„Passwort123" reicht heute nicht mehr. Modern arbeitende Hacker probieren Milliarden Kombinationen pro Sekunde — aber auch ein wirklich sicheres Passwort ist machbar, ohne dass du dich verrückt machen musst.
Die drei Goldenen Regeln
- Mindestens 12 Zeichen — je länger, desto schwieriger zu knacken
- Pro Konto ein eigenes Passwort — wenn ein Dienst gehackt wird, bleibt der Rest sicher
- Niemand außer dir kennt es — auch nicht „der Support" am Telefon (echter Support fragt nie danach)
Methode: Passphrase
Statt eines kryptischen Worts mit Sonderzeichen einfach vier zufällige Wörter aneinanderhängen:
Tomate-Klavier-Donau-NotizbuchVorteile:
- 28 Zeichen → mathematisch sicherer als jedes 8-Zeichen-Sonderzeichen-Passwort
- Lässt sich als Bild merken (Tomate auf einem Klavier an der Donau mit einem Notizbuch)
- Tippt sich auf der Tastatur einigermaßen flüssig
Wichtig: wirklich zufällige Wörter — kein „Mein-Hund-heißt-Bello", weil das per Social Media leicht zu erraten ist.
Methode: Passwort-Manager (empfohlen)
Ein Passwort-Manager merkt sich für dich alle Passwörter, du brauchst nur ein Master-Passwort.
Empfehlungen:
- Bitwarden — Open Source, kostenlose Variante reicht für Privat, Cloud-Sync
- KeePassXC — komplett offline, keine Cloud, läuft auf USB-Stick
- 1Password — kostenpflichtig, sehr ausgefeilt für Familien
Im Passwort-Manager generierst du dir für jedes Konto ein 20-stelliges Zufallspasswort — du musst es nie eintippen, das macht der Manager automatisch.
Was du NIEMALS machst
- Dasselbe Passwort für E-Mail, Banking und Online-Shop
- Passwort auf einem Zettel an den Monitor kleben
- Passwort per E-Mail oder WhatsApp verschicken
- Auf einen Link in einer Mail klicken und dort dein Passwort eintippen — selbst wenn die Mail von „deiner Bank" kommt
- Geburtstage, Tier-Namen, Auto-Kennzeichen verwenden
Zwei-Faktor-Authentifizierung (2FA)
Wenn ein Dienst es anbietet: immer aktivieren. Auch das beste Passwort wird wertlos, wenn jemand es trotzdem irgendwo erbeutet — 2FA verlangt zusätzlich noch einen Code aus einer App oder per SMS.
Wichtig: SMS-2FA ist der schwächste Modus. Besser:
- Authenticator-App (Google Authenticator, Microsoft Authenticator, Authy)
- Hardware-Schlüssel (YubiKey) — für E-Mail- und Banking-Konten der Goldstandard
Wann musst du Passwörter ändern?
Früher hieß es: alle 3 Monate. Aktuelle Empfehlung (NIST, BSI): nur dann ändern, wenn:
- ein Dienst gehackt wurde, bei dem du Konto hast (siehe haveibeenpwned.com)
- Verdacht auf unbefugten Zugriff besteht
- Vorgeschrieben durch Arbeitgeber
Routine-Wechsel verschlechtert Passwörter eher (man ändert nur die letzte Ziffer).
Siehe auch: Virenbefall-Sofortmaßnahmen, E-Mail-Konto in Outlook einrichten.