Starke Passwörter – so geht's

Wie kommen Diebe an Passwörter?

Dass andere an Ihre Passwörter kommen, kann vor allem zwei Gründe haben:

1. Durch Datenleaks bei großen online agierenden Unternehmen gelangen immer wieder Millionen Benutzernamen und Passwörter in die Hände von Kriminellen. Das Hasso-Plattner-Institut (HPI) der Uni Potsdam geht längst von Milliarden betroffener Nutzerkonten aus. Die ergaunerten Passwörter und persönliche Informationen der Inhaber kursieren in langen Listen, häufig im sogenannten Darknet, und können theoretisch von jedem im Netz gefunden werden.
   
   Wer davon betroffen ist, sollte dringend seine Passwörter ändern. Ob Ihre E-Mail-Adresse betroffen ist, können Sie online beim HPI prüfen lassen.
    
2. Neben solchen Datenleaks ist ein schlecht gewähltes Passwort nach wie vor die am meisten genutzte Sicherheitslücke im Internet. Denn Hacker können es mit Hilfe bestimmter Programme rasch herausfinden. Diese Programme testen in Sekundenschnelle unterschiedliche Buchstaben- und Zahlenkombinationen, etwa aus Wörterbüchern, in Verbindung mit Zahlenkombinationen.
   
   Nach Angaben des HPI werden die Kombinationen "123456", "123456789" und "password" am häufigsten als Passworte genutzt. Unsicherer als damit geht es kaum!

Denkbar ist außerdem, dass Fremde per Phishing, also beispielsweise mit manipulierten E-Mails, an Ihre Login-Daten kommen. Was Sie bei verdächtigen E-Mails beachten sollten, finden Sie in unserem Phishing-Bereich.

Um sicher im Netz unterwegs zu sein, ist darum besonders wichtig:

1. Nutzen Sie möglichst für jeden Dienst ein eigenes Passwort. Gibt es bei einem der Portale eine Sicherheitslücke, über die Zugangsdaten wie Passwörter und Benutzername abhandengekommen sind, können sich Kriminelle mit den ergaunerten Daten nicht in alle Ihre anderen Accounts einloggen.
2. Wählen Sie möglichst starke Passwörter, die sich nicht leicht erraten lassen.

Die wichtigsten Tipps auf einen Blick liefert das Bundesamt für Sicherheit in der Informationstechnik (BSI) auf einem Faktenblatt.

6 Regeln für starke Passwörter

1. Grundsätzlich gilt: Je länger das Passwort, desto besser.
   1. Ein Passwort sollte mindestens 8 (besser 12) Zeichen lang sein – dann aber auch aus vier Zeichenarten bestehen. Das heißt aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen (z.B. § $ % & ! ?).
   2. Ein langes Passwort, das mindestens 25 Zeichen oder länger ist, kann hingegen auch aus zwei Zeichenarten bestehen.
2. Es sollte nicht in einem Wörterbuch zu finden sein oder mit Ihnen und Ihrer Familie im Zusammenhang stehen. Verwenden Sie also keine Namen, Geburtsdaten, Telefonnummern oder Ähnliches.
3. Es sollte keine bloße Zahlenfolge (12345…), keine alphabetische Buchstabenfolge (abcdef…) und keine Reihe benachbarter Tasten auf der Tastatur (qwertz…) darstellen.
4. Je sensibler ein Zugang ist (etwa beim Online-Banking), umso mehr Sorgfalt sollten Sie bei der Auswahl eines starken Passworts walten lassen. Falls der Anbieter keine Zeichenbegrenzung für das Passwort vorsieht, gilt: Je länger, desto besser!
5. Wählen Sie nicht das gleiche Passwort für mehrere Portale, sondern legen Sie für jeden genutzten Dienst bzw. jeden Ihrer Online-Accounts eigene Passwörter an.
6. Ändern Sie ein Passwort, wenn es Ihnen von einem Anbieter übermittelt wurde und Sie sich das erste Mal dort angemeldet haben. Weitere Gründe zum Ändern des Codes wären, dass Ihr Online-Dienstleister Sie dazu auffordert, große Datenlecks bekannt werden oder Ihr Gerät mit Schadsoftware infiziert worden ist.

