen Geheimnisse, die tatsächlich memoriert werden müssen – insbesondere das Hauptpasswort eines Passwortmanagers – kann eine lange, gut gewählte Passphrase praktischer sein. NIST hebt beim Passwortmanager ebenfalls ein langes Master-Passwort beziehungsweise eine lange Master-Passphrase und einzigartige Passwörter für alle Konten hervor. (NIST Pages)
Warum persönliche Daten schlechte Passwortbausteine sind
Menschen wählen gerne etwas, das sie nicht vergessen:
Name des Kindes.
Geburtsjahr.
Haustier.
Fußballverein.
Straßenname.
Für einen Angreifer sind genau solche Informationen möglicherweise ebenfalls leicht zugänglich.
Social Media
+
öffentliche Profile
+
Firmenwebsite
+
frühere Datenleaks
↓
persönliche Informationen
Ein Passwort sollte deshalb nicht davon abhängen, dass ein Angreifer deinen Geburtstag nicht kennt.
Sicherheitsfragen haben dasselbe Problem
„Wie hieß dein erstes Haustier?“
„In welcher Stadt wurdest du geboren?“
„Wie lautet der Mädchenname deiner Mutter?“
Solche Fragen behandeln persönliche Tatsachen wie Geheimnisse.
Oft sind sie aber:
öffentlich,
erratbar,
durch soziale Kontakte bekannt.
NIST erkennt klassische wissensbasierte Sicherheitsfragen deshalb nicht als geeigneten Authentifikator an und untersagt entsprechende Knowledge-Based Authentication im beschriebenen Authentifizierungskontext. (NIST Pages)
Warum regelmäßiger Passwortwechsel heute nicht mehr generell empfohlen wird
Viele Unternehmen verwendeten lange Regeln wie:
Passwort alle 90 Tage ändern.
Was passiert in der Praxis?
Sommer2025!
↓
Herbst2025!
↓
Winter2025!
↓
Frühling2026!
Das Passwort ändert sich formal.
Das Grundmuster nicht.
Aktuelle NIST-Vorgaben sagen deshalb ausdrücklich: Betreiber sollen keinen willkürlichen periodischen Passwortwechsel verlangen. Ein Wechsel soll insbesondere dann erzwungen werden, wenn Hinweise auf eine Kompromittierung vorliegen. (NIST Pages)
Wann solltest du ein Passwort ändern?
Ein sinnvoller Anlass ist beispielsweise:
Der Dienst meldet einen Sicherheitsvorfall.
Du hast das Passwort auf einer Phishingseite eingegeben.
Ein Gerät mit ungeschützten Zugangsdaten wurde kompromittiert.
Du bemerkst verdächtige Kontoaktivität.
Das Passwort wurde versehentlich weitergegeben.
Dasselbe Passwort wurde noch bei einem anderen kompromittierten Konto eingesetzt.
Dann lautet die Reihenfolge:
Kompromittierung vermutet
↓
Passwort ändern
↓
andere Konten mit demselben Passwort prüfen
↓
aktive Sitzungen kontrollieren
↓
zusätzliche Authentifizierung prüfen
Warum eine Leak-Warnung ernst genommen werden sollte
Ein kompromittiertes Passwort besitzt keinen Sicherheitswert mehr, nur weil es:
20 Zeichen,
vier Sonderzeichen
und:
eine Zahl
enthält.
geheim
→ sicherheitsrelevant
aber:
Angreifer kennt es
→ Länge praktisch irrelevant
Ein Passwort ist nur so lange ein Geheimnis, wie es tatsächlich geheim bleibt.
Soll man Passwörter auf Papier schreiben?
Die Antwort ist differenzierter als das klassische:
„Niemals!“
Das eigentliche Risiko hängt davon ab, wo das Passwort aufbewahrt wird und gegen wen es geschützt werden muss.
Ein Zettel:
unter der Tastatur
im Großraumbüro
ist offensichtlich problematisch.
Eine sicher verwahrte physische Notfallkopie eines wichtigen Wiederherstellungsgeheimnisses kann dagegen Teil eines vernünftigen Sicherheitskonzepts sein.
Passwortsicherheit bedeutet nicht:
niemals aufschreiben
sondern:
Geheimnis
gegen relevante Angreifer schützen
Warum ein Passwortmanager meistens besser skaliert
Wenn du zehn Konten besitzt, könntest du theoretisch zehn Passphrasen lernen.
Bei:
100 Konten
wird das unrealistisch.
Dann beginnen Menschen zwangsläufig:
Passwörter wiederzuverwenden,
kleine Varianten zu bilden,
Passwörter zu vereinfachen.
