Sicheres Passwort: Warum die Länge wichtiger ist als die Komplexität

Man glaubt, alles richtig zu machen, wenn man Großbuchstaben und Sonderzeichen hinzufügt. In Wirklichkeit ist ein längeres Passwort - selbst wenn es nur aus Buchstaben besteht - mathematisch gesehen sicherer. Hier erfahren Sie, warum das so ist, welche Länge Sie anstreben sollten und wie Sie ein wirklich sicheres Passwort erstellen.

Was ist besser: ein langes oder ein komplexes Passwort?

Länge schlägt Komplexität. Das klingt zunächst kontraintuitiv, aber die Zahlen sprechen eine klare Sprache.

Vergleichen wir drei Passwörter:

• 8 Zeichen, nur Kleinbuchstaben (26 Möglichkeiten pro Stelle): 26⁸, also rund 208 Milliarden Kombinationen
• 8 Zeichen, alle Typen gemischt - Kleinbuchstaben, Großbuchstaben, Ziffern und Sonderzeichen (95 Möglichkeiten pro Stelle): 95⁸, also rund 6.600 Milliarden Kombinationen
• 16 Zeichen, nur Kleinbuchstaben: 26¹⁶, also rund 43.000 Milliarden Milliarden Kombinationen

Das dritte Passwort - das auf den ersten Blick einfachste - ist den beiden anderen in Sachen Sicherheit haushoch überlegen. Jedes zusätzliche Zeichen vergrößert den Möglichkeitsraum exponentiell, während das Hinzufügen weiterer Zeichentypen nur einen linearen Gewinn bringt.

Wie lang sollte ein sicheres Passwort sein?

Streben Sie mindestens 12 Zeichen für den alltäglichen Gebrauch an, und 16 oder mehr für sensible Konten: Ihr Haupt-E-Mail-Postfach, Ihre Bank, Ihren Passwort-Manager. Unter 12 Zeichen wird ein Passwort anfällig für Offline-Angriffe auf gestohlene Datenbanken.

Der Grund liegt in der oben beschriebenen Berechnung: Es sind die zusätzlichen Zeichen - weit mehr als die Zeichentypen -, die die Zahl der Kombinationen in die Höhe treiben. Ein Passwort mit 16 Kleinbuchstaben ist für einen Brute-Force-Angriff bereits unerreichbar. Komplizierte Regeln sind also nicht nötig: Länger ist besser als komplizierter.

Wie erstellt man ein sicheres Passwort - mit einem Beispiel?

Die richtige Methode hängt vom Verwendungszweck ab. Für Passwörter, die Sie sich merken müssen - etwa das Ihres Passwort-Managers oder Ihrer Benutzeranmeldung -, empfiehlt sich eine Passphrase: eine Folge zufälliger Wörter, die lang und gleichzeitig einprägsam ist. Für alle anderen Konten lassen Sie am besten einen Generator ein zufälliges Passwort erzeugen, das Sie sich nicht merken müssen.

Konkret sieht das so aus:

• Eine Passphrase: „sardine galaxie tambour velours pirate" (fünf zufällig gewählte Wörter, leicht zu merken, sehr schwer zu knacken)
• Ein generiertes Passwort: „GD€75€!RPF]HT" (zufällig, im Passwort-Manager gespeichert, nie auswendig eingegeben)

Was Sie unbedingt vermeiden sollten:

• Ein Wörterbucheintrag, ein Vorname oder ein Datum: „Julian2024", „Passwort!"
• Eine vermeintlich clevere Substitution: „P@ssw0rd" (mehr dazu im nächsten Abschnitt)
• Dasselbe Passwort für mehrere Dienste verwenden

Ein wichtiger Hinweis: Diese Beispiele dienen nur der Veranschaulichung. Verwenden Sie sie niemals selbst - ein Passwort, das irgendwo veröffentlicht wurde, ist kein Geheimnis mehr. Am besten überlassen Sie die Zufallserzeugung einem Generator, denn das menschliche Gehirn ist dazu schlicht nicht in der Lage. Der Passwort-Manager von Octopussian enthält einen solchen Generator.

Warum bringt das Ersetzen von Buchstaben durch Sonderzeichen nichts?

Ein „a" durch „@", ein „o" durch „0" oder ein „e" durch „3" zu ersetzen ist eine trügerische Sicherheitsmaßnahme. Diese Substitutionen sind seit Jahrzehnten bekannt und in alle modernen Cracking-Tools integriert. „P@ssw0rd" ist gegenüber einem automatisierten Angriff kaum widerstandsfähiger als „password".

Diese Gewohnheit vermittelt ein falsches Sicherheitsgefühl. Sie geht auf die ersten IT-Sicherheitsempfehlungen zurück, als Angriffswerkzeuge noch weit weniger ausgefeilt waren. Heute ist ein wirklich langes und zufälliges Passwort einem kurzen, mit Sonderzeichen aufgehübschten Passwort klar überlegen.

