Starkes Passwort erstellen und prüfen, ob es geleakt wurde
Die meisten Passwort-Tipps sind veraltet. Erzwungene Sonderzeichen und monatliche Wechsel haben Passwörter schwerer zu merken gemacht, ohne sie wirklich sicherer zu machen. Moderne Empfehlungen konzentrieren sich auf drei Dinge: Länge, Einzigartigkeit und den Abgleich mit geleakten Passwörtern. So setzt du das um.
Was ein starkes Passwort ausmacht
Angreifer erraten Passwörter nicht einzeln von Hand. Sie nutzen Software, die Milliarden Kombinationen durchprobiert, beginnend mit geleakten Passwörtern, Wörterbuchbegriffen und typischen Mustern wie Summer2026!. Ein starkes Passwort ist eines, das Software nicht vorhersagen kann: lang und zufällig.
Länge ist wichtiger als Komplexität. Jedes zusätzliche zufällige Zeichen vervielfacht die Anzahl der Möglichkeiten, während das Ersetzen von a durch @ einer der ersten Tricks ist, die Cracking-Tools ausprobieren.
Generieren statt ausdenken
Menschen sind schlecht in Zufall: Wir wählen Namen, Daten und Tastaturmuster. Nutze stattdessen den Passwort-Generator. Sinnvolle Einstellungen:
- 16+ zufällige Zeichen für alles, was in einem Passwort-Manager gespeichert wird.
- Eine Passphrase aus 4–6 zufälligen Wörtern (z. B.
staple-orbit-canyon-velvet-mint) für die wenigen Passwörter, die du tippen oder dir merken musst, etwa dein Computer-Login oder das Master-Passwort deines Managers.
Die Wörter müssen vom Tool zufällig ausgewählt werden. Eine selbst ausgedachte Phrase, etwa eine Liedzeile oder ein Zitat, ist deutlich leichter zu erraten.
Nie ein Passwort doppelt verwenden
Wiederverwendung ist das größte reale Risiko. Wird irgendeine Seite gehackt, probieren Angreifer die geleakten E-Mail-und-Passwort-Paare bei E-Mail-, Banking- und Shopping-Seiten aus – eine Methode namens Credential Stuffing. Ein eindeutiges Passwort für jedes Konto sorgt dafür, dass ein Leck auch nur ein Leck bleibt.
Niemand kann sich 100 verschiedene Passwörter merken – dafür gibt es Passwort-Manager. Der eingebaute Manager deines Browsers oder ein eigenständiger funktioniert gleichermaßen gut; wichtig ist, dass du überhaupt einen nutzt.
Prüfen, ob ein Passwort geleakt wurde
Der Passwort-Leak-Checker zeigt dir, ob ein Passwort in bekannten Datenleck-Sammlungen auftaucht, ohne das Passwort irgendwohin zu senden. Er hasht das Passwort in deinem Browser mit SHA-1 und schickt nur die ersten fünf Zeichen des Hashs an den Dienst Have I Been Pwned, der alle geleakten Hashes zurückgibt, die mit diesen Zeichen beginnen. Der eigentliche Abgleich passiert auf deinem Gerät. (Wie ein Hash aussieht, kannst du mit dem Hash-Generator ausprobieren.)
Taucht ein Passwort auf, ändere es überall, wo du es verwendet hast. Auch wenn es stark aussieht, steht es jetzt auf den Listen, die Angreifer zuerst probieren.
Was aktuelle Empfehlungen sagen
Die digitalen Identitätsrichtlinien des US-amerikanischen National Institute of Standards and Technology (NIST SP 800-63B) empfehlen, dass Dienste:
- lange Passwörter (mindestens 64 Zeichen) und alle druckbaren Zeichen einschließlich Leerzeichen erlauben.
- neue Passwörter gegen Listen gehackter und häufig verwendeter Passwörter prüfen.
- keine willkürlichen Komplexitätsregeln oder regelmäßigen Wechsel erzwingen – ein Passwort solltest du ändern, wenn es Hinweise auf eine Kompromittierung gibt.
Einen zweiten Faktor hinzufügen
Selbst ein perfektes Passwort kann durch Phishing erbeutet werden. Aktiviere die Zwei-Faktor-Authentifizierung für E-Mail, Banking und alles, womit sich andere Konten zurücksetzen lassen. Eine Authenticator-App oder ein Passkey ist stärker als SMS-Codes, aber jeder zweite Faktor ist deutlich besser als keiner.
Mit dem Passwort-Stärke-Checker siehst du, wie lange ein Passwort dem Raten standhalten würde und warum. Er markiert Wörterbuchbegriffe, Datumsangaben und Muster.