Ein Passwortmanager löst genau dieses Gedächtnisproblem.
Nutzer merkt sich
↓
ein starkes Hauptgeheimnis
Der Manager verwaltet:
Konto A → langes Zufallspasswort
Konto B → anderes Zufallspasswort
Konto C → wieder anderes
...
NIST beschreibt Passwortmanager als Möglichkeit, einzigartige lange Passwörter für alle Konten zu erzeugen und verschlüsselt zu verwahren; OWASP empfiehlt Webanwendungen ausdrücklich, Autofill und das Einfügen aus Passwortmanagern nicht zu behindern. (NIST Pages)
Im nächsten Artikel behandeln wir Passwortmanager deshalb ausführlich.
Copy & Paste bei Passwörtern ist kein Sicherheitsfehler
Manche Webseiten verhindern das Einfügen in Passwortfelder.
Die Idee dahinter lautet möglicherweise:
Der Nutzer muss das Passwort selbst tippen und sei dadurch sicherer.
Praktisch erschwert das die Verwendung langer automatisch generierter Passwörter.
Aktuelle NIST-Empfehlungen sehen ausdrücklich vor, Passwortfelder mit Autofill und Copy & Paste durch Passwortmanager kompatibel zu gestalten. OWASP empfiehlt dasselbe. (NIST Pages)
Copy & Paste verbieten
↓
Passwortmanager erschweren
↓
Nutzer tendiert zu tippbaren Passwörtern
Das kann gerade das Gegenteil des gewünschten Effekts bewirken.
Ein starkes Passwort muss nicht tippbar sein
Wenn ein Passwortmanager das Geheimnis verwaltet, gibt es wenig Grund, daraus ein schönes merkbares Wort zu machen.
Dann darf es beispielsweise eine lange zufällige Zeichenfolge sein.
Passwortmanager
↓
generieren
↓
speichern
↓
automatisch einfügen
Der Mensch muss lediglich den Zugang zum Passwortmanager selbst besonders gut schützen.
Das wichtigste Passwort ist oft das Master-Passwort
Ein Passwortmanager bündelt viele Zugangsdaten.
Das macht ihn nützlich.
Und wertvoll für Angreifer.
NIST weist ausdrücklich darauf hin, dass Passwort-Tresore hochwertige Ziele darstellen und deshalb besonders geschützt werden müssen. Empfohlen werden insbesondere eine lange Master-Passphrase sowie zusätzliche Authentifizierungsmöglichkeiten, sofern verfügbar. (NIST Pages)
Passwortstärke und Passwortspeicherung sind zwei verschiedene Fragen
Der Nutzer kann ein ausgezeichnetes Passwort wählen.
Der Betreiber kann es trotzdem schlecht speichern.
Diese Ebenen müssen getrennt betrachtet werden.
Nutzerseite:
Wie wähle ich mein Geheimnis?
Serverseite:
Wie schützt der Dienst
den Passwortprüfwert?
Ein Anbieter sollte dein Passwort nicht im Klartext speichern
Ein korrekt aufgebautes System muss bei der Anmeldung nicht nachsehen:
Reinhards Passwort lautet:
abc123...
Stattdessen wird aus dem Passwort mit einem geeigneten Verfahren ein Prüfwert abgeleitet.
Sehr vereinfacht:
Passwort
+
Salt
+
rechenaufwendiges Hashing
↓
Passwort-Hash
Gespeichert wird der Prüfwert, nicht das ursprüngliche Passwort. NIST verlangt für zentral verifizierte Passwörter einen gesalzenen Hash mit geeignetem Passwort-Hashing und einem angemessenen Kostenfaktor, der mit steigender Rechenleistung im Laufe der Zeit erhöht werden sollte. (NIST Pages)
Was ist ein Hash?
Eine Hashfunktion erzeugt aus einer Eingabe einen abgeleiteten Wert.
Vereinfacht:
Passwort
↓
Hashverfahren
↓
Prüfwert
Beim Login kann das System denselben Vorgang mit dem eingegebenen Passwort durchführen und vergleichen.
Eingabe
↓
gleicher Ableitungsprozess
↓
Prüfwert
↓
Vergleich
Warum reicht ein schneller normaler Hash nicht?
Für Passwörter ist Geschwindigkeit gerade unerwünscht.
Ein Angreifer mit gestohlener Passwortdatenbank möchte Millionen beziehungsweise Milliarden Kandidaten ausprobieren.
Je teurer jeder einzelne Versuch rechnerisch ist, desto langsamer wird dieser Angriff.