Was ist eine Passphrase, und warum ist sie so wirksam?

Eine Passphrase ist eine Folge zufälliger Wörter, die als Passwort verwendet wird - zum Beispiel „pferd batterie heftklammer berg kaktus". Sie ist gleichzeitig lang, robust und einprägsam.

Die Entropie einer Passphrase aus 5 bis 6 Wörtern, die aus einem Wörterbuch mit 7.776 Einträgen gezogen werden (Diceware-Methode), ist vergleichbar mit der eines zufälligen Passworts aus 10 bis 12 Zeichen. Das Einprägen fällt dabei ungleich leichter.

Die Passphrase eignet sich besonders gut als Master-Passwort für einen Passwort-Manager - das einzige Passwort, das man sich wirklich merken muss. Für alle anderen Konten ist ein Generator vorzuziehen: Er erzeugt kryptografische Zufälligkeit ohne menschliche Verzerrung, wozu das Gehirn nicht imstande ist. In einem eigenen Leitfaden erklären wir ausführlich, wie man eine solide Passphrase erstellt und wie viele Wörter man anstreben sollte.

Muss man sein Passwort regelmäßig ändern?

Nein. Der regelmäßige Passwortwechsel wird vom NIST, der amerikanischen Normierungsbehörde für Cybersicherheit, offiziell seit 2017 nicht mehr empfohlen.

Diese Empfehlung hat eine lange Geschichte. Im Jahr 2003 verfasste Bill Burr, damals Mitarbeiter des NIST, die Publikation SP 800-63, die weltweit zur Referenz wurde. Sie empfahl verpflichtende Komplexität und einen Wechsel alle 90 Tage. 2017 räumte Burr nach seiner Pensionierung öffentlich ein, dass diese Empfehlungen auf Annahmen aus den 1980er-Jahren beruhten - ohne solide empirische Grundlage.

Das Problem erzwungener Passwortrotation ist greifbar: Sie verleitet Nutzer zu vorhersehbaren Variationen wie „Januar2024", „Januar2024!" oder „Februar2024!". Genau diese Muster testet ein Angreifer als Erstes.

Ein gutes Passwort hat kein Verfallsdatum. Es wird nur geändert, wenn eine Kompromittierung nachgewiesen oder begründet vermutet wird.

Warum sollte man ein Passwort niemals wiederverwenden?

Weil Milliarden von Benutzername-/Passwort-Paaren aus Datenlecks frei im Umlauf sind. Angreifer testen diese automatisch gegen Dutzende von Diensten - das nennt sich Credential Stuffing.

Wenn Sie dasselbe Passwort für Ihr E-Mail-Postfach und ein Forum verwenden, das vor drei Jahren gehackt wurde, ist Ihr Postfach potenziell kompromittiert. Und das E-Mail-Konto ist oft der Schlüssel zu allem anderen: Über es laufen die „Passwort vergessen"-Links aller übrigen Konten.

Die einzige Schutzmaßnahme: ein einzigartiges Passwort pro Dienst, ausnahmslos. Genau das macht einen Passwort-Manager in der Praxis unverzichtbar - niemand kann sich Dutzende langer, zufälliger Passwörter merken.

Dienste wie Have I Been Pwned (haveibeenpwned.com) ermöglichen es zu prüfen, ob eine E-Mail-Adresse oder ein Passwort in einer bekannten kompromittierten Datenbank auftaucht. Das ist ein objektiver Anhaltspunkt, um zu entscheiden, ob ein Passwort geändert werden sollte - ohne auf willkürliche Rotationsintervalle zu warten.

Reicht ein starkes Passwort zum Schutz aus?

Nein. Mehrere Angriffsvektoren machen die intrinsische Qualität eines Passworts hinfällig.

Schulter-Surfen - ein Blick über die Schulter im Großraumbüro oder in öffentlichen Verkehrsmitteln - wird unterschätzt, weil es nicht wie ein Cyberangriff aussieht. Ein Keylogger, ob in Hard- oder Software, erfasst das Passwort, bevor es überhaupt an den Server übermittelt wird. Und Phishing verleitet Nutzer dazu, ihr Passwort selbst auf einer betrügerischen Website einzugeben - in diesem Fall sind Länge und Komplexität völlig irrelevant.

Diese Realitäten sprechen für einen mehrschichtigen Ansatz: Ein gutes Passwort ist notwendig, aber nicht hinreichend. Zwei-Faktor-Authentifizierung, Wachsamkeit gegenüber Phishing und - wo der Dienst es unterstützt - Passkeys ergänzen den Schutz.

Was ist der Unterschied zwischen einem Online- und einem Offline-Angriff?

Dies ist eine grundlegende Unterscheidung, die das erforderliche Sicherheitsniveau grundlegend verändert.

