Starke Passwörter und Passwortmanager: Praktischer Leitfaden

Starke Passwörter zu erstellen gehört zu den günstigsten und wirksamsten Maßnahmen, um Ihre Konten zu schützen. Trotzdem verwenden die meisten von uns dieselben wenigen Passwörter auf Dutzenden Websites. Dieser Leitfaden erklärt, wie ein gutes Passwort aussieht, warum jedes Konto ein eigenes braucht und wie ein Passwortmanager Ihr Gedächtnis entlastet.

Was macht ein Passwort stark?

Ein starkes Passwort ist schwer zu erraten, wird nirgendwo sonst verwendet und wird nie weitergegeben. Der mit Abstand wichtigste Faktor ist nicht Komplexität, sondern Länge. Ein Passwort wie „P@ssw0rd!“ wirkt kompliziert, ist aber kurz und folgt Mustern, die jeder kennt. Eine lange Phrase aus unzusammenhängenden Wörtern ist sicherer und leichter zu merken.

Eine praktische Faustregel:

• Machen Sie es lang. Streben Sie mindestens 14 bis 16 Zeichen an, bei wichtigen Konten noch länger.
• Machen Sie es zufällig. Vermeiden Sie Geburtstage, Haustiernamen, Mannschaftsnamen oder Telefonnummern: alles, was Menschen in Ihrem Umfeld erraten könnten.
• Machen Sie es einzigartig. Jedes Konto bekommt ein Passwort, das sich vollständig von den anderen unterscheidet.
• Verzichten Sie auf vorhersehbare Tricks. Eine „1“ am Ende anzuhängen, Buchstaben durch Ziffern zu ersetzen oder Reihen wie „123456“ zu verwenden, täuscht niemanden.

Die Passphrase-Methode

Für die wenigen Passwörter, die Sie sich merken müssen (etwa das Hauptpasswort Ihres Passwortmanagers und Ihre E-Mail-Adresse), eignet sich eine Passphrase aus vier oder fünf zufälligen Wörtern. Wählen Sie die Wörter wirklich zufällig, nicht aus einem Gedicht oder Lied. Nutzen Sie möglichst Würfel oder einen Generator, der im Passwortmanager integriert ist. Ein Trennzeichen und eine oder zwei Ziffern genügen als Ergänzung.

Warum Sie Passwörter nicht wiederverwenden sollten

Das größte Passwortrisiko ist nicht Schwäche, sondern Wiederverwendung. Wenn ein Dienst ein Datenleck erleidet, werden die erbeuteten Kombinationen aus E-Mail-Adresse und Passwort auf anderen Websites ausprobiert. Verwenden Sie ein Passwort an mehreren Stellen, gefährdet ein einziges Leck alle. Deshalb sollten Ihre Konten für soziale Netzwerke, E-Mail, Banking und Shopping jeweils eigene Passwörter haben.

Ihr E-Mail-Konto ist das wichtigste, weil die meisten Dienste ihren Link „Passwort vergessen“ dorthin schicken. Wer Zugriff auf Ihre E-Mail hat, findet oft einen Weg in Ihre anderen Konten. Geben Sie Ihrer E-Mail-Adresse ein einzigartiges, langes Passwort und aktivieren Sie die Zwei-Schritt-Verifizierung.

Was ist ein Passwortmanager und warum hilft er?

Ein Passwortmanager speichert alle Ihre Passwörter in einem verschlüsselten Tresor und fügt sie bei Bedarf ein. Sie merken sich ein starkes Hauptpasswort, der Tresor erledigt den Rest. Dadurch bekommen Sie Folgendes:

1. Erzeugung einzigartiger Passwörter. Für jedes Konto wird ein langes, zufälliges Passwort erstellt, das Sie nie auswendig lernen müssen.
2. Automatisches Ausfüllen. Passwörter werden nur auf der richtigen Adresse eingefügt, was zugleich als Warnung vor gefälschten Anmeldeseiten dient. Bietet der Manager das Ausfüllen nicht an, ist das ein Warnzeichen.
3. Synchronisierung. Sie greifen auf denselben Tresor auf Smartphone, Tablet und Computer zu.
4. Berichte über schwache und wiederverwendete Passwörter. Viele Manager markieren Passwörter, die schwach, alt oder doppelt sind.
5. Sichere Notizen. Wiederherstellungscodes, persönliche Notizen und Kartendaten können im selben Tresor liegen.

Welche Art sollten Sie wählen?

| Option | Vorteile | Worauf Sie achten sollten |
|---|---|---|
| Integrierter Browser-Manager | Keine zusätzliche Einrichtung, einfach zu bedienen | Hängt stark von der Sicherheit des Geräts und Kontos ab; das Übertragen von Daten zwischen Browsern kann eingeschränkt sein |
| Eigenständiger Passwortmanager | Funktioniert plattformübergreifend, bietet zusätzliche Funktionen | Sie dürfen das Hauptpasswort nicht vergessen und sollten Wiederherstellungsoptionen einrichten |
| Offline-Tresor (lokal) | Die Daten bleiben nur auf Ihrem Gerät | Backups und Synchronisierung liegen in Ihrer Verantwortung |

Egal, wofür Sie sich entscheiden: Prüfen Sie, ob das Produkt regelmäßig aktualisiert wird und erklärt, wie es die Verschlüsselung umsetzt.

