Grundlagen

Sicheres Passwort erstellen: worauf es wirklich ankommt

„Mindestens ein Großbuchstabe, eine Zahl und ein Sonderzeichen“ – solche Regeln führen zu Passwörtern wie „Sommer2026!“, die Angreifer in Sekunden erraten. Was ein Passwort wirklich sicher macht, ist einfacher: Länge, echter Zufall und für jedes Konto ein eigenes. Hier steht, wie du dahin kommst.

Die Kurzfassung

• Lang: mindestens 12, besser 16 Zeichen – oder eine Passphrase aus 5–6 Wörtern.
• Zufällig: vom Generator erzeugt, nicht ausgedacht.
• Einmalig: für jedes Konto ein eigenes Passwort.
• Gespeichert in einem Passwort-Manager – und wo möglich mit Zwei-Faktor-Anmeldung abgesichert.

Wie lang muss ein Passwort sein?

Das BSI nennt zwei Wege zum gleichen Ziel: Entweder ist ein Passwort lang und darf dafür einfacher aufgebaut sein – etwa 20 bis 25 Zeichen aus zwei Zeichenarten, zum Beispiel eine Folge von Wörtern –, oder es ist kürzer (8 bis 12 Zeichen) und nutzt dafür alle vier Zeichenarten. Für WLAN-Passwörter empfiehlt es mindestens 20 Zeichen. Grundsätzlich gilt: Je länger, desto besser.

Warum Länge so viel ausmacht, zeigt eine einfache Rechnung. Jedes zusätzliche Zeichen vervielfacht die Zahl der Möglichkeiten. Bei einem Angreifer, der 10 Milliarden Passwörter pro Sekunde durchprobiert (realistisch für gestohlene Datenbanken mit schwacher Verschlüsselung):

Die Zahlen gelten nur für zufällige Passwörter. Ein ausgedachtes Passwort mit 12 Zeichen ist oft in Minuten geknackt – siehe nächster Abschnitt.

Warum Zufall wichtiger ist als Sonderzeichen

Angreifer probieren nicht stur alle Kombinationen durch. Sie beginnen mit Listen geleakter Passwörter, Wörterbüchern, Namen und Jahreszahlen – und wenden darauf die typischen „Tricks“ an: großer Anfangsbuchstabe, Zahl und Ausrufezeichen am Ende, „a“ durch „@“ ersetzt. Ein Passwort wie Sommer2026! erfüllt jede Komplexitätsregel und fällt trotzdem in den ersten Sekunden.

Ein Generator dagegen wählt jedes Zeichen mit echtem Zufall – im Browser über crypto.getRandomValues, denselben Zufallsgenerator, den auch Verschlüsselung nutzt. Dann gibt es kein Muster, das ein Angreifer ausnutzen könnte, und die Rechnung oben stimmt tatsächlich.

Typische Fehler

Ob ein vorhandenes Passwort solche Muster enthält, zeigt der Passwort-Check – lokal im Browser, ohne dass das Passwort gesendet wird.

Wie soll man sich das merken?

Gar nicht – zumindest nicht alle. Ein Passwort-Manager (z. B. Bitwarden, 1Password, KeePassXC oder der in Browser und Smartphone eingebaute) speichert beliebig viele zufällige Passwörter verschlüsselt und füllt sie automatisch aus. Merken musst du dir dann nur noch ein einziges Master-Passwort.

Für dieses eine Passwort – und für alles, was du regelmäßig von Hand eintippst, etwa den Login am Computer – ist eine Passphrase ideal: mehrere zufällige Wörter wie Garten-Wolke-Tinte-Reise-Kater. Die kann man sich nach ein paar Tagen merken, und sie ist trotzdem sehr sicher.

Mehr als ein gutes Passwort

• Zwei-Faktor-Anmeldung (2FA) einschalten, besonders bei E-Mail, Banking, Cloud und sozialen Netzwerken. Dann reicht das Passwort allein nicht mehr.
• Passkeys nutzen, wo angeboten: Sie ersetzen das Passwort ganz und lassen sich nicht abfischen.
• Nicht regelmäßig ändern – das BSI hat diese Empfehlung gestrichen. Ändern solltest du ein Passwort, wenn ein Dienst gehackt wurde oder du einen Verdacht hast.
• Das E-Mail-Konto besonders schützen: Wer es übernimmt, kann bei fast allen anderen Diensten das Passwort zurücksetzen.

Häufige Fragen