Sicheres Passwort: Warum Länge wichtiger ist als Komplexität

Viele glauben, mit Großbuchstaben und Sonderzeichen auf der sicheren Seite zu sein. Dabei ist ein längeres Passwort - selbst wenn es nur aus Buchstaben besteht - mathematisch gesehen sicherer. Hier erfahren Sie, warum das so ist, welche Länge angestrebt werden sollte und wie ein wirklich sicheres Passwort aussieht.

Was ist besser: ein langes oder ein komplexes Passwort?

Länge schlägt Komplexität. Das klingt zunächst unintuitiv, aber die Zahlen sprechen für sich.

Vergleichen wir drei Passwörter:

• 8 Zeichen, nur Kleinbuchstaben (26 Möglichkeiten pro Stelle): 26⁸, also rund 208 Milliarden Kombinationen
• 8 Zeichen, gemischt aus Kleinbuchstaben, Großbuchstaben, Ziffern und Sonderzeichen (95 Möglichkeiten pro Stelle): 95⁸, also rund 6.600 Milliarden Kombinationen
• 16 Zeichen, nur Kleinbuchstaben: 26¹⁶, also rund 43 Trilliarden Kombinationen

Das dritte Passwort - das auf den ersten Blick simpelste - ist unvergleichlich widerstandsfähiger als die beiden anderen. Jedes zusätzliche Zeichen vervielfacht den Möglichkeitsraum exponentiell, während das Hinzufügen weiterer Zeichenarten lediglich einen linearen Gewinn bringt.

Wie lang sollte ein sicheres Passwort sein?

Streben Sie mindestens 12 Zeichen für den alltäglichen Gebrauch an und 16 oder mehr für sensible Konten: primäre E-Mail-Adresse, Online-Banking, Passwort-Manager. Unter 12 Zeichen wird ein Passwort anfällig für Offline-Angriffe auf gestohlene Datenbanken.

Der Grund liegt in der oben beschriebenen Mathematik: Zusätzliche Zeichen erhöhen die Anzahl der Kombinationen weitaus stärker als verschiedene Zeichenarten. Ein Passwort mit 16 Kleinbuchstaben ist für einen Brute-Force-Angriff bereits praktisch unerreichbar. Komplizierte Regeln sind also nicht nötig - lieber länger als komplizierter.

Wie erstellt man ein sicheres Passwort - mit Beispiel?

Die richtige Methode hängt vom Verwendungszweck ab. Für Passwörter, die Sie sich merken müssen (z. B. für Ihren Passwort-Manager oder Ihre Sitzung), empfiehlt sich eine Passphrase: eine Reihe zufälliger Wörter, die lang und trotzdem einprägsam ist. Für alle anderen Konten lässt man am besten einen Generator ein zufälliges Passwort erzeugen, das man sich nicht merken muss.

Konkrete Beispiele:

• Eine Passphrase: „sardine galaxie tambour velours pirate" (fünf zufällig gewählte Wörter, leicht zu merken, sehr schwer zu knacken)
• Ein generiertes Passwort: „GD€75€!RPF]HT" (zufällig, im Passwort-Manager gespeichert, nie aus dem Gedächtnis getippt)

Was man unbedingt vermeiden sollte:

• Ein Wörterbuchbegriff, ein Vorname oder ein Datum: „Julian2024", „Passwort!"
• Eine „clevere" Zeichenersetzung: „P@ssw0rd" (siehe nächster Abschnitt)
• Dasselbe Passwort auf mehreren Websites

Ein wichtiger Hinweis: Diese Beispiele dienen nur zur Veranschaulichung. Verwenden Sie sie niemals tatsächlich - ein veröffentlichtes Passwort ist kein Geheimnis mehr. Am besten überlässt man die Zufallsauswahl einem Generator, denn das menschliche Gehirn ist dazu schlicht nicht in der Lage. Der Passwort-Manager von Octopussian enthält einen solchen Generator.

Warum bringt das Ersetzen von Buchstaben durch Sonderzeichen nichts?

Ein „a" durch „@", ein „o" durch „0" oder ein „e" durch „3" zu ersetzen, ist eine vermeintlich schlaue, aber ineffektive Idee. Diese Substitutionen sind seit Jahrzehnten bekannt und in alle modernen Cracking-Tools integriert. „P@ssw0rd" ist gegenüber einem automatisierten Angriff kaum widerstandsfähiger als „password".

Diese Gewohnheit vermittelt ein falsches Sicherheitsgefühl. Sie geht auf die frühen Empfehlungen der IT-Sicherheit zurück, als Angriffswerkzeuge noch weniger ausgereift waren. Heute ist ein wirklich langes und zufälliges Passwort einem kurzen, mit Sonderzeichen verkleideten Passwort klar vorzuziehen.