So erstellen Sie starke Passwörter

• Bauen Sie sich Eselsbrücken beim Passwortbau, indem Sie sich beispielsweise einen Satz überlegen, der Ihnen immer wieder einfallen wird und von dem Sie jeweils nur den ersten Buchstaben der einzelnen Wörter sowie die Satzzeichen nutzen. Am besten ist es, wenn Sie einen solchen Satz frei erfunden und nicht irgendwo gelesen haben.
• Lange Passwörter, die mindestens 25 Zeichen lang sind, können zum Beispiel aus mehreren aufeinanderfolgenden Wörtern bestehen, die durch Sonderzeichen Ihrer Wahl voneinander getrennt sind.
• So unbequem das auch sein mag: Verwenden Sie auch starke Passwörter nicht für mehrere Dienste! Kommen Kriminelle an das Passwort beispielsweise durch einen erfolgreichen Phishing-Angriff oder aufgrund eines Datenlecks bei einem Anbieter, haben diese gleich Zugriff auf alle Accounts, für die das Passwort verwendet wird.
• Sie können starke Passworte auch mit speziellen Passwort-Managern erstellen lassen und verwalten. So behalten Sie einen guten Überblick über all ihre Passwörter.

Nutzen sie einen zweiten Faktor als zusätzlichen Schutz

Da selbst das stärkste Passwort nicht unknackbar ist und bei einem Datenleck oder erfolgreichem Phishing-Angriff schnell in falsche Hände geraten kann, bieten Passwörter allein nicht den bestmöglichen Account-Schutz. Daher empfehlen wir, Online-Accounts mit einer Zwei-Faktor-Authentisierung (2FA) zusätzlich zu schützen, wo immer diese Möglichkeit angeboten wird. Oft wird sie auch als Zwei-Faktor-Authentifizierung bezeichnet. Sie ist quasi wie ein zweites Sicherheitsschloss. Bei der 2FA wird die Identität nicht nur mit dem Passwort, sondern mit einem zweiten Faktor bestätigt. Damit wird es Kriminellen erschwert, auf Daten zuzugreifen, selbst wenn ihnen das Passwort bekannt sein sollte. Bei diesem zweiten Faktor kann es sich beispielsweise um einen Bestätigungscode per E-Mail, eine SMS-TAN, eine Authenticator-App oder ein Einmal-Passwort handeln. Mittlerweile sind auch biometrische Verfahren sehr verbreitet, beispielsweise Gesichts- oder Fingerabdruckscans über das Smartphone.

Halten Sie Passwort-Listen geheim

Notieren Sie sich – wenn überhaupt – das Passwort an einem geschützten Ort, nicht auf einem Zettel am PC, nicht in Ihrer Brieftasche oder gesammelt in Ihrem Kalender. Auch auf Computer und Smartphone gilt: Legen Sie sich dort keine ungeschützten Dateien mit Passwörtern an, die Fremde ohne weiteres öffnen können.

Sollten Sie Passwörter auf Ihrem PC oder Smartphone speichern wollen, nutzen Sie dafür lieber geeignete Passwort-Manager und sichern Sie den Zugang zu diesem mit einem starken Master-Passwort. Verschicken Sie Passwörter nicht per E-Mail, SMS oder auf einem ähnlichen Weg!

Seien Sie vorsichtig damit, Passwörter in Ihrer Software zu speichern, z.B. im E-Mail-Programm, dem Browser, auf dem Smartphone etc.! Speichern die Programme Ihre Daten unverschlüsselt und/oder ist das Gerät selbst nicht gut geschützt, können andere mit Ihrem PC oder Smartphone Zugriff auf Ihre Nutzerkonten bekommen.

Passwort-Manager helfen beim Erstellen und Merken

Komplizierte Passwörter erstellen, für jedes Nutzerkonto ein eigenes haben und sich alle ohne Zugriff für Dritte merken: Eine gute Hilfe dabei können Passwort-Manager sein. Im Internet finden Sie diverse Software, mit der Sie Ihre Passwörter verwalten und verschlüsselt speichern können. Die Stiftung Warentest hat im Januar 2022 Testergebnisse für 14 Passwort-Manager veröffentlicht.

