Sicheres Passwort erstellen und Passwort-Manager nutzen
Wir zeigen praxisnah, wie Sie mit langen Passphrasen, einem Passwort-Manager und der Prüfung auf Datenlecks E-Mail-, Bank- und Admin-Konten schützen.
Aurora YazılımRedaktionsteam
6 Min. Lesezeit
Für ein starkes Passwort zählt weniger Komplexität als Länge: Wählen Sie eine Passphrase aus zufälligen Wörtern mit mindestens 12–16 Zeichen. Nutzen Sie für jedes Konto ein anderes Passwort, speichern Sie diese in einem Passwort-Manager, aktivieren Sie bei wichtigen Konten die Zwei-Faktor-Authentifizierung und prüfen Sie regelmäßig, ob Ihre Adresse in Datenlecks auftaucht.
Warum sind schwache Passwörter so riskant?
Angreifer raten Passwörter nicht einzeln; sie probieren mit automatischen Werkzeugen pro Sekunde sehr viele Varianten aus und nutzen Listen mit Millionen bereits geleakter Passwörter. Passwörter wie »123456«, Geburtsjahr, Vereinsname oder Firmenname stehen ganz oben auf diesen Listen.
Das größere Problem ist die Wiederverwendung von Passwörtern. Ein Paar aus E-Mail und Passwort, das bei einem Onlineshop abgeflossen ist, wird automatisch bei E-Mail-, Bank- und Social-Media-Konten ausprobiert. Das nennt man Credential Stuffing, und ein einziges schwaches Glied kann alle Konten öffnen.
Für Unternehmen ist das Risiko noch größer. Wird das Admin-Panel der Website, die Shopverwaltung, das Domainkonto oder das Firmen-E-Mail-Konto übernommen, leiden Kundendaten, Reputation und Umsatz gleichzeitig.
Eine weitere häufige Schwachstelle sind Standardpasswörter. Wird bei Router, Kamera, Drucker oder einem neu installierten Software-Panel das bei der Einrichtung vergebene Passwort nicht geändert, kann das Gerät leicht übernommen werden, weil diese Passwörter öffentlich im Internet aufgelistet sind. Bei der Inbetriebnahme eines neuen Geräts oder Kontos sollte als Erstes das Standardpasswort durch ein einzigartiges, langes Passwort ersetzt werden.
Merkmale eines starken Passworts
Aktuelle Sicherheitsleitfäden, etwa die Richtlinien zur Authentifizierung der US-Standardisierungsbehörde NIST, gewichten bei Passwörtern die Länge höher als Komplexitätsregeln. Ein kurzes, aber mit Sonderzeichen vollgepacktes Passwort ist meist schwächer als eine lange, zufällige Passphrase.
Dieselben Richtlinien raten auch davon ab, Passwörter ohne Anlass in festen Abständen zwangsweise ändern zu lassen, weil das Nutzer zu vorhersehbaren Mustern wie »Passwort2024!« und »Passwort2025!« verleitet. Ein Passwort sollte bei Verdacht auf ein Datenleck geändert werden.
- Mindestens 12–16 Zeichen; bei Administratorkonten länger
- Enthält keine persönlichen Angaben (Name, Geburtsdatum, Kfz-Kennzeichen, Telefonnummer)
- Ist kein Wörterbuchbegriff und keine Tastaturfolge (qwerty, 123456)
- Wird bei keinem anderen Konto verwendet
- Ist zufällig erzeugt; Muster, die Menschen »clever« finden, sind oft vorhersehbar
Wie bildet man eine Passphrase?
Für die wenigen Passwörter, die Sie auswendig kennen müssen, ist die beste Methode die Passphrase: vier bis fünf zufällig gewählte, nicht zusammenhängende Wörter aneinanderreihen. Eine Folge wie »Kerze-Olive-Wolke-Kompass-Blau« ist zugleich lang und einprägsam. Verwenden Sie nicht dieses Beispiel, sondern Ihre eigenen zufälligen Wörter.