Bei einem Offline-Angriff hat der Angreifer eine Kopie der Datenbank erlangt - durch ein Datenleck oder den Diebstahl eines Backups. Er arbeitet lokal, ohne jede äußere Einschränkung. Mit einer modernen GPU kann er mehrere Milliarden Kombinationen pro Sekunde gegen einen MD5-Hash testen oder mehrere Hundert Millionen gegen bcrypt. Ausschlaggebend sind dann allein die Länge des Passworts und die Qualität des verwendeten Hashing-Verfahrens.

Bei einem Online-Angriff läuft jeder Versuch über das Netzwerk und den Server. Schutzmaßnahmen verändern die Gleichung grundlegend: progressive Verzögerung zwischen Versuchen, temporäre Sperrung nach mehreren Fehlversuchen, Captcha, Erkennung verdächtiger IP-Adressen. Schon eine Verzögerung von einer Sekunde zwischen den Versuchen macht ein 10-stelliges Passwort in der Praxis unangreifbar.

Ein korrekt geschützter Online-Dienst verträgt ein vernünftigerweise kürzeres Passwort als eine Datei, die potenziell exfiltriert und offline angegriffen werden kann.

Wie schützt ein Server gespeicherte Passwörter?

Im Falle eines Datenbankleaks ist es der Hashing-Algorithmus, der über die Widerstandsfähigkeit der Passwörter entscheidet. Nicht alle Algorithmen sind gleich gut.

MD5 und SHA1 sind veraltet: Sie lassen sich mit Milliarden von Versuchen pro Sekunde knacken. Bcrypt, bewusst auf Langsamkeit ausgelegt, gilt mit einstellbarem Rechenaufwand nach wie vor als bewährte Referenz. Argon2, Gewinner des Password Hashing Competition 2015, ist heute die empfohlene Wahl: Es widersteht Angriffen mit GPUs und Spezialschaltkreisen (ASICs).

Das Salt ergänzt den Schutz: Indem jedem Passwort vor dem Hashing ein einzigartiger Wert hinzugefügt wird, wird sichergestellt, dass zwei Nutzer mit demselben Passwort unterschiedliche Hashes erzeugen. Damit werden Rainbow-Table-Angriffe wirkungslos.

Warum legen manche Websites absurde Passwortregeln fest?

Weil ihre Systeme Passwörter serverseitig nicht korrekt verarbeiten. Eine Maximallänge von 10 oder 12 Zeichen, das Verbot bestimmter Sonderzeichen oder die Ablehnung bestimmter Kombinationen „aus Sicherheitsgründen" deuten häufig darauf hin, dass das Passwort im Klartext gespeichert oder schlecht gehasht wird.

Ein korrekt gehashtes Passwort (mit bcrypt oder Argon2) hat keinen Grund, in seiner Länge begrenzt zu sein. Wenn ein Dienst Sie daran hindert, ein langes, zufälliges Passwort zu verwenden, ist das ein Warnsignal für die allgemeine Qualität seiner Sicherheitsmaßnahmen.

Warum ist Passwortsicherheit in Unternehmen eine kollektive Aufgabe?

Weil ein einziges kompromittiertes Konto den gesamten gemeinsamen Arbeitsbereich gefährden kann: Daten von Kollegen, Kundendaten, den Ruf des Unternehmens.

Ein Mitarbeiter, der seinen Zugang zu einem Aufgaben-Tracking-Tool unzureichend sichert, mag das Risiko für gering halten. Aber dieses Tool enthält möglicherweise Spezifikationen, Kundenkommunikation und Informationen zur internen Architektur. Ein Angreifer, der durch diese Tür eindringt, kann sich lateral zu weitaus sensibleren Zielen vorarbeiten.

Passwortsicherheit im Team ist eine gemeinsame Verantwortung. Das rechtfertigt Verwaltungsfunktionen in einem Passwort-Manager: Mindestregeln durchsetzen, die Aktivierung der Zwei-Faktor-Authentifizierung durch jedes Mitglied überprüfen und Zugänge schnell entziehen können - ohne auf den guten Willen Einzelner angewiesen zu sein.

Das Wichtigste in Kürze

• Setzen Sie auf Länge statt Komplexität: 16 Kleinbuchstaben sind sicherer als 8 Zeichen aller Art.
• Streben Sie mindestens 12 Zeichen an, und 16 oder mehr für sensible Konten.
• Eine Passphrase für das, was Sie sich merken müssen - ein Generator für alles andere.
• Ändern Sie Passwörter nicht aus Routine: Das NIST rät davon offiziell seit 2017 ab.
• Ein einzigartiges Passwort pro Dienst: Credential Stuffing nutzt die Wiederverwendung in großem Maßstab aus.
• Im Team ist Passwortsicherheit eine kollektive Aufgabe: Ein einziges schwaches Konto gefährdet alle.