Wie erstellt man ein sicheres Passwort?

Was macht ein Passwort wirklich sicher?

Ein Passwort ist sicher, wenn es lang, unvorhersehbar und einzigartig ist. Länge zählt dabei mehr als exotische Sonderzeichen: Jedes zusätzliche Zeichen vervielfacht die Zahl der Möglichkeiten, die ein Angreifer durchprobieren muss. Ein kurzes Kennwort mit Sonderzeichen wie Pa$$w0rt! ist deshalb schwächer als ein langer Satz aus normalen Wörtern.

Unvorhersehbar heißt: kein Muster, das ein Mensch oder eine Software erraten kann. Angreifer arbeiten mit Wortlisten aus Millionen echter, bereits geleakter Passwörter und kennen die typischen Tricks — Großbuchstabe am Anfang, Jahreszahl und Ausrufezeichen am Ende, ein „0“ statt „o“. Solche Varianten werden zuerst probiert.

Einzigartig heißt: ein Passwort für genau einen Zugang. Wird ein Kennwort bei einem Dienst gestohlen, testen Angreifer es automatisiert bei vielen anderen. Wer das Firmenpasswort auch privat nutzt, öffnet so über einen fremden Datenschutzvorfall die eigene Firmen-IT.

Wie lang sollte ein Passwort sein?

Für Benutzerkonten im Unternehmen empfehlen wir mindestens 12, besser 15 Zeichen; für Administratorkonten deutlich mehr. Das amerikanische Normungsinstitut NIST verlangt in seiner Richtlinie SP 800-63B für reine Passwort-Anmeldungen inzwischen mindestens 15 Zeichen und rät von starren Zusammensetzungsregeln ab. Auch das BSI betont im IT-Grundschutz, dass ein langes Passwort mit wenigen Zeichenarten genauso sicher sein kann wie ein kurzes, komplexes.

Die Länge ist der Hebel, den Sie selbst in der Hand haben. Eine Passphrase aus vier bis fünf zufälligen Wörtern kommt schnell auf 25 bis 35 Zeichen — und ist trotzdem leichter zu merken als acht wirre Zeichen.

Wie erstelle ich ein sicheres Passwort, das ich mir merken kann?

Bewährt haben sich zwei Methoden, die beide ohne Zettel unter der Tastatur auskommen.

1. Die Passphrase: Sie wählen vier oder fünf Wörter, die inhaltlich nichts miteinander zu tun haben, und verbinden sie mit einem Trennzeichen, zum Beispiel Leuchtturm-Hummel-Regenschirm-Kompass. Entscheidend ist, dass die Wörter wirklich zufällig sind — kein Sprichwort, kein Liedtext, kein Zitat. Eine kleine Zahl oder ein Sonderzeichen an ungewöhnlicher Stelle erhöht die Sicherheit zusätzlich.

2. Die Merksatz-Methode: Sie denken sich einen persönlichen, möglichst skurrilen Satz aus und nutzen ihn vollständig als Passwort — Leerzeichen und Satzzeichen sind meist erlaubt. Etwa: Unser Kater frisst dienstags 3 Gummibärchen! Wer es kürzer mag, nimmt die Anfangsbuchstaben: UKfd3G! ist allerdings nur 7 Zeichen lang und damit zu kurz. Die Abkürzung lohnt sich deshalb nur bei langen Sätzen.

Beide Beispiele hier sind ab sofort verbrannt — sie stehen öffentlich im Netz und landen in Wortlisten. Nutzen Sie das Prinzip, nie das Beispiel.

Welche Passwörter sollte man auf keinen Fall verwenden?

Die folgenden Muster knacken Angreifer zuerst, weil sie in fast jeder Firma vorkommen:

• Name, Benutzername, Firmen- oder Ortsname: „Mustermann2026!“ oder der Name der eigenen Stadt sind naheliegend und werden gezielt probiert. Windows lehnt Passwörter, die den Benutzernamen enthalten, bei aktiver Komplexitätsregel ohnehin ab.
• Jahreszeit plus Jahr: „Herbst2026!“ erfüllt formal jede Komplexitätsregel und ist trotzdem eines der häufigsten Passwörter in Unternehmen.
• Tastaturmuster und Ziffernfolgen: „qwertz“, „asdf1234“, „123456“.
• Persönliche Daten: Geburtstage, Namen von Kindern, Haustieren oder dem Lieblingsverein — vieles davon steht in sozialen Netzwerken.
• Wiederverwendete Passwörter: Ein Kennwort, das schon bei einem anderen Dienst im Einsatz ist, gilt als kompromittiert, sobald dieser Dienst ein Datenleck hat.

Ob ein Passwort bereits in bekannten Datenlecks aufgetaucht ist, lässt sich mit Diensten wie „Have I Been Pwned“ prüfen, ohne das Passwort preiszugeben. Gute Passwort-Richtlinien prüfen neue Kennwörter automatisch gegen solche Listen.

Wie gehen Angreifer beim Erraten von Passwörtern vor?

