Was ein starkes Passwort wirklich ausmacht

Modul 2: Passwörter und Anmeldung · Lesezeit: 9 Minuten

Lernziel: Nach dieser Lektion können Sie erklären, warum Länge und Einzigartigkeit wichtiger sind als ungewöhnliche Zeichen, und wissen, was die aktuelle NIST-Richtlinie zu Passwörtern besagt.

Kernbegriffe: Länge, Entropie, Passphrase, Wörterbuchangriff, Brute-Force, Wiederverwendung, verpflichtender Wechsel

Wie ein Passwort geknackt wird

Bei „ein Passwort knacken" denken viele Menschen an jemanden, der auf Ihrer Anmeldeseite rät. Das kommt vor, ist aber nicht die größte Gefahr. Eine gute Anmeldeseite bremst nach einigen falschen Versuchen ab oder blockiert vorübergehend. Raten über die Vordertür geht also nur langsam.

Gefährlicher ist das Offline-Knacken. Eine Website speichert Ihr Passwort (im Idealfall) nicht selbst, sondern einen Hash: eine Art Fingerabdruck, aus dem Sie das Passwort nicht direkt zurückrechnen können. Wird die Datenbank eines Webshops geleakt, hat der Angreifer diese Fingerabdrücke auf seinen eigenen Rechnern. Dort gibt es keine Bremse. Er probiert so viele Passwörter wie seine Hardware verkraftet und vergleicht jedes Ergebnis mit dem geleakten Fingerabdruck.

Dabei nutzt er zwei Methoden:

• Wörterbuchangriff: zuerst alles, was Menschen häufig wählen. Listen mit Millionen echter Passwörter aus früheren Lecks, Wörter aus Wörterbüchern, Namen, Orte, Jahreszahlen. Dazu feste Regeln: Großbuchstabe am Anfang, Jahreszahl dahinter, Ausrufezeichen am Ende, a wird @, o wird 0.
• Brute-Force: danach alle möglichen Zeichenkombinationen, von kurz nach lang.

Ein Passwort wie Sommer2026! wirkt stark: Großbuchstabe, Zahlen, Satzzeichen, zehn Zeichen. Aber genau das ist das Muster, das in diesen Regeln steckt: ein Wort, eine Jahreszahl, ein Zeichen. So ein Passwort fällt schon in der ersten Runde, lange bevor Brute-Force überhaupt beginnt.

Länge schlägt ungewöhnliche Zeichen

Wie stark ein Passwort ist, hängt davon ab, wie viele Möglichkeiten ein Angreifer durchprobieren muss. Diese Zahl berechnen Sie so: Anzahl möglicher Zeichen hoch Länge.

Auf einer gewöhnlichen Tastatur gibt es 95 Zeichen, die Sie eingeben können (Buchstaben groß und klein, Zahlen, Satzzeichen und das Leerzeichen). Ein zufälliges Passwort mit 8 Zeichen hat dann 95 hoch 8 Möglichkeiten: etwa 6,63 × 10^15. Das wirkt viel, aber mit schneller Hardware und einer schwachen Speichermethode ist das innerhalb weniger Tage durchprobiert.

Jedes zusätzliche Zeichen vervielfacht die Anzahl mit 95. Eine zusätzliche Zeichenart (zum Beispiel Satzzeichen zu reinen Buchstaben hinzufügen) vervielfacht die Basis nur wenig. Deshalb bringt Länge deutlich mehr als Kompliziertheit.

Diese letzte Spalte ist die Entropie: ein Maß dafür, wie unvorhersehbar etwas ist, ausgedrückt in Bits. In einfachen Worten: Jedes zusätzliche Bit verdoppelt den Aufwand des Angreifers. Ein Passwort mit 65 Bit kostet also nicht ein bisschen, sondern etwa 4.000-mal mehr Aufwand als eines mit 53 Bit.

Wichtig: Diese Zahlen gelten nur, wenn das Passwort wirklich zufällig gewählt wurde. Ein Passwort, das Sie sich selbst ausdenken, ist fast nie zufällig. Baeckerei2026! hat dreizehn Zeichen, folgt vom Muster her aber genau dem, was in jeder Knackliste steht.

