Sicheres Passwort erstellen: Was 2026 wirklich zählt

Ein einziges schwaches Passwort reicht oft aus, um ein ganzes digitales Leben offenzulegen – vom E-Mail-Postfach bis zum Online-Banking. Gleichzeitig hat sich in den letzten Jahren einiges getan: Passkeys sollen das klassische Passwort ablösen, Single Sign-On verspricht weniger Logins statt mehr, und Passwort-Manager sind längst kein Nischenwerkzeug für Technikfans mehr. Zeit für einen nüchternen Blick darauf, was davon wirklich schützt – und warum die Länge eines Passworts dabei so viel wichtiger ist, als die meisten denken.

Warum kurze Passwörter keine Chance haben

Wenn ein Onlinedienst gehackt wird, erbeuten Angreifer in der Regel nicht Ihr Passwort im Klartext, sondern einen sogenannten Hash – eine verschlüsselte, rechnerisch nicht umkehrbare Version davon. Das Problem: Diesen Hash können Angreifer offline auf eigener Hardware angreifen, ganz ohne Zeitlimit, ohne Kontosperre nach falschen Versuchen und ohne dass jemand eine Warnung bekommt. Sie probieren einfach systematisch Kombination um Kombination durch, bis eine passt. Genau das lässt sich mit spezialisierten Grafikkarten inzwischen erschreckend schnell erledigen.

Ein Beispiel macht das greifbar: Ein Passwort wie „Schmitz1992!“ erfüllt auf den ersten Blick fast jede Passwort-Richtlinie – acht Zeichen, Großbuchstabe, Zahl, Sonderzeichen. Trotzdem ist es in Sekunden geknackt. Der Grund: Angreifer raten nicht wahllos durch alle 70 hoch acht Kombinationen, sondern probieren zuerst systematisch das Naheliegende – gängige Nachnamen, plausible Geburts- oder Jahrestage, ein angehängtes Ausrufezeichen. Genau solche vorhersehbaren Muster stehen ganz oben auf den Listen, mit denen Cracking-Tools zuerst durchsuchen, lange bevor sie überhaupt zur reinen Brute-Force-Methode greifen müssen.

Wie groß der Unterschied zu einem tatsächlich zufälligen Passwort ist, hat die IT-Sicherheitsfirma Hive Systems Mitte Juli 2026 in ihrer jährlichen Analyse vorgerechnet: Ein wirklich zufällig generiertes, achtstelliges Passwort mit Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen hält einem Angreifer mit aktueller Cloud-Grafikkartenhardware im Schnitt rund 130 Jahre stand – vorausgesetzt, es folgt eben keinem erkennbaren Muster wie „Schmitz1992!“. Besteht das Passwort dagegen nur aus acht zufälligen Kleinbuchstaben, ist es in etwa zwei Wochen geknackt.

Die Mathematik dahinter: Warum jedes zusätzliche Zeichen so viel bringt

Der Grund, warum Länge fast immer wichtiger ist als Komplexität, liegt im sogenannten Zeichenraum: Bei einem Zeichenvorrat von 70 möglichen Zeichen (Klein- und Großbuchstaben, Ziffern, gängige Sonderzeichen) multipliziert sich die Anzahl möglicher Kombinationen mit jedem zusätzlichen Zeichen um den Faktor 70. Nicht addiert – multipliziert. Vier zusätzliche Zeichen bedeuten also nicht vier Mal, sondern rund 24 Millionen Mal mehr mögliche Kombinationen.

Rechnet man diesen Effekt anhand der von Hive Systems veröffentlichten Angriffsgeschwindigkeit hoch, ergibt sich ein anschauliches Bild dafür, wie exponentiell dieser Zuwachs tatsächlich ist:

Der Sprung von Zeile eins zu Zeile zwei ist der wichtigste in der ganzen Tabelle: Beide Passwörter haben acht Zeichen aus demselben Zeichensatz, trotzdem liegen Sekunden und 130 Jahre dazwischen – der einzige Unterschied ist, ob das Passwort einem menschlichen Muster folgt oder wirklich zufällig ist. Ab Zeile zwei zeigt sich dann der reine Längeneffekt: Jede weitere Prise Zeichen lässt die Zeit nicht linear, sondern explosionsartig wachsen.

