Sicheres Passwort erstellen 2026: Schritt-für-Schritt-Anleitung
Praktische Methoden zur Erstellung wirklich sicherer Passwörter: die 14-Zeichen-Regel, Passphrasen mit Diceware und Aktivierung der 2FA.
Redakteur Technologie und Cybersicherheit
📋 Inhaltsverzeichnis
Warum Ihr aktuelles Passwort wahrscheinlich schwach ist
Laut NordPass waren die 10 meistgenutzten Passwörter in Deutschland 2025: 123456, password, qwerty, hallo, schalke, bayern, admin, 12345, 1234567, password1. Alle sind in weniger als 1 Sekunde von einem modernen Angreifer mit einer gängigen GPU zu knacken.
Dieser Leitfaden zeigt Ihnen, wie Sie wirklich sichere Passwörter erstellen, einen Manager verwenden, der sie für Sie speichert, und die Zwei-Faktor-Authentifizierung (2FA) für gestaffelten Schutz aktivieren.
Die Regel der 14 Zeichen + 3 Typen
Im Jahr 2026 ist der Branchenkonsens (NIST SP 800-63B, ENISA, BSI) klar: Ein gutes Passwort muss mindestens 14 Zeichen haben und 3 der 4 Typen kombinieren (Großbuchstaben, Kleinbuchstaben, Zahlen, Symbole). Je mehr Zeichen, desto exponentiell schwerer zu knacken.
Geschätzte Zeit zum Knacken (GPU RTX 4090 im Jahr 2026): 8 Zeichen = 5 Stunden; 10 Zeichen = 5 Jahre; 12 Zeichen = 30.000 Jahre; 14 Zeichen = 200 Millionen Jahre. Der Unterschied zwischen 8 und 14 ist buchstäblich der Unterschied zwischen 'in Stunden kompromittiert' und 'in der Praxis unmöglich'.
Methode 1: einprägsame Passphrase (empfohlen)
Verwenden Sie statt eines komplexen, schwer zu merkenden Passworts eine Passphrase: 4-5 zufällige Wörter, durch Symbole getrennt. Beispiel: Zitrone-7Berlin-Dach!Fenster. Hat 28 Zeichen, ist einprägsam und würde Millionen von Jahren zum Knacken brauchen.
Verwenden Sie die Diceware-Methode: 5 Würfel werfen → die offizielle Wortliste konsultieren → 4-5 Mal wiederholen. Echte Zufälligkeit. Sehen Sie sich unseren Passwort-Generator an, der dies automatisch macht.
Methode 2: Zufallsgenerator + Manager
Die sicherste Methode (und die wir empfehlen): Verwenden Sie einen Passwort-Manager, um vollständig zufällige Passwörter mit 20+ Zeichen zu generieren und zu speichern, und verwenden Sie eine einzige starke Master-Passphrase für den Manager.
Beispiel eines generierten Passworts: k#9Hp$mLv2@xQ8nT!eR4. Versuchen Sie nicht, es sich zu merken — der Manager füllt es automatisch in jedem Browser/App aus. Sie müssen sich nur das Master-Passwort des Managers merken.
Was Sie NIE tun sollten
Verwenden Sie nicht: Familiennamen, Geburtsdaten, Fußballvereine, Wörter aus dem Wörterbuch ohne Änderung, Tastatursequenzen (qwerty), offensichtliche Ersetzungen (P@ssw0rd) und verwenden Sie keine Passwörter zwischen Websites wieder.
Senden Sie keine Passwörter per E-Mail, WhatsApp oder SMS. Verwenden Sie die sichere Freigabe über einen Passwort-Manager (Bitwarden Send, 1Password Sharing).
Wenn Sie glauben, dass eines Ihrer Passwörter möglicherweise offengelegt wurde, prüfen Sie es sofort in unserem Daten-Leck-Prüfer und ändern Sie es auf der Originalseite.
Aktivieren Sie 2FA für alles Wichtige
Selbst das stärkste Passwort kann durch Phishing kompromittiert werden. Die Zwei-Faktor-Authentifizierung (2FA) fügt eine zweite Schicht hinzu: Der Angreifer benötigt zusätzlich zum Passwort den auf Ihrem Handy generierten Code.
Prioritäten: aktivieren Sie 2FA bei Haupt-E-Mail (Gmail, Outlook), Passwort-Manager, Bank, wichtigsten sozialen Netzwerken. Verwenden Sie nach Möglichkeit Authy oder Google Authenticator (Apps) statt SMS — SMS ist anfällig für SIM-Swapping.
Für kritische Konten erwägen Sie einen physischen YubiKey 5C NFC-Schlüssel (50-60 €). Virtuell unmöglich zu phishen.
Häufig gestellte Fragen (FAQ)
Soll ich das Passwort regelmäßig ändern?
Nein. Aktualisierte offizielle Empfehlung (NIST 2024, BSI): nur bei Verdacht auf ein Leck ändern. Verpflichtende regelmäßige Änderungen führen zu schwächeren Passwörtern (Wiederverwendung mit kleinen Varianten).
Kann ich das gleiche Passwort auf 'unwichtigen' Websites verwenden?
Nein. Selbst triviale Websites können Quelle für Credential Stuffing sein — Ihr 'unwichtiges' Passwort kann bei Gmail, Bank, Amazon ausprobiert werden. Verwenden Sie immer ein einzigartiges Passwort pro Website.
Sind 2FA-Apps besser als SMS?
Ja, deutlich. SMS ist anfällig für SIM-Swapping (Angreifer übertragen Ihre Nummer). Apps (Authy, Google Authenticator) sind offline und widerstandsfähiger. Für maximale Sicherheit: physischer YubiKey-Schlüssel.
Was ist eine Passphrase?
Eine Sequenz aus 4-5 zufälligen Wörtern, durch Symbole getrennt, z.B.: 'Zitrone-7Berlin-Dach!Fenster'. Hat eine Entropie, die einem komplexen Passwort entspricht, ist aber einprägsam.