Was ein starkes Passwort wirklich ausmacht

Modul 2: Passwörter und Anmeldung · Lesezeit: 9 Minuten

Lernziel: Nach dieser Lektion können Sie erklären, warum Länge und Einzigartigkeit wichtiger sind als ausgefallene Zeichen, und was die aktuelle NIST-Richtlinie über Passwörter sagt.

Kernbegriffe: Länge, Entropie, Passphrase, Wörterbuchangriff, Brute Force, Wiederverwendung, Pflicht zum Wechseln

Wie ein Passwort geknackt wird

Bei "ein Passwort knacken" denken viele Menschen an jemanden, der auf Ihrer Anmeldeseite rät. Das kommt vor, ist aber nicht die größte Bedrohung. Eine gute Anmeldeseite bremst nach einigen Fehlversuchen ab oder sperrt vorübergehend. Raten über die Vordertür geht also nur langsam.

Gefährlicher ist das Offline-Knacken. Eine Website speichert Ihr Passwort (im Idealfall) nicht selbst, sondern einen Hash: eine Art Fingerabdruck, aus dem sich das Passwort nicht direkt zurückrechnen lässt. Leckt die Datenbank eines Webshops, hat der Angreifer diese Fingerabdrücke auf seinen eigenen Rechnern. Dort gibt es keine Bremse. Er probiert so viele Passwörter aus, wie seine Hardware verarbeiten kann, und vergleicht jedes Ergebnis mit dem geleakten Fingerabdruck.

Dabei nutzt er zwei Methoden:

• Wörterbuchangriff: zuerst alles, was Menschen häufig wählen. Listen mit Millionen echten Passwörtern aus früheren Lecks, Wörter aus Wörterbüchern, Namen, Orte, Jahreszahlen. Dazu feste Regeln: Großbuchstabe am Anfang, Jahreszahl dahinter, Ausrufezeichen am Ende, a wird @, o wird 0.
• Brute Force: danach alle möglichen Zeichenkombinationen, von kurz nach lang.

Ein Passwort wie Zomer2026! wirkt stark: Großbuchstabe, Ziffern, Satzzeichen, zehn Zeichen. Aber es ist genau das Muster, das in diesen Regeln steckt: ein Wort, eine Jahreszahl, ein Zeichen. Ein solches Passwort fällt schon in der ersten Runde, lange bevor Brute Force beginnt.

Länge schlägt ausgefallene Zeichen

Wie stark ein Passwort ist, hängt davon ab, wie viele Möglichkeiten ein Angreifer ausprobieren muss. Diese Zahl berechnen Sie so: Anzahl möglicher Zeichen hoch Länge.

Auf einer normalen Tastatur gibt es 95 Zeichen, die Sie tippen können (Groß und Kleinbuchstaben, Ziffern, Satzzeichen und das Leerzeichen). Ein zufälliges Passwort mit 8 Zeichen hat dann 95 hoch 8 Möglichkeiten: etwa 6,63 × 10^15. Das klingt nach viel, ist aber mit schneller Hardware und einer schwachen Speichermethode innerhalb von Tagen durchsucht.

Jedes zusätzliche Zeichen vervielfacht die Anzahl mit 95. Eine zusätzliche Zeichenart (zum Beispiel Satzzeichen zu reinen Buchstaben hinzufügen) vervielfacht die Basis nur ein wenig. Deshalb bringt Länge viel mehr als Kompliziertheit.

Diese letzte Spalte ist die Entropie: ein Maß dafür, wie unvorhersehbar etwas ist, ausgedrückt in Bits. Einfach gesagt: Jedes zusätzliche Bit verdoppelt die Arbeit des Angreifers. Ein Passwort mit 65 Bits kostet also nicht ein bisschen, sondern etwa 4.000-mal mehr Arbeit als eines mit 53 Bits.

Wichtig: Diese Zahlen gelten nur, wenn das Passwort wirklich zufällig gewählt wurde. Ein Passwort, das Sie sich selbst ausdenken, ist fast nie zufällig. Bakkerij2026! hat dreizehn Zeichen, folgt aber vom Muster her genau dem, was auf jeder Knackliste steht.