Darum verwendet man spezielle Passwort-Hashing-Konstruktionen mit einstellbarem Arbeitsaufwand. NIST fordert ausdrücklich, den Kostenfaktor so hoch wie praktisch möglich zu setzen, ohne die legitime Verifikation unvertretbar zu beeinträchtigen. (NIST Pages)
Was ist ein Salt?
Ein Salt ist ein zusätzlicher Wert, der für Passwort-Hashes verwendet wird.
Dadurch können zwei Nutzer mit demselben Passwort unterschiedliche gespeicherte Hashwerte erhalten.
Vereinfacht:
Nutzer A
Passwort: Beispiel
Salt: 123
↓
Hash A
Nutzer B
Passwort: Beispiel
Salt: 987
↓
Hash B
Das erschwert bestimmte vorberechnete Angriffe und verhindert insbesondere, dass identische Passwörter anhand identischer einfacher Hashwerte sofort erkennbar sind. NIST verlangt Salting bei der Speicherung zentral verifizierter Passwörter. (NIST Pages)
Der Salt muss nicht geheim sein
Seine Aufgabe ist nicht, ein zweites Passwort darzustellen.
Er sorgt dafür, dass der Ableitungsprozess für einzelne gespeicherte Passwörter unterschiedlich ist.
Der eigentliche Schutz entsteht durch:
starkes Passwort
+
individueller Salt
+
geeignetes langsames Passwort-Hashing
Ein Dienst sollte dein bestehendes Passwort nicht per E-Mail zusenden können
Wenn ein Anbieter nach Klick auf „Passwort vergessen“ dein bisheriges Kennwort im Klartext zurücksendet, ist das ein sehr schlechtes Zeichen.
Ein sicherer Reset funktioniert grundsätzlich anders:
Passwort vergessen
↓
Identität / Berechtigung zum Reset prüfen
↓
neues Passwort festlegen
Nicht:
altes Passwort
aus Datenbank lesen
↓
per Mail schicken
Denn bei korrekt einseitig abgeleiteter Passwortspeicherung sollte der Betreiber das ursprüngliche Kennwort nicht einfach aus dem Hash zurückrechnen können.
Passwort-Reset ist selbst ein Sicherheitsmechanismus
Ein Konto mit fantastischem Passwort bringt wenig, wenn ein Angreifer anschließend auf:
Passwort vergessen
klicken und über einen schwachen Wiederherstellungsweg das Passwort ersetzen kann.
Die Gesamtsicherheit umfasst deshalb:
Login
+
Passwortreset
+
E-Mail-Konto
+
Wiederherstellung
+
zusätzliche Faktoren
Das E-Mail-Konto ist besonders kritisch
Warum?
Über die E-Mail-Adresse lassen sich bei vielen anderen Diensten Passwörter zurücksetzen.
Wer Zugriff auf die zentrale Mailbox besitzt, bekommt dadurch unter Umständen einen Weg zu:
Shops,
Cloudspeichern,
sozialen Netzwerken,
anderen Diensten.
E-Mail kompromittiert
↓
Passwort-Reset anderer Dienste
↓
weitere Konten gefährdet
Deshalb gehört das E-Mail-Konto zu den Accounts, die besonders konsequent geschützt werden sollten.
Administrator-Konten sind ebenfalls besonders wertvoll
Ein WordPress-Autor kann vielleicht Artikel schreiben.
Ein Administrator kann möglicherweise:
Plugins installieren,
Benutzer verändern,
Konfiguration ändern,
Daten exportieren.
Je größer die Berechtigungen eines Kontos sind, desto größer ist der mögliche Schaden eines erfolgreichen Angriffs.
mehr Berechtigung
↓
höherer Schutzbedarf
Das bedeutet unter anderem:
einzigartiges Passwort,
zusätzliche Authentifizierung,
keine unnötigen Administratorkonten.
Passwortstärke kompensiert keine unnötigen Rechte
Ein Administrator, der nur einmal pro Jahr gebraucht wird, muss nicht zwingend für die tägliche Arbeit verwendet werden.
Sicherheit entsteht aus mehreren Ebenen:
starke Authentifizierung
+
geringe notwendige Rechte
+
sichere Geräte
+
Updates
+
Überwachung
Das Passwort ist nur eine Ebene davon.
Ein Passwort schützt nicht gegen Phishing
Das ist eine besonders wichtige Grenze.
Du besitzt ein extrem langes, zufälliges Kennwort.
Dann erhältst du eine überzeugende Nachricht:
Ihr Konto wurde gesperrt.