Die häufigste Methode gegen Unternehmen ist heute das Password Spraying: Angreifer nehmen eine Liste echter Benutzernamen — oft aus E-Mail-Adressen auf der Firmenwebsite zusammengestellt — und probieren bei jedem Konto nur wenige, sehr verbreitete Passwörter. So bleiben sie unter der Sperrschwelle einzelner Konten und hoffen, dass irgendwo „Herbst2026!“ passt. Zielscheibe sind von außen erreichbare Anmeldeseiten: Webportale für Remote-Zugriffe, VPN-Zugänge oder Cloud-Logins.

Ein typisches Bild aus unserem Betriebsalltag: Hunderte Anmeldeversuche pro Stunde aus Rechenzentrums-Netzen im Ausland, verteilt auf Dutzende Konten, darunter auch Funktionspostfächer wie bewerbung@ oder info@. Spürbar wird das für Mitarbeitende meist erst, wenn ihr Konto plötzlich gesperrt ist. Eine Kontosperre ist dann kein Ärgernis, sondern der Beleg, dass der Schutz greift — und ein Signal, die betroffenen Passwörter zu ändern.

Daneben gibt es Credential Stuffing (geleakte Zugangsdaten werden bei anderen Diensten ausprobiert) und Phishing, bei dem das Passwort auf einer gefälschten Anmeldeseite abgefragt wird. Gegen Phishing hilft auch das beste Passwort nicht — dafür braucht es den zweiten Faktor.

Was sollten Mitarbeitende tun, wenn ihr Konto gesperrt wurde?

Zuerst die IT informieren und nicht selbst immer wieder neue Anmeldeversuche starten — jeder weitere Fehlversuch verlängert die Sperre. Die IT gibt das Konto frei und prüft, woher die Fehlanmeldungen kommen: von einem eigenen Gerät mit altem gespeichertem Passwort, etwa dem Smartphone mit dem Firmen-Postfach, oder von außen.

Kommen die Versuche von außen, ist der nächste Schritt immer derselbe: das Passwort ändern, und zwar in ein neues, langes Kennwort nach den oben beschriebenen Regeln, nicht in eine Variante des alten. Danach auf allen Geräten neu anmelden — Laptop, Smartphone, Tablet —, damit kein Gerät mit dem alten Passwort weiter Fehlversuche erzeugt und das Konto erneut sperrt. Wer unsicher ist, ob ein Passwort gut genug ist, fragt die IT: Ein Blick auf die Länge und das Bildungsprinzip genügt, das Passwort selbst muss dafür niemand nennen.

Wie oft sollte man ein Passwort ändern?

Nur bei Anlass — nicht nach Kalender. Das BSI hat die Empfehlung zum regelmäßigen Passwortwechsel schon 2020 aus dem IT-Grundschutz gestrichen, und auch NIST rät davon ab. Erzwungene Wechsel alle 90 Tage führen in der Praxis zu schwächeren Passwörtern, weil Menschen nur eine Ziffer hochzählen.

Ein Anlass liegt vor, wenn ein Passwort in einem Datenleck auftaucht, versehentlich weitergegeben wurde, ein Gerät verloren ging oder — wie bei einem Password-Spraying-Angriff — gehäufte Anmeldeversuche auf Ihre Konten festgestellt werden. Dann sollten alle Betroffenen ihr Passwort zeitnah ändern. In Umgebungen, in denen das lokale Benutzerkonto mit Microsoft 365 synchronisiert wird, gilt das neue Passwort nach kurzer Zeit automatisch auch für E-Mail und Teams.

Reicht ein gutes Passwort allein aus?

Nein. Ein starkes Passwort ist die Grundlage, aber kein vollständiger Schutz. Erst die Mehrfaktor-Authentifizierung macht ein erratenes oder gestohlenes Passwort wertlos, weil zusätzlich das Smartphone oder ein Sicherheitsschlüssel bestätigen muss. Für alle Zugänge, die aus dem Internet erreichbar sind — E-Mail, Cloud, Remote-Arbeitsplatz, VPN —, sollte sie Pflicht sein. In Microsoft 365 lässt sie sich für alle Benutzer zentral erzwingen.

Für die vielen Zugänge, die nicht über die zentrale Firmenanmeldung laufen, ist ein Passwort-Manager das Mittel der Wahl: Er erzeugt für jeden Dienst ein eigenes, zufälliges Kennwort, und Sie merken sich nur noch eine einzige lange Passphrase.

Auf Unternehmensseite gehören dazu eine sinnvolle Passwort-Richtlinie (Mindestlänge statt Zwangswechsel), Sperrschwellen gegen massenhaftes Raten, keine öffentlich erreichbaren Anmeldeseiten ohne zweiten Faktor und eine Überwachung, die gehäufte Fehlanmeldungen früh meldet. Wie Ihre Umgebung hier aufgestellt ist, zeigt unser IT-Sicherheits-Kurzcheck; die Bausteine dahinter beschreibt die Seite IT-Sicherheit.