Die Passphrase

Eine Passphrase ist ein Passwort, das aus mehreren einzelnen Wörtern besteht, zum Beispiel fünf oder sechs. Der Vorteil: lang und trotzdem merkbar und tippbar. Das niederländische NCSC empfiehlt, vier bis sechs Wörter zu wählen, die nichts miteinander zu tun haben, und sagt, dass ein langer Satz mit nur Kleinbuchstaben sicherer ist als ein kurzes Passwort mit allen Zeichenarten.

Eine Passphrase ist nur stark, wenn die Wörter zufällig gewählt wurden:

• Gut: ein Generator (in Ihrem Passwort-Manager) oder Würfel mit einer Wörterliste. Die bekannte Methode mit fünf Würfeln nutzt eine Liste von 7.776 Wörtern, weil 6 hoch 5 genau 7.776 ergibt. Die Ersteller einer solchen Liste empfehlen für die meisten Anwendungen sechs Wörter.
• Falsch: ein bekannter Satz, ein Liedtext, ein Sprichwort oder etwas über Sie selbst. ichliebemeinenhundbobby ist lang, aber die Wörter hängen zusammen und sind erratbar für jeden, der Sie kennt oder Ihre sozialen Medien liest.

Eine Passphrase ist immer noch ein Passwort. Sie verwenden sie an einer Stelle und teilen sie nicht.

Einzigartig ist wichtiger als kompliziert

Das stärkste Passwort hilft nichts, wenn Sie es an zwanzig Stellen verwenden. In Lektion 1.4 haben Sie Credential Stuffing kennengelernt: Eine geleakte E-Mail-Adresse mit Passwort wird automatisch bei Mail, Buchhaltung, Webshops und sozialen Medien ausprobiert. Leckt es beim schwächsten dieser zwanzig Dienste, stehen alle zwanzig offen.

Wiederverwendung ist daher in der Praxis die größte Schwäche. Und "ein paar Varianten" zählt nicht als einzigartig. Example!Mail und Example!Shop sind für einen Angreifer mit einem geleakten Passwort in wenigen Versuchen zu erraten.

Die Lösung ist nicht Merken, sondern Aufbewahren: Ein Passwort-Manager erstellt für jeden Dienst ein langes, zufälliges Passwort und merkt es sich für Sie. Das ist Lektion 2.2. Sie müssen sich dann nur noch wenige Dinge merken: das Hauptpasswort des Managers und gegebenenfalls das Passwort Ihres Computers.

Was die NIST-Richtlinie sagt

Das amerikanische NIST (National Institute of Standards and Technology) veröffentlicht die bekannteste Richtlinie für Anmeldungen: SP 800-63B. Die vierte Version wurde am 31. Juli 2025 endgültig verabschiedet. Viele Organisationen weltweit folgen ihr. Die wichtigsten Punkte für Passwörter:

• Ist das Passwort die einzige Anmeldemethode, dann mindestens 15 Zeichen. Ist es Teil der Zwei-Faktor-Authentifizierung, dann mindestens 8.
• Ein Dienst muss Passwörter mit mindestens 64 Zeichen zulassen.
• Keine Zusammensetzungsregeln: Ein Dienst darf nicht "mindestens einen Großbuchstaben, eine Ziffer und ein Satzzeichen" vorschreiben.
• Nicht periodisch wechseln lassen. Nur wechseln, wenn es einen Hinweis gibt, dass das Passwort geleakt ist.
• Neue Passwörter gegen eine Liste häufig genutzter und geleakter Passwörter prüfen.
• Einfügen und Passwort-Manager zulassen.
• Keine Sicherheitsfragen ("Name Ihres ersten Haustiers") und keine Passworthinweise.

Warum Zwangswechsel nicht mehr empfohlen wird

Jahrelang mussten Sie bei der Arbeit alle drei Monate ein neues Passwort wählen. Die Idee: Ein gestohlenes Passwort funktioniert dann nur kurz. In der Praxis machen Menschen Folgendes: Zomer2026! wird zu Herfst2026!, danach Winter2026!. Ein Angreifer mit dem alten Passwort errät das neue in wenigen Versuchen. Und wer sich ständig ein neues Passwort ausdenken muss, wählt kürzere und schreibt sie auf einen Zettel.