Bitte hier erneut anmelden.
Du öffnest eine gefälschte Webseite und gibst dort das echte Passwort ein.
Der Angreifer muss nichts knacken.
Du hast es ihm geliefert.
NIST bezeichnet Passwörter ausdrücklich als nicht phishing-resistent. (NIST Pages)
30 Zeichen
+
perfekt zufällig
+
auf Phishingseite eingegeben
=
kompromittiert
Deshalb ist der spätere Artikel über Phishing ebenso wichtig wie dieser Passwortartikel.
Passwortmanager können gegen bestimmte Phishingversuche helfen
Ein Passwortmanager kennt normalerweise die Website, für die ein bestimmtes Passwort gespeichert wurde.
Befindet sich der Nutzer auf einer ähnlich aussehenden falschen Domain, bietet der Manager das erwartete Passwort möglicherweise nicht automatisch an.
Das ist ein hilfreiches Warnsignal.
Es macht Passwörter selbst allerdings noch nicht phishing-resistent.
Mehrfaktor-Authentifizierung
Statt nur:
Passwort
kann ein Dienst einen zusätzlichen Faktor verlangen.
Passwort
+
zweiter Faktor
Ein gestohlenes Passwort reicht dann möglicherweise nicht mehr allein.
CISA empfiehlt insbesondere für Organisationen den Übergang zu phishing-resistenter Mehrfaktor-Authentifizierung und hebt FIDO/WebAuthn-basierte Verfahren hervor. (cisa.gov)
Das behandeln wir ausführlich im Artikel:
/wissen/zwei-faktor-authentifizierung-passkeys/
Nicht jede MFA ist gleich stark
Ein zusätzlicher Code kann den Schutz erheblich verbessern.
Aber verschiedene Verfahren besitzen unterschiedliche Eigenschaften gegenüber:
Phishing,
SIM-Swapping,
Push-Angriffen,
Geräteverlust.
Deshalb sollte die Diskussion nicht enden bei:
2FA an
→ Problem gelöst
Moderne phishing-resistente Verfahren können deutlich weiter gehen. CISA bezeichnet FIDO/WebAuthn als die breit verfügbare phishing-resistente Authentifizierung, auf die Organisationen hinarbeiten sollten. (cisa.gov)
Passkeys verändern die Rolle des Passworts
Passkeys basieren nicht darauf, dass Nutzer ein gemeinsames Geheimnis an einen Server senden und sich merken müssen.
Stattdessen werden kryptografische Schlüssel verwendet.
Vereinfacht:
klassisches Passwort:
Nutzer kennt Geheimnis
↓
sendet Nachweis
gegen:
Passkey:
Gerät besitzt privaten Schlüssel
↓
kryptografischer Nachweis
Deshalb könnte das Passwort bei vielen Konten langfristig an Bedeutung verlieren.
Es verschwindet aber nicht über Nacht.
Für bestehende Systeme bleibt Passwortkompetenz deshalb weiterhin wichtig.
Wie erstelle ich heute praktisch ein gutes Passwort?
Für ein Konto, dessen Passwort von einem Passwortmanager verwaltet wird, ist die einfachste Lösung:
Passwortmanager
↓
langes zufälliges Passwort erzeugen
↓
nur für diesen Dienst verwenden
↓
automatisch speichern
Du musst keinen cleveren Satz erfinden.
Du musst es nicht auswendig lernen.
Die Einzigartigkeit ist wichtiger.
Für ein Passwort, das du selbst behalten musst
Dann ist eine ausreichend lange und nicht naheliegende Passphrase häufig praktikabler.
Sie sollte nicht bestehen aus:
einem bekannten Zitat,
persönlichen Namen,
Geburtsdaten,
einer offensichtlichen Wortfolge.
NIST betont sowohl Länge als auch die Ablehnung häufig verwendeter und kompromittierter Passwörter. (NIST Pages)
Was ist mit Umlauten, Leerzeichen und Unicode?
Moderne Passwortsysteme sollten Nutzer nicht unnötig auf:
A–Z,
a–z,
0–9
beschränken.
NIST empfiehlt die Akzeptanz druckbarer ASCII-Zeichen einschließlich Leerzeichen und zusätzlich Unicode-Zeichen. Bei Unicode muss der Betreiber allerdings eine konsistente Normalisierung berücksichtigen, weil Zeichen auf unterschiedlichen Systemen verschieden repräsentiert werden können. (NIST Pages)
Für Nutzer bedeutet das:
Ein Leerzeichen ist nicht grundsätzlich „verboten“.