Schritt für Schritt zum Passwortmanager wechseln

Sie müssen nicht an einem Tag jedes Passwort ändern. Gehen Sie in dieser Reihenfolge vor:

1. Wählen Sie einen Passwortmanager und legen Sie ein langes, einzigartiges Hauptpasswort fest. Verwenden Sie es für nichts anderes.
2. Notieren Sie die Wiederherstellungsinformationen (einen Wiederherstellungsschlüssel oder -code) auf Papier und bewahren Sie sie sicher auf. Wenn Sie das Hauptpasswort vergessen, können die meisten Manager Ihnen nicht mehr helfen.
3. Aktivieren Sie die Zwei-Schritt-Verifizierung für den Manager selbst. Um Optionen zu vergleichen, lesen Sie unseren Artikel zu den Verfahren der Zwei-Schritt-Verifizierung.
4. Ersetzen Sie Passwörter durch generierte, beginnend mit der E-Mail-Adresse, dann Banking, soziale Netzwerke und Shopping.
5. Arbeiten Sie ältere Konten nach und nach ab. Das Löschen von Konten, die Sie nicht mehr nutzen, verringert ebenfalls Ihre Angriffsfläche.

Häufige Fehler

• Passwörter in Browser-Notizen, Handynotizen oder einer Textdatei aufbewahren. Ist das Gerät kompromittiert, liegt alles offen.
• Passwörter an sich selbst per E-Mail oder Nachricht schicken. Diese Nachrichten können jahrelang im Archiv liegen.
• Ein Passwort ändern, indem man nur eine Ziffer ans Ende setzt.
• Wörterbuchpasswörter aus einzelnen Wörtern verwenden.
• Echte Antworten auf Sicherheitsfragen geben. Angaben wie der Mädchenname der Mutter lassen sich oft in sozialen Netzwerken finden. Verwenden Sie stattdessen zufällige Antworten, die Sie im Tresor speichern.
• Passwörter auf einem gemeinsam genutzten Gerät speichern. Nutzen Sie an öffentlichen Computern keine Funktion „Angemeldet bleiben“.

Ein Passwort allein reicht nicht

Auch das beste Passwort kann eines Tages abfließen. Deshalb sollten Sie eine zweite Schutzebene ergänzen: die Zwei-Schritt-Verifizierung. Ein SMS-Code ist besser als nichts, aber eine Authenticator-App oder ein Sicherheitsschlüssel ist widerstandsfähiger. Passkeys, die eine Anmeldung ohne Passwort ermöglichen, werden ebenfalls immer üblicher.

Wenn Sie sich nur zum Ausprobieren oder für eine einmalige Registrierung bei einem Dienst anmelden, müssen Sie nicht Ihre echte Telefonnummer angeben. Eine virtuelle Nummer ermöglicht den Empfang des Bestätigungscodes, ohne Ihre eigene Nummer preiszugeben. Beachten Sie, dass virtuelle Nummern nur einmal verwendbar sind. Wenn Sie das Konto behalten möchten, ergänzen Sie daher einen Passwortmanager, eine Wiederherstellungs-E-Mail-Adresse und die Zwei-Schritt-Verifizierung. Manche Plattformen schränken virtuelle Nummern ein; halten Sie sich immer an die Nutzungsbedingungen der jeweiligen Plattform. Aktuelle Optionen finden Sie auf unserer Preisseite.

Häufig gestellte Fragen

Ist ein Passwortmanager nicht ein einzelner Schwachpunkt?

Das ist ein berechtigter Einwand. Deshalb sollten Sie das Hauptpasswort lang halten, die Zwei-Schritt-Verifizierung aktivieren und die Wiederherstellungsinformationen offline aufbewahren. Das ist meist deutlich sicherer, als sich auf wiederverwendete, schwache Passwörter zu verlassen.

Wie oft sollte ich meine Passwörter ändern?

Sie müssen nicht nach festem Zeitplan jedes Passwort wechseln. Ein starkes, einzigartiges Passwort muss nicht geändert werden, solange kein Verdacht auf ein Leck besteht. Ändern Sie es sofort, wenn ein Dienst einen Einbruch meldet oder Sie ungewöhnliche Aktivitäten bemerken.

Ist es sicher, Passwörter in einem Notizbuch aufzuschreiben?

Ein Papier-Notizbuch, das zu Hause sicher verwahrt wird, ist für die meisten Online-Angriffe unerreichbar, kann aber verloren gehen. Einige wichtige Angaben wie das Hauptpasswort und den Wiederherstellungsschlüssel auf Papier festzuhalten, ist vernünftig. Alle Ihre Passwörter dort aufzuschreiben, ist dagegen unpraktisch.

Reicht es, Passwörter im Browser zu speichern?

Das ist besser als gar keine Speicherung, hängt aber von der Sicherheit Ihres Geräts und Ihres Browserkontos ab. Richten Sie eine Bildschirmsperre ein und aktivieren Sie die Zwei-Schritt-Verifizierung für das Konto. Wenn Sie mehr Funktionen wünschen, ziehen Sie einen eigenständigen Manager in Betracht.