Was ein Passwort wirklich stark macht
Vier Eigenschaften zählen. Der meist wiederholte Rat betrifft die unwichtigste davon.
Die vier Eigenschaften
- Länge – der dominierende Faktor gegen Brute Force. Jedes Zeichen multipliziert den Suchraum.
- Zufälligkeit – unvorhersehbare Auswahl, damit Muster, Wörterbücher und Grammatik nicht greifen.
- Einmaligkeit – nie wiederverwendet, damit ein Leak anderswo dieses Konto nicht erreicht.
- Speicherung – in einem Passwortmanager statt im Kopf oder in einer Notizdatei.
Was ein Passwort nicht stark macht
Buchstaben durch Symbole zu ersetzen (p@ssw0rd) ist eine bekannte Umformung, die Knackwerkzeuge automatisch mitprobieren. Es kostet Tippgenauigkeit und bringt fast nichts.
Persönliche Angaben – Namen, Daten, Tiernamen, Lieblingsvereine – sind das Erste, was ein gezielter Angreifer versucht, und oft öffentlich einsehbar.
Komplexitätsregeln, die von jeder Zeichenklasse eines verlangen, führen zu Mustern wie „Sommer2024!“, die zugleich vorhersehbar und schwer zu merken sind.
Das praktische Rezept
Ein Passwortmanager hält pro Konto ein zufälliges Passwort mit 16 Zeichen. Für die wenigen Passwörter, die man auswendig können muss – das Master-Passwort des Managers, einen Gerätecode –, eine Passphrase aus sechs zufälligen Wörtern: rund 78 Bit und tatsächlich erinnerbar.
Dann das Speicherproblem lösen, denn es bricht alles andere: Ein wiederverwendetes Passwort macht aus jedem Leak eine Kette von Kontoübernahmen.
Häufige Fragen
Wie lang sollte ein starkes Passwort sein?
16 Zeichen aus dem vollen Satz, rund 103 Bit. Darüber verschiebt sich das Risiko vom Raten zum Phishing.
Sind Passwortgeneratoren vertrauenswürdig?
Ja, wenn sie lokal laufen und eine kryptografische Zufallsquelle nutzen. Die erste Eigenschaft lässt sich im Netzwerk-Tab des Browsers selbst überprüfen.
Ersetzt Zwei-Faktor-Authentifizierung ein starkes Passwort?
Sie deckt andere Fehler ab – Phishing und Credential Stuffing –, entschuldigt aber kein schwaches oder wiederverwendetes Passwort. Beides nutzen.