Aber exotische Zeichen können in bestimmten praktischen Situationen Eingabeprobleme verursachen.
Emojis machen ein Passwort nicht automatisch sicher
Ein Passwort wie:
😀😀😀😀
ist ungewöhnlich.
Aber ungewöhnliche Zeichen allein ersetzen weder ausreichende Länge noch Unvorhersehbarkeit.
Das eigentliche Sicherheitsprinzip bleibt:
nicht häufig
+
nicht vorhersehbar
+
ausreichend lang
+
einzigartig
Warum Passwortregeln von Websites manchmal veraltet wirken
Du begegnest vielleicht weiterhin Vorgaben wie:
8–16 Zeichen
mindestens ein Großbuchstabe
mindestens eine Zahl
mindestens ein Sonderzeichen
kein Leerzeichen
Passwortwechsel alle 90 Tage
Das bedeutet nicht, dass aktuelle Sicherheitsempfehlungen genau so aussehen.
Viele ältere Systeme, regulatorische Altlasten und Anwendungen besitzen noch historische Regeln.
Aktuelle NIST- und OWASP-Empfehlungen gehen dagegen in Richtung langer Passwörter beziehungsweise Passphrasen, großer erlaubter Maximallänge, Blocklisten kompromittierter Kennwörter, Verzicht auf obligatorische Zeichenklassen und Verzicht auf periodische Wechsel ohne konkreten Anlass. (NIST Pages)
Was sollte eine gute Website bei Passwortfeldern erlauben?
Aus Betreibersicht sollte ein modernes Login unter anderem:
lange Passwörter erlauben,
keine unnötigen Zeichenklassen erzwingen,
Passwörter nicht abschneiden,
Einfügen und Autofill unterstützen,
bekannte schwache beziehungsweise kompromittierte Passwörter ablehnen,
fehlgeschlagene Loginversuche begrenzen.
NIST und OWASP decken diese Punkte in ihren aktuellen Empfehlungen weitgehend übereinstimmend ab. (NIST Pages)
Warum stilles Abschneiden gefährlich ist
Angenommen, ein Nutzer speichert:
Das-ist-mein-sehr-langes-Passwort-2026
Der Server berücksichtigt intern aber nur:
Das-ist-mein-sehr
Dann glaubt der Nutzer, ein längeres Geheimnis zu verwenden, obwohl der zusätzliche Teil sicherheitstechnisch ignoriert wird.
NIST verlangt deshalb, das vollständig übermittelte Passwort zu prüfen und es nicht still zu kürzen. (NIST Pages)
Passwort-Leak-Blocklisten
Ein Dienst kann beim Setzen eines neuen Passwortes prüfen:
Ist dieses Passwort bereits als sehr häufig beziehungsweise kompromittiert bekannt?
neues Passwort
↓
Blocklist-Prüfung
↓
bekannt / schwach?
├── ja → anderes wählen
└── nein → weiter
NIST verlangt für vom Nutzer gewählte Passwörter einen Vergleich mit einer Liste häufig verwendeter, erwarteter oder kompromittierter Werte. Dazu können auch dienstspezifische Begriffe wie der Name des Dienstes oder Benutzername gehören. (NIST Pages)
Blockliste ist etwas anderes als eine Komplexitätsregel
Komplexitätsregel:
Du brauchst ein !
Blockliste:
Dieses konkrete Passwort
ist allgemein bekannt
und daher ungeeignet.
Der zweite Ansatz richtet sich gegen tatsächlich vorhersehbare Geheimnisse.
Passwort-Meter
Eine Website kann zusätzlich anzeigen:
schwach
mittel
stark
Solche Anzeigen können hilfreich sein, wenn sie realistische Angriffsmuster berücksichtigen und nicht einfach Zeichenklassen zählen. OWASP nennt Passwort-Stärke-Meter als mögliches Hilfsmittel, warnt aber gleichzeitig davor, Passwortstärke mit unrealistischen vereinfachten Entropieangaben zu garantieren. (OWASP Cheat Sheet Series)
„Dieser Hacker braucht 400 Billionen Jahre“ ist keine Garantie
Solche Anzeigen wirken beeindruckend.
Sie beruhen aber auf Annahmen:
Wie schnell wird geraten?
Welche Hardware?
Welches Hashverfahren?
Welche Wortlisten?
Welches Angriffsmuster?
Kennt der Angreifer persönliche Informationen?
Wurde das Passwort bereits geleakt?
Ein bekannter langer Satz kann viel schneller gefunden werden als eine naive mathematische Berechnung über den gesamten theoretischen Zeichenraum vermuten lässt.