Was ist eine Passphrase und warum ist sie effektiv?

Eine Passphrase ist eine Reihe zufälliger Wörter, die als Passwort verwendet wird - zum Beispiel „pferd batterie heftklammer berg kaktus". Sie ist gleichzeitig lang, robust und einprägsam.

Die Entropie einer Passphrase aus 5 bis 6 Wörtern, die aus einem Wörterbuch mit 7.776 Einträgen (Diceware-Methode) gezogen werden, ist vergleichbar mit der eines zufälligen Passworts aus 10 bis 12 Zeichen. Das Einprägen hingegen ist unvergleichlich einfacher.

Die Passphrase eignet sich besonders als Master-Passwort für einen Passwort-Manager - das einzige Passwort, das man sich wirklich merken muss. Für alle anderen empfiehlt sich ein Generator: Er erzeugt kryptografische Zufälligkeit ohne menschliche Verzerrungen, zu der das Gehirn schlicht nicht imstande ist.

Sollte man sein Passwort regelmäßig ändern?

Nein. Das regelmäßige Ändern von Passwörtern wird seit 2017 vom NIST, der amerikanischen Normierungsbehörde für Cybersicherheit, offiziell nicht mehr empfohlen.

Diese Empfehlung hat eine Geschichte. Im Jahr 2003 verfasste Bill Burr, damals Mitarbeiter des NIST, die Publikation SP 800-63, die weltweit zum Referenzwerk wurde. Sie empfahl obligatorische Komplexität und einen Wechsel alle 90 Tage. 2017 räumte er nach seiner Pensionierung öffentlich ein, dass diese Empfehlungen auf Annahmen aus den 1980er-Jahren beruhten - ohne solide empirische Grundlage.

Das Problem des erzwungenen Passwortwechsels ist handfest: Er verleitet Nutzer zu vorhersehbaren Variationen wie „Januar2024", „Januar2024!", „Februar2024!". Genau diese Muster testet ein Angreifer als Erstes.

Ein gutes Passwort hat kein Verfallsdatum. Man ändert es ausschließlich bei einer nachgewiesenen oder vermuteten Kompromittierung.

Warum darf man ein Passwort niemals wiederverwenden?

Weil Milliarden von Benutzername-/Passwort-Paaren aus Datenlecks frei im Umlauf sind. Angreifer testen sie automatisch bei Dutzenden von Diensten - das nennt sich Credential Stuffing.

Wenn Sie dasselbe Passwort für Ihre E-Mails und ein vor drei Jahren gehacktes Forum verwenden, ist Ihr E-Mail-Konto möglicherweise kompromittiert. Das E-Mail-Konto ist aber oft der Schlüssel zu allem anderen: Über es laufen die „Passwort vergessen"-Links aller anderen Konten.

Die einzige Schutzmaßnahme: ein einzigartiges Passwort pro Dienst, ausnahmslos. Deshalb ist ein Passwort-Manager in der Praxis unverzichtbar - niemand kann sich Dutzende langer, zufälliger Passwörter merken.

Dienste wie Have I Been Pwned (haveibeenpwned.com) ermöglichen es zu prüfen, ob eine E-Mail-Adresse oder ein Passwort in einer bekannten kompromittierten Datenbank auftaucht. Das ist eine objektive Grundlage für die Entscheidung, ein Passwort zu ändern - ohne auf eine willkürliche Rotation warten zu müssen.

Reicht ein starkes Passwort zum Schutz aus?

Nein. Mehrere Angriffsvektoren machen die eigentliche Qualität des Passworts irrelevant.

Schulter-Surfen - ein Blick über die Schulter im Großraumbüro oder in öffentlichen Verkehrsmitteln - wird unterschätzt, weil es nicht wie ein Cyberangriff aussieht. Ein Keylogger, ob als Hardware oder Software, erfasst das Passwort, bevor es überhaupt an den Server übertragen wird. Und Phishing verleitet den Nutzer dazu, sein Passwort selbst auf einer betrügerischen Website einzugeben - in diesem Fall spielen Länge und Komplexität keinerlei Rolle.

Diese Realitäten sprechen für einen mehrschichtigen Ansatz: Ein gutes Passwort ist notwendig, aber nicht ausreichend. Zwei-Faktor-Authentifizierung und Wachsamkeit gegenüber Phishing ergänzen den Schutz.

Was ist der Unterschied zwischen einem Online- und einem Offline-Angriff?

Das ist eine grundlegende Unterscheidung, die das erforderliche Sicherheitsniveau erheblich beeinflusst.