Die beiden letzten Werte sind auf Basis der von Hive Systems veröffentlichten Methodik (Zeichenraum, Angriffsgeschwindigkeit, Hash-Verfahren) hochgerechnet und sollen vor allem eines zeigen: die Größenordnung des Sprungs. Die tatsächliche Zeit hängt in der Praxis stark davon ab, welches Hash-Verfahren ein Anbieter einsetzt und wie leistungsfähig die Angreifer-Hardware zum jeweiligen Zeitpunkt ist – die Tendenz bleibt aber immer dieselbe: Jedes zusätzliche Zeichen schlägt jede noch so kreative Zeichen-Spielerei wie „a“ durch „@“.

Was ein Passwort in der Praxis wirklich sicher macht

Aus diesen Zahlen lassen sich klare Konsequenzen ableiten. Zunächst zählt die Länge mehr als jeder Trick: Ein Passwort sollte mindestens 14 Zeichen umfassen, eher mehr. Statt sich ein kurzes, kompliziertes Passwort auszudenken, das ohnehin schwer zu merken ist, lohnt sich eine lange Passphrase aus mehreren zufälligen Wörtern – sie ist leichter im Kopf zu behalten und bietet durch die schiere Länge trotzdem enormen Schutz.

Genauso wichtig ist Einzigartigkeit: Jedes Konto braucht ein eigenes Passwort. Wird ein Dienst gehackt und Sie verwenden dasselbe Passwort woanders wieder, testen Angreifer es automatisch auch bei anderen Anbietern durch – ein als „Credential Stuffing“ bekanntes Verfahren, das für einen Großteil erfolgreicher Kontoübernahmen verantwortlich ist. Und schließlich sollten Passwörter möglichst zufällig sein: Geburtsdaten, Namen von Haustieren oder Familienmitgliedern, Städte oder Schulen, die Sie besucht haben, lassen sich oft über soziale Medien erraten oder stehen in gängigen Wortlisten, mit denen Angreifer zuerst suchen.

Passkeys: Das Ende des klassischen Passworts?

Passkeys verfolgen einen grundsätzlich anderen Ansatz als klassische Passwörter. Statt sich ein Geheimnis zu merken und bei jeder Anmeldung einzutippen, erzeugt Ihr Gerät bei der Einrichtung ein kryptografisches Schlüsselpaar: Ein öffentlicher Schlüssel wird beim jeweiligen Onlinedienst hinterlegt, der dazugehörige private Schlüssel verlässt niemals Ihr Gerät. Beim Login schickt der Dienst eine kleine Prüfaufgabe, die nur mit dem privaten Schlüssel korrekt beantwortet werden kann – entsperrt wird dieser Vorgang bequem per Fingerabdruck, Gesichtserkennung oder Geräte-PIN.

Der entscheidende Vorteil: Selbst wenn ein Dienst gehackt wird, erbeuten Angreifer nur den nutzlosen öffentlichen Schlüssel, nicht Ihr Geheimnis. Und da ein Passkey fest an die tatsächliche Adresse des Dienstes gebunden ist, funktioniert er auf gefälschten Phishing-Seiten schlicht nicht – ein Angriffsweg, der bei Passwörtern nach wie vor einer der häufigsten ist, fällt damit komplett weg. Der Standard dahinter heißt FIDO2/WebAuthn und wird inzwischen von Apple, Google und Microsoft unterstützt; viele Passwort-Manager können Passkeys mittlerweile ebenfalls speichern und geräteübergreifend synchronisieren. Nicht jeder Dienst bietet Passkeys bereits an, doch die Verbreitung wächst spürbar – ein guter Passwort-Manager verwaltet Passwörter und Passkeys deshalb am besten gemeinsam im selben Tresor.