Deshalb ist ein robustes Sicherheitsprinzip wertvoller als spektakuläre Knackzeit-Anzeigen:
lang
+
einzigartig
+
zufällig beziehungsweise unvorhersehbar
Was tun bei hundert verschiedenen Konten?
Nicht:
100 Passwörter auswendig lernen
und auch nicht:
ein starkes Passwort
100-mal verwenden
Sondern:
Passwortmanager
↓
100 unterschiedliche Passwörter
NIST beschreibt genau diesen Nutzen von Passwortmanagern: zufällige einzigartige Passwörter für verschiedene Dienste zu erzeugen und geschützt zu verwahren. (NIST Pages)
Was tun mit besonders wichtigen Konten?
Nicht alle Konten haben denselben Schadenwert.
Besonders kritisch sind typischerweise Zugänge, über die sich weitere Systeme übernehmen oder wiederherstellen lassen.
Dazu können gehören:
zentrale E-Mail-Adresse,
Passwortmanager,
Cloudkonto,
Domainverwaltung,
Hosting,
Bank- und Finanzzugänge,
Unternehmensadministration.
Bei solchen Konten sollte das Sicherheitsniveau entsprechend höher liegen:
einzigartiges starkes Geheimnis
+
starke zusätzliche Authentifizierung
+
sicherer Wiederherstellungsweg
Passwortschutz ist auch Geräteschutz
Ein Passwortmanager hilft wenig, wenn ein kompromittiertes Gerät jeden Tastendruck beziehungsweise jede Browser-Sitzung auslesen kann.
NIST weist bei lokal verwendeten Geheimnissen ebenfalls darauf hin, dass Malware wie Keylogger eine andere Angriffsklasse darstellt, die kaum von Länge und Komplexität des Passworts abhängt. (NIST Pages)
Das bedeutet:
Passwortschutz
+
Gerätesicherheit
gehören zusammen.
Ein Keylogger interessiert sich nicht für Passwortstärke
Du tippst:
eines-der-längsten-und-besten-passwörter-der-welt
Der Keylogger zeichnet genau diese Zeichen auf.
Fertig.
Das zeigt erneut:
Passwortstärke schützt vor Erraten und bestimmten Offline-Angriffen – nicht vor jedem Angriff auf ein Konto.
Session-Diebstahl kann das Passwort sogar umgehen
Nach erfolgreichem Login speichert ein Dienst meist einen Sitzungsnachweis.
Dadurch musst du nicht bei jedem Klick erneut dein Passwort eingeben.
Wird ein solcher Sitzungsschlüssel gestohlen, kann ein Angreifer unter Umständen eine bestehende Anmeldung missbrauchen, ohne das Passwort selbst zu kennen.
Auch deshalb reicht:
super Passwort
nicht als vollständiges Sicherheitskonzept.
Das Sicherheitsmodell in Ebenen
Ein Konto lässt sich besser so betrachten:
Passwort / Passkey
↓
MFA
↓
Wiederherstellung
↓
Gerätesicherheit
↓
Sitzungsschutz
↓
Berechtigungen
↓
Monitoring
Jede Ebene beantwortet ein anderes Risiko.
Häufige Irrtümer über Passwörter
„Ein Sonderzeichen macht mein Passwort sicher“
Nein. Ein vorhersehbares ! am Ende eines häufigen Passworts liefert nur begrenzten zusätzlichen Schutz. Moderne NIST-Regeln verzichten deshalb auf obligatorische Zeichentypen. (NIST Pages)
„Ich muss mein Passwort alle drei Monate ändern“
Nicht ohne konkreten Grund. Aktuelle NIST-Richtlinien untersagen verpflichtende periodische Änderungen ohne Anlass und verlangen einen Wechsel bei Hinweisen auf Kompromittierung. (NIST Pages)
„Ein Passwort kann ich für unwichtige Seiten wiederverwenden“
Ein heute unwichtiger Dienst kann morgen die Zugangsdaten liefern, die ein Angreifer bei einem wichtigen Konto ausprobiert. Unterschiedliche Passwörter verhindern genau diese Kettenreaktion. (NIST Pages)
„Mein Passwort ist 30 Zeichen lang, also kann Phishing mir nichts tun“
Doch. NIST klassifiziert Passwörter ausdrücklich als nicht phishing-resistent. (NIST Pages)
„Passwortmanager sind gefährlich, weil dort alle Passwörter liegen“
Ein Passwortmanager ist tatsächlich ein besonders schützenswertes Ziel. Gleichzeitig ermöglicht er etwas, das Menschen bei vielen Konten kaum zuverlässig leisten können: lange einzigartige Zugangsdaten für jeden einzelnen Dienst. NIST beschreibt sowohl diesen Sicherheitsgewinn als auch die Notwendigkeit, den Tresor selbst besonders zu schützen. (NIST Pages)
„Copy & Paste bei Passwörtern ist unsicher“
Ein pauschales Verbot erschwert Passwortmanager. NIST und OWASP empfehlen ausdrücklich, Einfügen beziehungsweise Autofill zu unterstützen. (NIST Pages)
„Die komplizierteste Zeichenfolge ist automatisch die beste“
Nicht unbedingt. Ein vorhersehbares Muster kann trotz Sonderzeichen schwach sein. Länge, Einzigartigkeit und Unvorhersehbarkeit sind entscheidender. (NIST Pages)
„Mein Passwort ist geheim, weil es nur meine Familie kennt“
Dann ist es definitionsgemäß bereits mehreren Personen bekannt. Konten sollten möglichst individuelle Zugangsdaten besitzen.
