Passwörter sind für die meisten Konten noch immer die wichtigste Hürde zwischen Angreifern und Ihren Daten. Doch wie sicher ist ein Passwort eigentlich – und woran erkennt man das? Dieser Ratgeber erklärt, wie Passwörter in der Praxis geknackt werden, was ein wirklich starkes Passwort ausmacht und wie Sie herausfinden, ob Ihr Passwort bereits in einem Datenleck kursiert.
Die kurze Antwort
Die Sicherheit eines Passworts hängt vor allem von drei Dingen ab: seiner Länge, seiner Unvorhersehbarkeit und davon, ob es einzigartig ist. Ein kurzes oder leicht zu erratendes Passwort ist schnell geknackt, ein langes, zufälliges dagegen kaum. Und selbst das stärkste Passwort nützt wenig, wenn Sie es auf mehreren Diensten verwenden und einer davon gehackt wird. Wie schnell ein Angriff gelingt, hängt zudem vom Angriffsszenario ab.
Wie Angreifer Passwörter knacken
Um einzuschätzen, was ein Passwort sicher macht, hilft ein Blick auf die typischen Angriffswege:
- Brute Force: Der Computer probiert automatisiert Zeichenkombinationen durch. Je länger das Passwort, desto schneller wird das praktisch unmöglich – jede zusätzliche Stelle vervielfacht den Aufwand.
- Wörterbuch-Angriff: Gezielt werden gängige Wörter, Namen und bekannte Passwörter wie „Passwort123“ durchprobiert. Einzelne Wörterbuchbegriffe sind schnell geknackt – mehrere unabhängig und zufällig gewählte Wörter ergeben dagegen eine starke Passphrase.
- Credential Stuffing: Angreifer nutzen Zugangsdaten aus früheren Datenlecks und probieren sie bei anderen Diensten durch. Deshalb ist ein für mehrere Konten genutztes Passwort so gefährlich: Ein einziges Leck öffnet viele Türen.
- Phishing: Oft wird ein Passwort gar nicht geknackt, sondern schlicht abgefragt – über eine gefälschte Anmeldeseite. Dagegen hilft kein noch so langes Passwort, sondern Aufmerksamkeit und Zwei-Faktor-Authentifizierung.
Was ein starkes Passwort ausmacht
Aus diesen Angriffswegen folgen einige klare Regeln:
- Länge vor Komplexität: Länge ist wichtiger als möglichst viele Sonderzeichen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) stellt je nach Länge unterschiedliche Anforderungen an die Zeichenvielfalt – kurze Passwörter müssen komplex sein, lange dürfen einfacher aufgebaut sein. Gut merkbar und zugleich stark ist eine Passphrase aus mehreren zufälligen Wörtern.
- Für jeden Dienst ein eigenes: Kein Passwort doppelt verwenden. So verhindern Sie, dass ein geleaktes Passwort unmittelbar auch andere Konten öffnet.
- Keine persönlichen Bezüge: Namen, Geburtsdaten oder der Name des Haustiers sind leicht zu erraten und oft öffentlich auffindbar.
- Nicht nach starrem Zeitplan wechseln: Anders als früher empfohlen raten BSI und internationale Stellen inzwischen davon ab, Passwörter routinemäßig zu ändern. Besteht aber ein konkreter Verdacht – etwa nach einem Datenleck –, ist der Wechsel Pflicht, nicht nur sinnvoll.
Passwortmanager und Zwei-Faktor-Authentifizierung
Niemand kann sich Dutzende langer, einzigartiger Passwörter merken – und das muss auch niemand. Ein Passwortmanager erzeugt und speichert für jeden Dienst ein eigenes starkes Passwort; Sie merken sich nur noch ein einziges, möglichst langes Master-Passwort.
Noch wichtiger als jedes Passwort ist die Zwei-Faktor-Authentifizierung (2FA): Selbst wenn ein Passwort in falsche Hände gerät, fehlt dem Angreifer der zweite Faktor. 2FA senkt das Risiko erheblich – je nach Verfahren kann aber auch sie durch Echtzeit-Phishing ausgehebelt werden. Besonders robust sind daher phishing-resistente Verfahren wie FIDO2-Sicherheitsschlüssel oder Passkeys. Aktivieren Sie 2FA überall dort, wo es angeboten wird.
Steht mein Passwort schon in einem Datenleck?
Selbst ein eigentlich starkes Passwort ist unsicher, wenn es bereits in einem Datenleck aufgetaucht ist: Angreifer sammeln Millionen erbeuteter Passwörter und probieren sie systematisch durch. Deshalb lohnt es sich zu prüfen, ob Ihr Passwort bereits bekannt ist.
Genau das leistet der kostenlose Passwort-Check von Serancon – und zwar datensparsam: Sie geben ein Passwort ein, es wird direkt in Ihrem Browser in einen Fingerabdruck (Hash) umgewandelt, und nur die ersten fünf Zeichen dieses Fingerabdrucks werden an die „Pwned Passwords“-Datenbank von Have I Been Pwned übertragen. Ihr Passwort selbst verlässt Ihr Gerät nie und wird nicht gespeichert. Abgeglichen wird gegen mehrere hundert Millionen bekannte, geleakte Passwörter – kostenlos und ohne Konto.
Taucht Ihr Passwort dort auf, ist es Angreifern bekannt und sollte überall sofort ersetzt werden, wo Sie es verwenden. Ein negativer Treffer bedeutet umgekehrt nicht, dass das Passwort sicher ist – nur, dass es noch in keinem bekannten Leck steht.
Fazit
Wie sicher ein Passwort ist, entscheidet sich an Länge, Unvorhersehbarkeit und Einzigartigkeit – nicht an möglichst vielen Sonderzeichen. Lange Passphrasen, für jeden Dienst ein eigenes Passwort, ein Passwortmanager und phishing-resistente Zwei-Faktor-Authentifizierung bilden zusammen einen sehr belastbaren Schutz. Prüfen Sie mit dem Passwort-Check, ob Ihr Passwort bereits in einem Leck steht. Fragen dazu beantworten wir gern über das Kontaktformular.