Passwörter, die Sie sich nicht merken müssen, lassen Sie direkt vom Passwort-Manager erzeugen. Wer die Kommandozeile nutzt, kann zufällige Passwörter auch mit den folgenden Befehlen erzeugen.
openssl rand -base64 24
python3 -c 'import secrets; print(secrets.token_urlsafe(20))'Was ist ein Passwort-Manager?
Ein Passwort-Manager ist eine App, die alle Ihre Passwörter in einem verschlüsselten Tresor speichert, sie beim Anmelden automatisch einträgt und für neue Konten starke Passwörter erzeugt. Der Schlüssel zum Tresor ist ein einziges Master-Passwort; es muss deshalb lang und einzigartig sein und durch Zwei-Faktor-Authentifizierung geschützt werden.
Manager bieten auch indirekten Schutz vor Phishing: Das automatische Ausfüllen schlägt das Passwort nur auf der gespeicherten Domain vor. Wird das Passwort auf einer gefälschten Seite nicht angeboten, ist das ein frühes Warnsignal, dass die Adresse nicht stimmt.
Worauf achtet man bei der Auswahl?
- Ende-zu-Ende-Verschlüsselung und Entschlüsselung der Daten nur auf Ihrem Gerät
- Apps für alle Betriebssysteme und Browser, die Sie nutzen
- Unterstützung für Zwei-Faktor-Authentifizierung und Hardware-Schlüssel
- Sicheres Teilen im Team und Rechteverwaltung
- Warnungen bei Datenlecks und wiederverwendeten Passwörtern
Browser oder eigene App?
Die integrierten Passwort-Manager von Browsern und Betriebssystemen sind viel besser als gar keiner. Brauchen Sie mehrere Browser, verschiedene Betriebssysteme und Teamfreigaben, bietet ein eigenständiger Passwort-Manager mehr Flexibilität.
Prüfung auf Datenlecks
Ihr Passwort kann unbemerkt in einem Datenleck aufgetaucht sein. Dienste wie Have I Been Pwned zeigen, ob Ihre E-Mail-Adresse in bekannten Lecks vorkommt. Viele Passwort-Manager und Browser prüfen auch Ihre gespeicherten Passwörter anhand von Leak-Listen.
Taucht Ihr Name in einem Leck auf, gehen Sie ohne Panik der Reihe nach vor: Ändern Sie zuerst das Passwort dieses Kontos, dann die Passwörter aller anderen Konten, bei denen Sie dasselbe verwendet haben. Seien Sie auch vorsichtig bei E-Mails nach einem Leck, die etwa behaupten »Ihr Konto wurde gesperrt«; Angreifer nutzen solche Momente aus. Wie Sie gefälschte Nachrichten erkennen, lesen Sie in unserem Beitrag Was ist Phishing?.
Reicht ein Passwort allein?
Selbst das stärkste Passwort nützt nichts, wenn es auf einer Phishing-Seite eingegeben oder von Schadsoftware auf dem Gerät mitgeschnitten wird. Deshalb sollte das Passwort durch eine zweite Schutzschicht ergänzt werden. Die Zwei-Faktor-Authentifizierung verlangt zusätzlich zum Passwort einen Code aus einer App auf Ihrem Smartphone oder einen Hardware-Schlüssel.
Auch bei den Verfahren gibt es Unterschiede. Ein Code per SMS ist besser als nichts, aber anfällig für Angriffe wie SIM-Swapping; eine Authentifizierungs-App und ein Hardware-Sicherheitsschlüssel sind robustere Optionen. Die Einrichtungsschritte finden Sie in unserem Ratgeber Zwei-Faktor-Authentifizierung aktivieren.
Vergessen Sie auch die Wiederherstellungscodes nicht. Die Backup-Codes, die beim Aktivieren der Zwei-Faktor-Authentifizierung ausgegeben werden, im Passwort-Manager oder an einem sicheren Ort aufzubewahren, kann der einzige Weg zurück ins Konto sein, wenn das Smartphone verloren geht.