„Wenn ich das Passwort nicht vergessen kann, ist es vermutlich zu schwach“
Nein. Eine lange gut gewählte Passphrase kann merkbar und stark sein. NIST nennt Passphrasen ausdrücklich als sinnvolle Methode für längere Kennwörter. (NIST Pages)
„Wenn das Passwort stark genug ist, brauche ich keine MFA“
Das Passwort schützt nicht zuverlässig gegen Phishing, Malware oder andere Wege des Geheimnisdiebstahls. Zusätzliche Authentifizierungsfaktoren reduzieren deshalb wichtige Risiken. (NIST Pages)
Ein sinnvoller Passwort-Workflow für Privatnutzer
Für die meisten Menschen lässt sich die praktische Strategie erstaunlich einfach formulieren:
Passwortmanager verwenden
↓
für jedes Konto eigenes Passwort erzeugen
↓
lange Zufallspasswörter verwenden
↓
Master-Passphrase besonders schützen
↓
MFA beziehungsweise Passkeys aktivieren
↓
Passwörter nur bei Anlass ändern
Damit verschwinden viele klassische Passwortprobleme gleichzeitig.
Ohne Passwortmanager
Wenn du einen bestimmten Zugang tatsächlich selbst merken musst:
lange Passphrase
↓
nicht persönlich vorhersehbar
↓
nur für diesen Zugang
Wichtig bleibt die Einzigartigkeit.
Bei einer Passwortwarnung
Warnung erhalten
↓
Dienst direkt öffnen
↓
nicht über verdächtigen Mail-Link
↓
Passwort ändern
↓
andere Wiederverwendungen suchen
↓
Anmeldeaktivität prüfen
↓
MFA prüfen
Bei einem erfolgreichen Phishingverdacht
Wenn du ein Passwort auf einer falschen Website eingegeben hast, sollte das Passwort als kompromittiert betrachtet werden.
Nicht warten:
Vielleicht haben sie es nicht gespeichert.
Sondern handeln:
Passwort ändern
↓
aktive Sitzungen prüfen
↓
MFA kontrollieren
↓
weitere betroffene Konten prüfen
Ein sinnvoller Passwort-Workflow für Websitebetreiber
Aus Betreibersicht ist die Aufgabe eine andere.
Der Nutzer kann nur ein gutes Passwort verwenden, wenn die Website ihm das ermöglicht.
Ein modernes System sollte deshalb nach aktueller NIST- und OWASP-Richtung mindestens folgende Grundgedanken berücksichtigen: lange Kennwörter unterstützen, keine klassischen Zusammensetzungsregeln erzwingen, Passwortmanager und Paste/Autofill zulassen, kompromittierte beziehungsweise häufig verwendete Kennwörter blockieren, fehlgeschlagene Versuche begrenzen und Passwörter mit geeigneten Salted-Password-Hashing-Verfahren speichern. (NIST Pages)
Konzeptionell:
Passwort setzen
↓
Länge prüfen
↓
Blocklist prüfen
↓
akzeptieren
↓
Salt
↓
Passwort-Hashing
↓
nur Prüfwert speichern
Beim Login:
Passwort eingeben
↓
Hashing mit gespeicherten Parametern
↓
Prüfwert vergleichen
↓
Anmeldung zulassen oder ablehnen
Nutzerfreundlichkeit und Sicherheit sind hier keine Gegensätze
Ein System, das:
64 oder mehr Zeichen akzeptiert,
Passwortmanager unterstützt,
keine absurden Zeichenvorschriften macht,
keinen monatlichen Wechsel verlangt,
ist gleichzeitig komfortabler und entspricht eher modernen Sicherheitsprinzipien. (NIST Pages)
Das ist ein interessantes Beispiel dafür, dass Sicherheit nicht zwangsläufig bedeutet:
mehr Reibung
Manchmal ist die sicherere Lösung gerade diejenige, die Menschen weniger zu gefährlichen Workarounds zwingt.