Bei einem Offline-Angriff hat der Angreifer eine Kopie der Datenbank erlangt (durch ein Datenleck oder gestohlene Backups). Er arbeitet lokal, ohne externe Einschränkungen. Mit einer modernen GPU kann er mehrere Milliarden Kombinationen pro Sekunde gegen einen MD5-Hash testen oder mehrere Hundert Millionen gegen bcrypt. Nur die Länge des Passworts und die Qualität des Hashing-Algorithmus machen dann den Unterschied.

Bei einem Online-Angriff läuft jeder Versuch über das Netzwerk und den Server. Verteidigungsmechanismen verändern die Gleichung: progressives Zeitlimit zwischen Versuchen, temporäre Sperrung nach mehreren Fehlversuchen, Captcha, Erkennung verdächtiger IP-Adressen. Mit einem einfachen Zeitlimit von einer Sekunde zwischen Versuchen wird ein 10-stelliges Passwort in der Praxis unangreifbar.

Ein korrekt gesicherter Online-Dienst toleriert ein verhältnismäßig kürzeres Passwort als eine Datei, die exfiltriert und offline angegriffen werden könnte.

Wie schützt ein Server gespeicherte Passwörter?

Im Falle eines Datenbankleaks ist es der Hashing-Algorithmus, der die Widerstandsfähigkeit der Passwörter bestimmt. Nicht alle Algorithmen sind gleichwertig.

MD5 und SHA1 sind veraltet: Sie werden mit Milliarden von Versuchen pro Sekunde geknackt. Bcrypt, bewusst darauf ausgelegt, langsam zu sein, ist eine bewährte Referenz mit anpassbarem Rechenaufwand. Argon2, Gewinner des Password Hashing Competition 2015, ist heute die empfohlene Wahl: Er widersteht Angriffen per GPU und spezialisierter Hardware (ASIC).

Salt ergänzt das System: Indem jedem Passwort vor dem Hashing ein eindeutiger Zufallswert hinzugefügt wird, ist sichergestellt, dass zwei Nutzer mit demselben Passwort unterschiedliche Hashwerte erzeugen. Das macht Rainbow-Table-Angriffe wirkungslos.

Warum verlangen manche Websites absurde Passwortregeln?

Weil ihre Systeme Passwörter serverseitig nicht korrekt verarbeiten. Eine maximale Länge von 10 oder 12 Zeichen, das Verbot bestimmter Sonderzeichen oder die Ablehnung bestimmter Kombinationen „aus Sicherheitsgründen" deuten häufig auf ein im Klartext gespeichertes oder schlecht gehashtes Passwort hin.

Ein korrekt gehashtes Passwort (mit bcrypt oder Argon2) hat keinen Grund, längenbeschränkt zu sein. Wenn ein Dienst die Verwendung eines langen, zufälligen Passworts verhindert, ist das ein Warnsignal für die allgemeine Qualität seiner Sicherheit.

Warum ist Passwortsicherheit im Unternehmen eine kollektive Aufgabe?

Weil ein einziges kompromittiertes Konto den gesamten gemeinsamen Arbeitsbereich gefährden kann: Daten der Kolleginnen und Kollegen, Kundendaten, den Ruf des Unternehmens.

Ein Mitarbeiter, der seinen Zugang zu einem Aufgabenverwaltungstool schlecht absichert, mag das Risiko als gering einschätzen. Doch dieses Tool enthält möglicherweise Spezifikationen, Kundenkommunikation und Informationen über die interne Infrastruktur. Ein Angreifer, der über diese Tür eingedrungen ist, kann sich lateral zu weitaus sensibleren Zielen vorarbeiten.

Passwortsicherheit im Team ist eine gemeinsame Verantwortung. Das rechtfertigt Verwaltungsfunktionen in einem Passwort-Manager: Mindestanforderungen durchsetzen, die Aktivierung der Zwei-Faktor-Authentifizierung aller Mitglieder überprüfen und einen Zugang schnell widerrufen können, ohne auf das individuelle Wohlwollen angewiesen zu sein.

Das Wichtigste in Kürze

• Setzen Sie auf Länge statt Komplexität: 16 Kleinbuchstaben sind sicherer als 8 gemischte Zeichen.
• Streben Sie mindestens 12 Zeichen an, für sensible Konten 16 oder mehr.
• Eine Passphrase für das, was Sie sich merken müssen - ein Generator für alles andere.
• Ändern Sie Passwörter nicht aus Routine: Das NIST rät offiziell seit 2017 davon ab.
• Ein einzigartiges Passwort pro Dienst: Credential Stuffing nutzt Wiederverwendung in großem Maßstab aus.
• Im Team ist es eine kollektive Aufgabe: Ein einziges schwaches Konto gefährdet alle.