Sichere Passwörter und Passphrasen erzeugen — lokal im Browser.
Länge ist wichtiger als Sonderzeichen
Die Stärke eines Passworts hängt an der Zahl der möglichen Kombinationen. Jedes zusätzliche Zeichen vervielfacht sie, während ein zusätzlicher Zeichentyp sie nur verbreitert. Zwischen einem achtstelligen Passwort mit allen Zeichenarten und einem sechzehnstelligen aus Kleinbuchstaben liegen Größenordnungen — zugunsten des längeren.
Deshalb hat sich die Empfehlung verschoben: weg von kurzen, komplizierten Zeichenfolgen, hin zu langen Passwörtern. Mindestens 12 Zeichen, besser 16 oder mehr.
Wichtiger als jedes Passwort: keine Wiederverwendung
Der häufigste Weg, wie Konten übernommen werden, ist kein Knacken. Es ist das Ausprobieren erbeuteter Zugangsdaten bei anderen Diensten. Wenn dieselbe Kombination aus E-Mail und Passwort bei zehn Anbietern funktioniert, reicht ein einziges Datenleck.
Ein eigenes Passwort je Dienst begrenzt den Schaden. Genau dafür ist ein Passwortmanager gedacht — er speichert die Zugangsdaten verschlüsselt und füllt sie nur auf der richtigen Seite aus, was nebenbei vor gefälschten Anmeldeseiten schützt.
Die Passphrase für das, was man sich merken muss
Ein paar Passwörter muss man auswendig können: das Hauptpasswort des Managers, die Anmeldung am Rechner, vielleicht das Mailkonto. Dafür eignet sich eine Passphrase aus mehreren zufälligen Wörtern, etwa Kastanie-Nebel-Werkbank-Zitrone.
Entscheidend ist, dass die Wörter zufällig gewählt sind. Ein Zitat oder ein Satz aus dem eigenen Leben ist keine Passphrase, sondern ratbar. Der Passwort-Generator hat dafür einen eigenen Modus.
Was nicht mehr empfohlen wird
Regelmäßiger Wechsel ohne Anlass. Früher Standard, heute ausdrücklich nicht mehr empfohlen — auch nicht vom BSI. Der Grund: Wer alle drei Monate wechseln muss, wählt vorhersehbare Varianten wie Sommer2026!, gefolgt von Herbst2026!. Wechseln sollte man dann, wenn es einen Anlass gibt: ein Datenleck beim Anbieter oder ein Verdacht.
Erzwungene Zeichenregeln. Vorgaben wie „mindestens ein Sonderzeichen“ führen dazu, dass alle dasselbe tun: ein Ausrufezeichen ans Ende. Das erhöht die Sicherheit kaum.
Zwei-Faktor-Authentifizierung ist der größere Hebel
Ein zweiter Faktor — eine App, die alle 30 Sekunden einen Code erzeugt, oder ein Sicherheitsschlüssel — macht ein gestohlenes Passwort für sich genommen wertlos. Wo es angeboten wird, sollte man es aktivieren, besonders bei E-Mail-Konten. Denn wer Zugriff auf das Postfach hat, kann bei fast jedem anderen Dienst das Passwort zurücksetzen.
Als Verfahren ist eine Authenticator-App der SMS vorzuziehen, weil Mobilfunknummern durch Betrug beim Anbieter übernommen werden können.