Passwörter: Was Sie tun
und was Sie lassen sollten

Wenn jedes Passwort einzigartig und lang ist und von einem Passwort-Manager verwaltet wird, müssen Sie es nicht nach Kalender ändern: Ändern Sie es, wenn es einen Anlass gibt. So steht es in der Richtlinie zur digitalen Identität des US-amerikanischen NIST (SP 800-63B), an der sich viele Organisationen orientieren: Sie verbietet, regelmäßige Wechsel zu verlangen, und schreibt vor, einen Wechsel zu erzwingen, sobald Hinweise vorliegen, dass das Passwort kompromittiert wurde. Der Grund ist praktisch: Wer sein Passwort jeden Monat ändern muss, landet bei „Sommer2026!“ und danach bei „Herbst2026!“, und das schützt vor nichts. Das spanische OSI von INCIBE rät zwar noch, Passwörter mindestens alle sechs Monate zu überprüfen, aber niemand Ernstzunehmendes empfiehlt einen monatlichen Wechsel. Gründe, es sofort zu ändern: eine Mitteilung, dass der Dienst von einem Datenleck betroffen ist, eine Anmeldung, die Sie nicht kennen, die Eingabe auf einer verdächtigen Seite oder dass Sie es jemandem am Telefon genannt haben.

Ja – und es ist ein besserer Korb als die tatsächliche Alternative, nämlich dasselbe Passwort auf zwanzig Websites oder ein Notizbuch neben dem Computer. Der Passwort-Manager speichert die Passwörter verschlüsselt und öffnet sie nur mit einem Master-Passwort, das Sie nie aus der Hand geben; wird irgendein Dienst gehackt, erbeutet der Angreifer ein Passwort, das sonst nirgends funktioniert. Das OSI von INCIBE empfiehlt Passwort-Manager genau deshalb, und die NIST-Richtlinie verpflichtet Dienste, Passwort-Manager und automatisches Ausfüllen zuzulassen. Was es allerdings verlangt, ist, auf den Korb aufzupassen: ein langes Master-Passwort, das Sie nirgendwo sonst verwenden, die Zwei-Faktor-Authentifizierung im Passwort-Manager selbst und ein Plan für den Fall, dass Sie es vergessen, denn ohne Master-Passwort lässt sich nicht wiederherstellen, was darin gespeichert ist. Schon der Manager, der im Browser oder im Handy-Betriebssystem enthalten ist, ist viel besser als gar keiner.

Einen langen Satz, den Sie sich merken können und der öffentlich nichts mit Ihnen zu tun hat: vier oder fünf Wörter ohne Zusammenhang, mit Leerzeichen, wenn der Dienst sie zulässt. Die Länge zählt mehr als ausgefallene Sonderzeichen: Die NIST-Richtlinie verlangt mindestens 15 Zeichen, wenn das Passwort der einzige Schutz eines Kontos ist, und rät von Zusammensetzungsregeln wie „ein Großbuchstabe, eine Zahl und ein Sonderzeichen“ ab. Vermeiden Sie Sprichwörter, Liedtexte, den Namen des Hundes oder das Hochzeitsdatum – genau das wird zuerst ausprobiert. Dies ist das einzige Passwort, das Sie sich merken müssen, also lohnt es sich, fünf Minuten dafür aufzuwenden und es einmal auf Papier zu notieren, aufbewahrt an einem Ort in der Wohnung, der nicht die Schreibtischschublade ist, bis Sie es auswendig können. Und aktivieren Sie die Zwei-Faktor-Authentifizierung im Passwort-Manager.

Weil es alle anderen öffnet. Fast jeder Dienst, vom Onlineshop über das soziale Netzwerk bis zum Rechnungsprogramm, lässt Sie das Passwort über einen Link zurücksetzen, den er an Ihre E-Mail-Adresse schickt. Wer das Postfach kontrolliert, kann diesen Link auf jeder Website anfordern und die Konten eins nach dem anderen übernehmen, ohne ein weiteres Passwort zu kennen. Außerdem kann er von Ihrem Konto aus Ihren Kunden oder Ihrer Familie schreiben und sich als Sie ausgeben – so beginnen viele gefälschte Rechnungen. Deshalb verdient das E-Mail-Konto Ihr bestes Passwort, das sich von allen anderen unterscheidet, die Zwei-Faktor-Authentifizierung mit der stärksten Methode, die es unterstützt, und ab und zu eine Kontrolle der offenen Sitzungen und der Weiterleitungsregeln. Wenn Sie diese Woche nur ein Konto gut absichern, dann dieses.

