Sicheres Passwort erstellen: So geht's laut BSI

Was ein Passwort wirklich sicher macht

Entscheidend ist vor allem die Länge, nicht die möglichst wilde Zeichenmischung. Jedes zusätzliche Zeichen vervielfacht den Aufwand, den ein Angreifer zum Durchprobieren braucht. Das BSI nennt dafür zwei gleichwertige Wege:

• •Kurz und komplex: mindestens 8 Zeichen aus vier Zeichenarten – Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen.
• •Lang und einfacher: mindestens 25 Zeichen aus zwei Zeichenarten, zum Beispiel eine Folge mehrerer Wörter.
• •Fürs WLAN-Passwort (WPA2/WPA3) empfiehlt das BSI mindestens 20 Zeichen.

Die Passphrase: lang und trotzdem merkbar

Ein langes Passwort muss nicht kompliziert sein. Beim Merksatz-Verfahren denkst du dir einen Satz aus und nimmst von jedem Wort den ersten Buchstaben – aus „Morgens trinke ich 2 Tassen Kaffee, dann läuft der Tag!“ wird zum Beispiel „Mti2TK,dldT!“.

Noch einfacher zu merken ist eine Wort-Kette aus fünf bis sechs zufälligen Wörtern, durch Zeichen getrennt, etwa „Segel-Kaktus-Wolke-Anker-7“. Solche Passphrasen sind dank ihrer Länge sehr sicher und lassen sich trotzdem gut merken.

Die häufigsten Fehler

• •Dasselbe Passwort für mehrere Dienste – gerät ein Anbieter in ein Datenleck, sind sofort alle Konten offen. Nutze pro Dienst ein eigenes Passwort.
• •Persönliche Bezüge wie Name, Geburtsdatum, Haustier oder Lieblingsverein – die lassen sich leicht erraten oder recherchieren.
• •Bekannte Muster wie „Passwort123“ oder Tastaturreihen wie „qwertz“ – sie stehen in jeder Angreifer-Liste ganz oben.

Am einfachsten: Generator plus Passwortmanager

Für jeden Dienst ein eigenes, langes Zufallspasswort lässt sich unmöglich auswendig behalten. Genau dafür gibt es die Kombination aus Generator und Passwortmanager: Der Generator erzeugt ein starkes Passwort, der Passwortmanager merkt es sich – du brauchst dir nur noch ein einziges, starkes Masterpasswort zu merken. Das ist der Weg, den auch das BSI empfiehlt.

Unseren Passwortgenerator kannst du dafür direkt nutzen: Er läuft komplett in deinem Browser, das erzeugte Passwort wird nirgends gespeichert oder an einen Server geschickt.

Muss ich mein Passwort regelmäßig ändern?

Nein. Vom pauschalen, regelmäßigen Passwortwechsel rät das BSI inzwischen ab – er führt in der Praxis meist zu schwächeren, leicht abgewandelten Passwörtern. Ändere dein Passwort stattdessen gezielt dann, wenn es einen Grund gibt: nach einem Datenleck beim Anbieter oder bei Verdacht, dass jemand Zugriff hatte.

Zusätzlichen Schutz bietet die Zwei-Faktor-Authentisierung: Selbst wenn ein Passwort einmal in falsche Hände gerät, fehlt Angreifern dann noch der zweite Faktor.

Häufige Fragen