Der Zwangswechsel macht Passwörter also vorhersehbarer. Wechseln Sie aber sofort, wenn es einen Grund gibt: eine Meldung über ein Leck, eine verdächtige Anmeldung, ein Kollege, der das Unternehmen verlässt und das Passwort kannte, oder wenn Sie es versehentlich irgendwo eingegeben haben.

In der Praxis: eine Passwortrichtlinie auf einer Seite

Für ein kleines Unternehmen wie die Bäckerei Example genügt eine kurze Richtlinie:

1. Jedes Konto hat ein eigenes, persönliches Passwort. Kein gemeinsamer Zugang für info@example.com, dessen Passwort fünf Personen kennen.
2. Passwörter erstellt der Passwort-Manager: zufällig, mindestens 15 Zeichen, oder eine Passphrase aus mindestens fünf zufälligen Wörtern, die Sie tippen müssen.
3. Nie dasselbe Passwort an zwei Stellen.
4. Zwei-Faktor-Authentifizierung aktivieren für Mail, Buchhaltung, Bank, Hosting und Domainregistrierung (Lektion 2.3).
5. Wechseln nur aus einem bestimmten Grund, und dann sofort.
6. Passwörter nie per Mail, Chat oder auf einem Zettel am Bildschirm.

Auch Ihr Hosting-Panel folgt dieser Linie. In der Umgebung von WebOké können Sie zum Beispiel beim DA-Passwort und bei Postfächern ein zufälliges Passwort generieren lassen; bei anderen Panels heißt diese Schaltfläche oft "Generate" oder "Erzeugen". Lassen Sie einen solchen Generator immer mindestens 15 Zeichen erstellen; häufig können Sie die Länge selbst wählen.

Zusammenfassung

• Angreifer knacken Passwörter vor allem offline, nach einem Leck, mit Listen und Regeln. Vorhersehbare Muster fallen sofort.
• Länge und echte Zufälligkeit bringen viel mehr als ausgefallene Zeichen. Jedes Bit Entropie verdoppelt die Arbeit.
• Eine Passphrase aus zufällig gewählten Wörtern ist lang und trotzdem zu merken.
• Einzigartig ist wichtiger als kompliziert: Wiederverwendung macht aus einem Leck zwanzig Lecks.
• NIST SP 800-63B-4: mindestens 15 Zeichen als einziger Faktor, keine Zusammensetzungsregeln, kein periodischer Wechsel, aber Abgleich mit geleakten Passwörtern.

Quiz

Aufgabe

Aufgabe A2.1: Rechnen und bewerten. Sie geben an keiner Stelle ein eigenes Passwort ein. Teil 1: Berechnen Sie, wie viele Möglichkeiten eine Passphrase und ein zufälliges Passwort haben (Sie erhalten die Anzahl der Wörter und Zeichen), welches von beiden stärker ist und um wie viel. Teil 2: Bewerten Sie sechs erfundene Beispielpasswörter: vorhersehbar, zu kurz, wiederverwendet oder stark. Das Programm prüft die Antworten und gibt zu jeder eine Erklärung.

Weiterführende Informationen

Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.

• DirectAdmin Anleitung 3.7: Sichere Passwörter und was Sie bei einem geleakten Passwort tun
• Wie ändere ich das Passwort oder die Limits meiner E-Mail-Adresse?
• Niederländisches NCSC, Tipps zum Erstellen eines starken Passworts (Niederländisch): https://www.ncsc.nl/multifactor-authenticatie/tips-voor-het-bedenken-van-een-sterk-wachtwoord
• Niederländisches NCSC, Vier Schritte zu sichereren Passwörtern (Niederländisch): https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken
• NIST SP 800-63B-4, Authentication and Authenticator Management (Englisch): https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (Englisch, die Wortliste mit Würfeln): https://www.eff.org/dice