Es ist viel besser als gar kein zweiter Faktor und schlechter als die Alternativen. Die SMS hängt an Ihrer Telefonleitung, und es gibt Betrugsmaschen, bei denen jemand ein Duplikat Ihrer SIM-Karte erschleicht oder Ihre Nachrichten umleitet; außerdem lässt sich der Code jemandem vorlesen, der anruft und sich als Ihre Bank ausgibt. Die NIST-Richtlinie stuft SMS als „eingeschränkte“ Methode ein und hält sie nicht für Phishing-resistent. Eine Authenticator-App auf dem Handy erzeugt den Code unabhängig von der Leitung und verhindert so den SIM-Tausch-Betrug, schützt Sie aber trotzdem nicht, wenn Sie den Code selbst auf einer gefälschten Seite eintippen. Hardware-Sicherheitsschlüssel und Passkeys gehen einen Schritt weiter: Sie funktionieren nur auf der echten Website. Nutzen Sie bei jedem Dienst die stärkste angebotene Methode und SMS nur dort, wo es keine andere Möglichkeit gibt.

Genau dafür bietet Ihnen jeder Dienst beim Aktivieren Wiederherstellungscodes an: eine Liste von Einmalcodes, mit denen Sie sich ohne Handy anmelden können. Drucken Sie sie aus oder speichern Sie sie außerhalb des Telefons, im Passwort-Manager oder auf Papier zu Hause, und lassen Sie sie nicht als Screenshot auf genau dem Handy liegen, das Sie verlieren können. Wenn der Dienst es erlaubt, richten Sie eine zweite Methode ein: ein weiteres Gerät, einen Ersatz-Sicherheitsschlüssel oder eine Ersatz-Telefonnummer. Die gängigsten Authenticator-Apps erlauben außerdem, ihre Codes zu sichern und auf ein neues Handy zu übertragen; prüfen Sie das, bevor Sie das Telefon wechseln, nicht danach. Ein verlorenes Handy ohne all das ist meist nicht endgültig, macht aber die Wiederherstellung jedes Kontos zu einem langwierigen Verfahren mit dem Support jedes einzelnen Dienstes, und mancher löst es nie.

Ein Notizbuch zu Hause ist sicherer als dasselbe Passwort überall, denn um es zu lesen, muss man in Ihre Wohnung gelangen, und die meisten Angriffe kommen aus dem Internet, nicht aus dem Wohnzimmer. Das Problem des Notizbuchs ist weniger der Diebstahl als der Rest: Man kann es nicht bequem mitnehmen, es erzeugt keine langen Passwörter, es verleitet zu kurzen, damit das Abschreiben nicht ermüdet, und im Büro endet es als Haftzettel am Monitor – genau dort, wo es nicht hingehört. Für einen älteren Menschen, der drei Dienste nutzt, kann es eine vernünftige Lösung sein. Für jeden mit mehr als zehn Konten oder für ein Unternehmen mit Kundendaten gewinnt der Passwort-Manager mit Abstand: Er merkt sich, erzeugt und füllt aus. Was sich nie empfiehlt, ist ein ungeschütztes Dokument namens „Passwörter“ auf dem Computer-Desktop.

Viele Passwort-Manager und die gängigen Browser warnen Sie inzwischen von selbst: Sie gleichen Ihre gespeicherten Passwörter mit Listen geleakter Passwörter ab, ohne sie im Klartext zu senden, und zeigen an, welche kompromittiert oder mehrfach verwendet sind. Sehen Sie sich diesen Bereich ab und zu an; er heißt meist „Sicherheitscheck“ oder „Passwortprüfung“. Auch die Dienste selbst können Sie per E-Mail benachrichtigen, wenn sie von einem Datenleck betroffen sind; melden Sie sich in diesem Fall an, indem Sie die Adresse selbst in den Browser eingeben, nicht über den Link in der Nachricht – falls die Warnung gefälscht ist. Wird ein Passwort als geleakt angezeigt, ändern Sie es bei diesem Dienst und überall dort, wo Sie es ebenfalls verwendet haben. Und wenn Ihnen etwas merkwürdig vorkommt, etwa Anmeldungen, die Sie nicht kennen, gesendete Nachrichten, die Sie nicht geschrieben haben, oder E-Mail-Regeln, die Sie nicht angelegt haben, warten Sie nicht auf eine Warnung: Ändern Sie das Passwort und beenden Sie die offenen Sitzungen.