Unsicher sind vor allem Passwörter, die sich leicht erraten, aus persönlichen Angaben ableiten oder nach bekannten Mustern durchprobieren lassen. Dazu gehören Namen mit Geburtsjahr, einfache Zahlenfolgen, Tastaturreihen und dasselbe Kennwort für mehrere Konten. Am wirksamsten schützt du dich mit einem langen, für jedes Konto einmaligen Passwort, einem Passwortmanager und einer zusätzlichen Anmeldebestätigung.
Diese Passwortkombinationen solltest du nicht verwenden
Ein Passwort muss nicht nur für andere Menschen schwer zu erraten sein. Es sollte auch automatisierten Anmeldeversuchen standhalten, bei denen häufige Wörter, typische Ergänzungen und bereits bekannt gewordene Zugangsdaten systematisch getestet werden. Die folgenden Muster sind deshalb besonders riskant.
| Unsicheres Muster | Typisches Beispiel | Warum es leicht angreifbar ist |
|---|---|---|
| Häufige Begriffe | passwort, hallo oder sommer | Solche Wörter stehen weit oben in automatisierten Wortlisten. |
| Einfache Zahlenfolgen | 123456, 111111 oder 202020 | Vorhersehbare Reihen werden früh ausprobiert. |
| Tastaturmuster | qwertz, asdfgh oder eine diagonale Tastenreihe | Die räumliche Anordnung auf der Tastatur ist bekannt und leicht nachzubilden. |
| Name plus Jahreszahl | Vorname und Geburtsjahr | Persönliche Angaben lassen sich häufig aus Profilen, Kontakten oder Dokumenten ableiten. |
| Dienstname plus Zusatz | Name des Dienstes und 123 | Wer das Grundmuster eines Passworts kennt, kann Varianten für weitere Konten bilden. |
| Kurzes Wort mit Ersetzungen | a durch @ oder i durch 1 ersetzen | Gängige Zeichenwechsel sind seit Langem Bestandteil automatisierter Rateversuche. |
| Wiederverwendetes Passwort | Dasselbe Kennwort für E-Mail, Einkauf und soziale Netzwerke | Wird ein Zugang bekannt, können Angreifer dieselben Daten bei anderen Diensten testen. |
Die Beispiele dienen ausschließlich dazu, riskante Muster zu erkennen. Auch kleine Abwandlungen wie ein Ausrufezeichen am Ende oder ein großgeschriebener Anfangsbuchstabe machen ein vorhersehbares Kennwort nicht zuverlässig sicher.
Persönliche Angaben sind leichter zu erraten als gedacht
Vorname, Nachname, Geburtstag, Wohnort, Haustier, Fußballverein und Autokennzeichen wirken persönlich, sind aber häufig nicht geheim. Einzelne Angaben können in sozialen Netzwerken, öffentlich sichtbaren Profilen, alten Nachrichten oder im direkten Umfeld auftauchen.
Besonders ungünstig ist eine Kombination aus zwei bekannten Informationen, etwa dem Namen eines Haustiers und einem Jahr. Sie ist zwar länger als ein einzelnes Wort, folgt jedoch weiterhin einem nachvollziehbaren Bauplan. Das gilt ebenfalls für Angaben zu Partnern, Kindern oder Arbeitgebern.
Prüfe ein geplantes Passwort daher mit einer einfachen Gegenfrage: Könnte eine bekannte Person einen Bestandteil erraten oder online finden? Lautet die Antwort ja, eignet sich diese Information nicht als Grundlage.
Warum Sonderzeichen ein schwaches Grundwort nicht retten
Ein Großbuchstabe, eine Zahl und ein Sonderzeichen können sinnvoll sein, wenn ein Dienst diese Zeichen verlangt. Entscheidend ist jedoch nicht allein, welche Zeichenarten vorkommen. Länge, Einmaligkeit und fehlende Vorhersehbarkeit sind mindestens ebenso wichtig.
Aus einem häufigen Wort wird durch bekannte Ersetzungen kein starkes Passwort. Angreiferprogramme berücksichtigen beispielsweise typische Wechsel zwischen Buchstaben und ähnlich aussehenden Zahlen oder Symbolen. Auch Zusätze wie 1, 123, ein aktuelles Jahr oder ein Ausrufezeichen am Ende gehören zu den naheliegenden Varianten.
Ungünstig ist außerdem ein persönliches Grundmuster, das du je nach Konto nur geringfügig änderst. Wird eine Variante bekannt, lässt sich die Logik möglicherweise auf andere Dienste übertragen. Unterschiedliche Endungen sind deshalb kein Ersatz für eigenständige Passwörter.
So baust du starke und einmalige Passwörter auf
Für ein starkes Passwort gibt es zwei alltagstaugliche Wege: Du lässt eine lange zufällige Zeichenfolge von einem Passwortmanager erzeugen oder bildest eine lange Passphrase aus mehreren zufällig ausgewählten Wörtern. Eine selbst ausgedachte Redewendung, ein Liedtext oder ein bekanntes Zitat ist dagegen vorhersehbarer, als es zunächst scheint.
Für jedes Konto einen eigenen Zugang verwenden: Beginne mit deinem E-Mail-Konto, weil darüber häufig Rücksetzungen anderer Konten laufen.
Möglichst viel Länge nutzen: Wähle innerhalb der Vorgaben des jeweiligen Dienstes ein langes Passwort. Zusätzliche Länge ist meist wertvoller als eine kurze Folge mit vielen erzwungenen Sonderzeichen.
Zufall statt persönlicher Logik wählen: Verwende keine Daten, Namen, Sätze oder Tastaturwege, die mit dir verbunden sind.