Der Übergang von Passwörtern zu Passkeys
Passwörter werden uns noch lange begleiten.
Trotzdem löst moderne Authentifizierung zunehmend ein grundsätzliches Problem:
Warum soll ein Nutzer einem Dienst überhaupt ein wiederverwendbares Geheimnis präsentieren, das gestohlen oder auf einer Phishingseite eingegeben werden kann?
Phishing-resistente FIDO/WebAuthn-Verfahren adressieren genau diese Schwäche. CISA empfiehlt Organisationen ausdrücklich, den Umstieg auf solche Verfahren zu planen. (cisa.gov)
Das bedeutet nicht:
Passwörter sind ab morgen tot.
Sondern:
Passwort
→ weiterhin wichtig
aber:
nicht mehr Endpunkt
moderner Authentifizierung
Was du dir über sichere Passwörter merken solltest
Ein gutes Passwort muss nicht aussehen wie:
P@$$w0rD!7%
Die wichtigeren Eigenschaften sind:
lang
+
einzigartig
+
nicht häufig
+
nicht vorhersehbar
Aktuelle NIST-Richtlinien verlangen bei Passwörtern als einzigem Authentifizierungsfaktor mindestens 15 Zeichen und erlauben bei ausschließlich im MFA-Prozess eingesetzten Passwörtern eine Untergrenze von acht Zeichen. Systeme sollen mindestens 64 Zeichen zulassen. (NIST Pages)
Klassische Regeln wie:
ein Großbuchstabe
+
eine Zahl
+
ein Sonderzeichen
sollen dagegen nicht mehr verpflichtend erzwungen werden, weil Nutzer diese häufig auf vorhersehbare Weise erfüllen. (NIST Pages)
Ebenso sollen Passwörter nicht einfach nach:
30,
60
oder:
90 Tagen
gewechselt werden müssen.
Ein Wechsel ist notwendig, wenn es Hinweise auf eine Kompromittierung gibt. (NIST Pages)
Für viele Konten besteht die praktikabelste Strategie nicht darin, immer bessere Merkregeln zu entwickeln.
Sondern:
Passwortmanager
↓
ein Passwort pro Konto
↓
zufällig und lang
NIST beschreibt den Einsatz einzigartiger Passwörter ausdrücklich als Schutz gegen Credential Stuffing und Passwortmanager als praktikable Möglichkeit, solche Zugangsdaten zu erzeugen und zu verwalten. (NIST Pages)
Der wichtigste Grundsatz lautet deshalb:
Ein Passwort sollte nur genau ein Konto schützen.
Wird es dort kompromittiert, darf daraus kein Generalschlüssel für dein digitales Leben werden.
Gleichzeitig muss man die Grenzen des Passworts kennen.
langes Passwort
→ hilft gegen Erraten
einzigartiges Passwort
→ begrenzt Credential Stuffing
aber:
Phishing
Keylogger
Session-Diebstahl
schwacher Passwort-Reset
werden dadurch nicht vollständig verhindert.
NIST stellt ausdrücklich fest, dass Passwörter nicht phishing-resistent sind. (NIST Pages)
Deshalb führt moderne Kontosicherheit über das Passwort hinaus:
einzigartiges Passwort
↓
Passwortmanager
↓
zusätzliche Authentifizierung
↓
phishing-resistente Verfahren
Für Websitebetreiber gilt parallel:
lange Passwörter erlauben
+
schwache bekannte Passwörter blockieren
+
Password Manager nicht behindern
+
Loginversuche begrenzen
+
sicher hashen
Das ist wesentlich wirksamer als Benutzer mit immer komplizierteren Sonderzeichenregeln zu beschäftigen. (NIST Pages)
Der zentrale Merksatz lautet:
Ein sicheres Passwort ist nicht dasjenige, das besonders kompliziert aussieht. Es ist lang genug, für genau ein Konto bestimmt, nicht vorhersehbar und bleibt tatsächlich geheim. Für viele Konten übernimmt ein Passwortmanager diese Aufgabe besser als das menschliche Gedächtnis – und für besonders wichtige Zugänge sollte das Passwort nur eine von mehreren Sicherheitsebenen sein.