Die Passphrase

Eine Passphrase ist ein Passwort, das aus mehreren einzelnen Wörtern besteht, zum Beispiel fünf oder sechs. Der Vorteil: lang, und trotzdem zu merken und zu tippen. Das BSI empfiehlt, mehrere Wörter zu wählen, die nichts miteinander zu tun haben, und ein langer Satz mit nur Kleinbuchstaben ist sicherer als ein kurzes Passwort mit allen Zeichenarten.

Eine Passphrase ist nur stark, wenn die Wörter zufällig gewählt sind:

• Gut: ein Generator (in Ihrem Passwort-Manager) oder Würfel mit einer Wortliste. Die bekannte Methode mit fünf Würfeln nutzt eine Liste von 7.776 Wörtern, weil 6 hoch 5 genau 7.776 ergibt. Die Macher einer solchen Liste empfehlen für die meisten Anwendungen sechs Wörter.
• Falsch: ein bekannter Satz, ein Songtext, ein Sprichwort oder etwas über Sie selbst. ichliebemeinenhundbobby ist lang, aber die Wörter hängen zusammen und sind erratbar für jemanden, der Sie kennt oder Ihre Social-Media-Profile liest.

Eine Passphrase ist immer noch ein Passwort. Sie verwenden sie an einer Stelle und geben sie nicht weiter.

Einzigartig ist wichtiger als kompliziert

Das stärkste Passwort hilft nicht, wenn Sie es an zwanzig Stellen verwenden. In Lektion 1.4 haben Sie Credential Stuffing kennengelernt: Eine geleakte E-Mail-Adresse mit Passwort wird automatisch bei Mail, Buchhaltung, Webshops und Social Media ausprobiert. Leckt es bei dem schwächsten dieser zwanzig Dienste, stehen alle zwanzig offen.

Wiederverwendung ist deshalb in der Praxis die größte Schwachstelle. Und „ein paar Varianten" zählt nicht als einzigartig. Beispiel!Mail und Beispiel!Shop sind für einen Angreifer mit einem geleakten Passwort in wenigen Versuchen zu erraten.

Die Lösung ist nicht Merken, sondern Verwahren: Ein Passwort-Manager erstellt für jeden Dienst ein langes, zufälliges Passwort und merkt es sich für Sie. Das ist Thema von Lektion 2.2. Sie müssen sich dann nur noch wenige Dinge merken: das Hauptpasswort des Managers und gegebenenfalls das Passwort Ihres Computers.

Was die NIST-Richtlinie sagt

Das amerikanische NIST (National Institute of Standards and Technology) veröffentlicht die bekannteste Richtlinie zur Anmeldung: SP 800-63B. Die vierte Version wurde am 31. Juli 2025 endgültig verabschiedet. Viele Organisationen weltweit folgen ihr. Die wichtigsten Punkte zu Passwörtern:

• Ist das Passwort die einzige Art der Anmeldung, dann mindestens 15 Zeichen. Ist es Teil einer Zwei-Faktor-Authentifizierung, dann mindestens 8.
• Ein Dienst muss Passwörter mit mindestens 64 Zeichen zulassen.
• Keine Zusammensetzungsregeln: Ein Dienst darf nicht verlangen „mindestens einen Großbuchstaben, eine Zahl und ein Satzzeichen".
• Nicht regelmäßig wechseln lassen. Nur wechseln, wenn es einen Hinweis gibt, dass das Passwort geleakt wurde.
• Neue Passwörter gegen eine Liste häufig verwendeter und geleakter Passwörter prüfen.
• Einfügen und Passwort-Manager zulassen.
• Keine Sicherheitsfragen („Name Ihres ersten Haustiers") und keine Passworthinweise.