Passwortmanager einsetzen: Er kann für jedes Konto eine unabhängige Zeichenfolge erzeugen und speichern. Du musst dir dann vor allem das starke Hauptpasswort merken.
Zusätzliche Anmeldebestätigung aktivieren: Wenn ein Dienst eine Zwei-Faktor- oder Mehrfaktor-Anmeldung anbietet, schützt sie das Konto zusätzlich. Ein gestohlenes Passwort allein reicht dann je nach Verfahren nicht für die Anmeldung.
Bei einer Passphrase müssen die Wörter tatsächlich zufällig gewählt sein. Eine grammatikalisch naheliegende Wortfolge oder ein bekannter Spruch lässt sich eher vorhersagen. Leerzeichen und Sonderzeichen kannst du verwenden, sofern der jeweilige Dienst sie akzeptiert.
Die E-Mail-Adresse verdient besondere Priorität
Das Passwort deines wichtigsten E-Mail-Kontos sollte nirgendwo sonst eingesetzt werden. Wer Zugriff auf dieses Postfach erhält, kann möglicherweise Rücksetzlinks empfangen, Bestellungen einsehen oder weitere Konten übernehmen.
Ähnlich wichtig sind Zugänge zu Bezahldiensten, Onlineshops mit hinterlegten Zahlungsdaten, Cloud-Speichern und sozialen Netzwerken. Die richtige Reihenfolge beim Aufräumen lautet daher: zuerst E-Mail, anschließend finanznahe und persönliche Konten, danach alle übrigen Dienste.
Bewahre Wiederherstellungscodes für die zusätzliche Anmeldebestätigung getrennt vom Passwort auf. Speichere sie nicht ungeschützt im selben Postfach, dessen Zugang sie absichern sollen.
Was du bei mehrfach verwendeten Kennwörtern tun solltest
Hast du dasselbe Passwort bei mehreren Diensten benutzt, ändere nicht wahllos alle Zugänge gleichzeitig. Arbeite nach dem möglichen Schaden und nach der Abhängigkeit der Konten.
Ändere zuerst das Passwort des zugehörigen E-Mail-Kontos und prüfe dort hinterlegte Wiederherstellungsadressen sowie Telefonnummern.
Ersetze das wiederverwendete Kennwort bei wichtigen Konten durch jeweils unterschiedliche Passwörter.
Kontrolliere, ob unbekannte Anmeldungen, Geräte, Weiterleitungen oder Änderungen an den Kontodaten angezeigt werden.
Aktiviere eine zusätzliche Anmeldebestätigung, falls sie verfügbar ist.
Bearbeite danach weniger wichtige Konten und lösche ungenutzte Zugänge, soweit der jeweilige Dienst dies ermöglicht.
Vermutest du einen unbefugten Zugriff, reicht eine kleine Änderung am alten Passwort nicht aus. Wähle eine vollständig neue Kombination und beende nach Möglichkeit bestehende Sitzungen auf anderen Geräten. Bei Zahlungsdaten oder Bestellungen solltest du außerdem die betreffenden Vorgänge prüfen und bei Auffälligkeiten unverzüglich den Anbieter beziehungsweise Zahlungsdienst kontaktieren.
Ein Passwortmanager löst vor allem das Wiederverwendungsproblem
Viele unsichere Kombinationen entstehen, weil sich niemand zahlreiche lange Kennwörter zuverlässig merken kann. Ein Passwortmanager speichert die Zugangsdaten verschlüsselt und füllt sie nach deiner Freigabe aus. Dadurch kannst du für jeden Dienst eine andere zufällige Zeichenfolge verwenden.
Das Hauptpasswort des Managers muss besonders sorgfältig gewählt werden. Es sollte lang, einmalig und nirgendwo anders gespeichert oder eingesetzt sein. Aktiviere auch für den Passwortmanager eine zusätzliche Anmeldebestätigung, sofern sie angeboten wird, und sichere vorgesehene Wiederherstellungsdaten an einem geschützten Ort.
Verlasse dich beim automatischen Ausfüllen nicht blind auf die Anzeige. Prüfe vor der Anmeldung, ob du dich wirklich auf der gewünschten Website oder in der richtigen App befindest. Gib Zugangsdaten nicht über Links aus unerwarteten Nachrichten ein, sondern öffne den Dienst über einen gespeicherten Zugang oder die bekannte App.
Wann ein Passwort sofort geändert werden sollte
Ein regelmäßiger Wechsel nach einem starren Kalender führt häufig nur zu leicht abgewandelten Varianten. Wichtiger ist ein sofortiger Wechsel bei einem nachvollziehbaren Anlass: Das Passwort wurde mehrfach verwendet, möglicherweise weitergegeben, auf einer fremden Seite eingegeben oder der Dienst meldet einen Sicherheitsvorfall beziehungsweise eine unbekannte Anmeldung.
Auch ein versehentlich sichtbares Passwort, etwa in einer Nachricht, einem Foto oder einer Bildschirmfreigabe, sollte als nicht mehr geheim gelten. Ändere es zuerst beim betroffenen Konto und anschließend überall dort, wo dieselbe oder eine erkennbare Variante verwendet wurde.
Ein guter Endzustand ist leicht zu prüfen: Jedes wichtige Konto besitzt ein eigenes langes Passwort, persönliche Angaben und bekannte Muster kommen darin nicht vor, und besonders schützenswerte Zugänge verlangen einen zweiten Anmeldeschritt. Damit beseitigst du nicht nur einzelne schwache Kombinationen, sondern vor allem das Risiko, dass ein bekannt gewordenes Kennwort mehrere Konten gleichzeitig öffnet.