Nutzen Sie einen Passwort-Manager, dann müssen Sie ein zentrales Passwort wählen, ein sogenanntes Master-Passwort, mit dem sich die Software starten und die gespeicherten Passwörter anzeigen lassen. Das Master-Passwort sollte ganz besonders sein. Wählen Sie am besten ein besonders langes Passwort, mit 25 Zeichen oder mehr. Sagen Sie es niemandem, schreiben Sie es nicht auf und nutzen Sie den Passwort-Manager nicht auf ungeschützten, fremden Geräten, die mit Schadsoftware infiziert sein könnten.

Passkeys als Alternative zu Passwörtern

Seit einigen Jahren gibt es das Passkey-Verfahren, das die Anmeldung bei Online-Diensten ganz ohne Passwörter ermöglicht. Damit besteht auch nicht mehr die Gefahr, dass Kriminelle Passwörter zum Beispiel bei einem Phishing-Angriff oder Datenleck abgreifen können. Passkeys sind lange, zufällig generierte Zeichenketten, offen und herstellerunabhängig. Sie werden von einem sogenannten Authenticator erstellt und dort auch gespeichert, sobald man sich bei einem Online-Dienst, der dieses Verfahren unterstützt, registriert. Gleichzeitig wird ein zum jeweiligen Passkey (auch privater Schlüssel genannt) passender öffentlicher Schlüssel erzeugt und beim Anbieter hinterlegt. Der Authenticator kann zum Beispiel ein FIDO2-Stick sein (ein spezielles Gerät ähnlich wie ein USB-Stick), ein Computerprogramm oder eine Smartphone-App. Bei der nächsten Anmeldung wird dann im Hintergrund durch das Zusammenspiel mehrerer Komponenten die Identität des Nutzers oder der Nutzerin bestätigt.

Nutzer:innen selbst müssen beim Login in den Online-Account kein Passwort mehr eingeben, sondern nur noch den Zugriff auf die Passkeys im Authenticator bestätigen, per Fingerabdruck, Gesichtsscan oder durch die Eingabe einer PIN. Falls Kriminelle beispielsweise durch einen Datenleck beim Anbieter Zugriff auf die dort gespeicherten öffentlichen Schlüssel bekommen sollten, können sie damit nichts anfangen. Denn diese alleine funktionieren nur in Kombination mit dem jeweils passenden privaten Schlüssel, dem Passkey.

Tipps über sichere Passwörter hinaus

Sicheres Entsperren von Smartphones

Auf dem Smartphone ist es besonders bequem, Passwörter in den Apps abspeichern zu lassen, sodass man sie nicht bei jedem Start neu eingeben muss. Das birgt zusätzliche Risiken. Wird das Smartphone gestohlen, könnte der Dieb Zugang zu Online-Banking und anderen Konten bekommen. Speichern Sie darum möglichst wenige Passwörter auf Ihrem Gerät.

Viele Smartphones lassen sich verschlüsseln – nutzen Sie diese Möglichkeit, nicht nur wenn Sie Passwörter auf dem Gerät speichern.

Außerdem sollten Sie eine automatische Bildschirmsperre einrichten und eine möglichst sichere Methode zum Entsperren wählen. Wir geben Tipps dafür, welche Vor- und Nachteile Muster, Fingerabdrücke und Co. haben.

Single-Sign-On / Login-Allianzen

Von Anbietern wie Facebook, Google, Amazon oder auch "Verimi" sowie "NetID" gibt es Lösungen, sich bei anderen Apps und Seiten mit deren Login-Daten anzumelden. Das Verfahren heißt "Single-Sign-On". Das sehen die Verbraucherzentralen nicht nur unter Aspekten des Datenschutzes kritisch, denn so können diese Firmen etwa erfahren, wann Sie sich wo angemeldet haben. Ein zentraler Login bei einem dieser Dienste bedeutet auch, dass Kriminelle bei einem Datenleck dort besonders leichten Zugriff auf viele Ihrer übrigen Nutzerkonten haben können.