Single Sign-On: Ein Login für viele Türen

Single Sign-On (SSO) löst ein anderes Problem: die schiere Zahl an Konten. Statt sich bei jeder einzelnen Anwendung separat anzumelden, meldet man sich einmal bei einem zentralen Identitätsanbieter an – etwa dem Microsoft- oder Google-Konto, oder im Unternehmenskontext bei Diensten wie Microsoft Entra ID oder Okta. Dieser bestätigt anschließend über Standards wie OAuth2, OpenID Connect oder SAML gegenüber jeder angebundenen Anwendung, dass Sie es tatsächlich sind, ohne dass Sie dort erneut ein Passwort eingeben müssen.

Für Unternehmen ist das ein echter Gewinn: Statt Dutzender Passwörter über verschiedene Cloud-Dienste hinweg zu verwalten, gibt es einen zentralen Punkt, über den sich auch der Zugriff scheidender Mitarbeiter mit einem Klick für alle verbundenen Systeme gleichzeitig entziehen lässt. Der Haken an der Sache: Wer das zentrale Konto knackt, hat potenziell Zugriff auf alles dahinter. Genau deshalb sollte gerade dieses eine zentrale Konto mit einem besonders langen Passwort und einer zusätzlichen Absicherung wie Zwei-Faktor-Authentifizierung oder einem Passkey geschützt werden – hier lohnt sich der zusätzliche Aufwand ganz besonders.

Passwort-Manager als Fundament

So gut die Theorie klingt: Sich für jedes einzelne Konto ein eigenes, langes und zufälliges Passwort auszudenken und zu merken, ist im Alltag kaum machbar. Genau dafür gibt es Passwort-Manager – digitale Tresore, die für jeden Dienst ein zufälliges, einzigartiges Passwort erzeugen, verschlüsselt speichern und beim Login automatisch ausfüllen. Man selbst muss sich nur noch ein einziges Master-Passwort merken. Die meisten modernen Passwort-Manager können inzwischen auch Passkeys verwalten und über mehrere Geräte hinweg synchronisieren.

Zwei Beispiele für verbreitete, quelloffene Lösungen sind Bitwarden, das seit Jahren für seine Transparenz und eine großzügige kostenlose Basisversion bekannt ist und sich auch selbst auf eigener Hardware betreiben lässt, sowie Proton Pass aus der Schweizer Proton-Familie, das zusätzlich E-Mail-Alias-Funktionen zum Schutz der eigenen Adresse mitbringt. Beide setzen auf Ende-zu-Ende-Verschlüsselung und wurden unabhängig geprüft – welches besser passt, hängt meist von Kleinigkeiten wie Bedienung, Preismodell oder bereits genutzten Diensten ab. Wichtiger als die Wahl des Anbieters ist ohnehin, überhaupt einen zu nutzen, statt Passwörter im Kopf, im Browser oder gar auf einem Zettel zu verwalten.

Der zusätzliche Riegel: Zwei-Faktor-Authentifizierung

Selbst das beste Passwort kann durch Phishing, Malware oder ein Datenleck bei einem Drittanbieter in falsche Hände geraten. Die Zwei-Faktor-Authentifizierung (2FA) fängt genau das ab: Zusätzlich zum Passwort ist ein zweiter Nachweis nötig, etwa ein Code aus einer Authenticator-App oder ein physischer Sicherheitsschlüssel. Wo immer ein Dienst das anbietet, lohnt sich die Aktivierung – besonders bei E-Mail-Postfächern und zentralen SSO-Konten, da über sie im Ernstfall der Zugriff auf alles andere möglich wäre.

Quelle für die Angaben zur Knackzeit: Hive Systems, Password Table 2026