Passwortrichtlinie für Unternehmen
In einem Unternehmen darf Passwortsicherheit nicht individuellen Gewohnheiten überlassen werden. Eine schriftliche, kurze Passwortrichtlinie sorgt dafür, dass alle nach denselben Regeln arbeiten. Sie ist auch Teil der technischen und organisatorischen Maßnahmen, die nach KVKK (dem türkischen Datenschutzgesetz, vergleichbar mit der DSGVO) erwartet werden.
- Geben Sie jeder Person ein eigenes Benutzerkonto; verwenden Sie keine Sammelkonten und keine gemeinsamen Passwörter
- Wählen Sie unternehmensweit einen Passwort-Manager, und bewahren Sie geteilte Passwörter im Tresor auf
- Machen Sie die Zwei-Faktor-Authentifizierung für E-Mail, Admin-Panel und Bankkonten verpflichtend
- Sperren Sie die Zugänge ausscheidender Mitarbeiter noch am selben Tag, und ändern Sie geteilte Passwörter
- Verbieten Sie das Teilen von Passwörtern per E-Mail, Messenger oder Notizzettel
- Führen Sie mindestens einmal im Jahr eine kurze Schulung zum Sicherheitsbewusstsein durch
Sicherheit von Website und Admin-Panel
Passwortsicherheit liegt nicht nur in der Verantwortung der Nutzer; auch die Website selbst muss richtig aufgebaut sein. Gute Software speichert Passwörter nicht im Klartext, sondern mit starken Hash-Verfahren, begrenzt aufeinanderfolgende fehlgeschlagene Anmeldungen und bietet für das Admin-Panel die Zwei-Faktor-Authentifizierung an. Bei individuell entwickelten Softwarelösungen werden diese Regeln zusammen mit einer rollenbasierten Rechtevergabe schon zu Projektbeginn konzipiert.
Wer ein Shopsystem oder eine Unternehmenswebsite auswählt, sollte nach diesen Funktionen fragen; das beugt späteren Kontoübernahmen vor. Die Zukunft der Anmeldesicherheit liegt dagegen in der Passkey-Technologie, die Passwörter ganz überflüssig macht.
Das Thema Passwörter ist Teil eines größeren Sicherheitsbildes; sinnvoll wird es erst zusammen mit Backups, Updates und dem Sicherheitsbewusstsein der Mitarbeiter. Für diesen Rahmen lesen Sie unseren Beitrag Was ist Cybersicherheit?.
Häufig gestellte Fragen
01Was passiert, wenn der Passwort-Manager gehackt wird?
Bei gut konzipierten Managern wird der Tresor nur mit dem Master-Passwort entschlüsselt, das allein Sie kennen; Daten, die vom Server des Anbieters gestohlen werden, sind für sich genommen nicht lesbar. Deshalb ist es entscheidend, dass das Master-Passwort lang und einzigartig ist und die Zwei-Faktor-Authentifizierung aktiviert wurde.
02Ist es sicher, Passwörter in ein Notizbuch zu schreiben?
Ein Notizbuch, das zu Hause an einem verschlossenen Ort liegt, kann gegen Angriffe aus der Ferne sicherer sein als eine digitale Notizdatei. Eine Passwortliste im Büro, am Bildschirmrand oder in der Brieftasche ist dagegen physisch zugänglich und für die Teamnutzung ungeeignet.
03Wie oft sollte ich mein Passwort ändern?
Die aktuelle Empfehlung lautet, ein starkes, einzigartiges Passwort nicht nach festem Kalender zu ändern, sondern bei einem Anlass wie einem Datenleck oder einer verdächtigen Anmeldung. Gelten in Ihrem Unternehmen oder Ihrer Branche eigene Regeln, halten Sie sich daran.
Lange, einzigartige Passwörter, ein guter Passwort-Manager und die Zwei-Faktor-Authentifizierung stoppen den Großteil der Kontoübernahmen, bevor sie beginnen. Aurora Yazılım konzipiert bei Softwarelösungen für Ihr Unternehmen sichere Anmeldung und Rechteverwaltung von Anfang an und übernimmt auch die Speed- und Performance-Optimierung sowie die Wartung Ihrer bestehenden Website. Bei Fragen schreiben Sie uns gern über unsere Kontaktseite.