Warum verpflichtender Wechsel nicht mehr empfohlen wird

Jahrelang mussten Sie an Ihrem Arbeitsplatz alle drei Monate ein neues Passwort wählen. Die Idee: Ein gestohlenes Passwort funktioniert dann nur kurze Zeit. In der Praxis machen Menschen Folgendes: Sommer2026! wird zu Herbst2026!, danach Winter2026!. Ein Angreifer mit dem alten Passwort errät das neue in wenigen Versuchen. Und wer sich ständig ein neues Passwort ausdenken muss, wählt kürzere und schreibt sie auf einen Zettel.

Verpflichtender Wechsel macht Passwörter also vorhersehbarer. Wechseln Sie aber sofort, wenn es einen Grund gibt: eine Meldung über ein Leck, eine ungewöhnliche Anmeldung, eine Kollegin oder ein Kollege, die oder der das Unternehmen verlässt und das Passwort kannte, oder wenn Sie es versehentlich irgendwo eingegeben haben.

In der Praxis: eine Passwortrichtlinie auf einer Seite

Für ein kleines Unternehmen wie die Bäckerei Example reicht eine kurze Richtlinie:

1. Jedes Konto hat ein eigenes, persönliches Passwort. Kein gemeinsamer Zugang für info@example.com, dessen Passwort fünf Personen kennen.
2. Passwörter erstellt der Passwort-Manager: zufällig, mindestens 15 Zeichen, oder eine Passphrase aus mindestens fünf zufälligen Wörtern, die Sie selbst eintippen müssen.
3. Niemals dasselbe Passwort an zwei Stellen.
4. Zwei-Faktor-Authentifizierung aktivieren bei Mail, Buchhaltung, Bank, Hosting und Domainregistrierung (Lektion 2.3).
5. Wechseln nur mit Grund, und dann sofort.
6. Passwörter niemals per Mail, Chat oder auf einem Zettel am Bildschirm.

Auch Ihr Hosting-Panel folgt dieser Linie. In der WebOké-Umgebung können Sie zum Beispiel beim DA-Passwort und bei Postfächern ein zufälliges Passwort erstellen lassen; bei anderen Panels heißt diese Schaltfläche oft „Generieren" oder „Generate". Lassen Sie einen solchen Generator immer mindestens 15 Zeichen erstellen; häufig können Sie die Länge selbst wählen.

Zusammenfassung

• Angreifer knacken vor allem offline, nach einem Leck, mit Listen und Regeln. Vorhersehbare Muster fallen sofort.
• Länge und echte Zufälligkeit bringen deutlich mehr als ungewöhnliche Zeichen. Jedes Bit Entropie verdoppelt den Aufwand.
• Eine Passphrase aus zufällig gewählten Wörtern ist lang und trotzdem zu merken.
• Einzigartig ist wichtiger als kompliziert: Wiederverwendung macht aus einem Leck zwanzig Lecks.
• NIST SP 800-63B-4: mindestens 15 Zeichen als einziger Faktor, keine Zusammensetzungsregeln, kein regelmäßiger Wechsel, wohl aber ein Abgleich mit geleakten Passwörtern.

Quiz

Aufgabe

Aufgabe A2.1: Rechnen und bewerten. Sie geben an keiner Stelle ein eigenes Passwort ein. Teil 1: Berechnen Sie, wie viele Möglichkeiten eine Passphrase und ein zufälliges Passwort haben (Sie erhalten die Anzahl der Wörter und Zeichen), welches von beiden stärker ist und um wie viel Mal. Teil 2: Beurteilen Sie sechs erfundene Beispielpasswörter: vorhersehbar, zu kurz, wiederverwendet oder stark. Das Programm rechnet nach und gibt zu jeder Antwort eine Erklärung.

Weiterführende Informationen

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es vergleichbar.

• DirectAdmin Anleitung 3.7: Sichere Passwörter und was Sie bei einem geleakten Passwort tun
• Wie ändere ich das Passwort oder die Limits meiner E-Mail-Adresse?
• BSI, Empfehlungen für sichere Passwörter: https://www.bsi.bund.de/
• BSI, Tipps zur sicheren Nutzung von Passwörtern: https://www.bsi.bund.de/
• NIST SP 800-63B-4, Authentication and Authenticator Management (Englisch): https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (Englisch, die Wortliste mit Würfeln): https://www.eff.org/dice