Sichere Passwörter erstellen, ohne sie dir merken zu müssen

Die meisten Passwörter sind aus dem gleichen Grund unsicher: Sie sollen sich ein Mensch merken. Genau das macht sie kurz, vorhersehbar und wiederverwendet. Die gute Nachricht ist, dass du dieses Problem einmal löst und danach nie wieder darüber nachdenken musst.

Länge schlägt Komplexität

Jahrelang hieß es, ein gutes Passwort brauche Großbuchstaben, Zahlen und Sonderzeichen. Das stimmt nur halb. Ein Angreifer probiert Passwörter nicht von Hand, sondern mit Programmen, die Milliarden Versuche pro Sekunde schaffen. Gegen diese Rechenleistung hilft vor allem eins: Länge.

Ein Passwort wie T7!x ist kurz und trotz Sonderzeichen in Sekunden geknackt. Eine Passphrase aus vier zufälligen Wörtern, etwa korrekt-pferd-batterie-anker, ist für einen Menschen leichter zu tippen und für einen Computer praktisch unmöglich zu erraten. Faustregel: Ab etwa 16 Zeichen wird es ernsthaft aufwendig, ab 20 Zeichen unrealistisch.

Der eigentliche Fehler: dasselbe Passwort überall

Das größte Risiko ist nicht ein schwaches Passwort, sondern ein wiederverwendetes. Wenn ein Onlineshop gehackt wird und deine E-Mail-Adresse plus Passwort in einer Liste landen, probieren Angreifer diese Kombination automatisch bei hunderten anderen Diensten aus. Das nennt sich Credential Stuffing und ist der häufigste Weg, wie private Konten übernommen werden.

Die Konsequenz: Jedes Konto braucht ein eigenes, einzigartiges Passwort. Bei dreißig oder vierzig Konten ist das von Hand nicht zu schaffen. Deshalb übernimmt das ein Werkzeug.

Der Passwort-Manager macht die Arbeit

Ein Passwort-Manager ist ein verschlüsselter Tresor für alle deine Zugangsdaten. Du merkst dir genau ein einziges, starkes Master-Passwort. Den Rest erledigt das Programm: Es erzeugt für jedes Konto ein langes Zufallspasswort, speichert es und füllt es beim Anmelden automatisch aus.

Das hat drei Vorteile auf einmal:

Jedes Konto bekommt ein einzigartiges Passwort, ohne dass du dir etwas merkst.
Die Passwörter dürfen so lang und kryptisch sein wie sinnvoll, weil du sie nie selbst tippst.
Viele Manager warnen dich, wenn ein gespeicherter Zugang in einem bekannten Datenleck auftaucht.

Gute Optionen gibt es sowohl als quelloffene Programme als auch als kommerzielle Dienste. Wichtig ist vor allem, dass der Anbieter die Daten Ende-zu-Ende verschlüsselt, also selbst keinen Zugriff auf deinen Tresor hat.

Dein Master-Passwort ist der Schlüssel zu allem

Weil dieses eine Passwort den gesamten Tresor öffnet, verdient es besondere Sorgfalt. Nimm eine lange Passphrase, die du dir gut merken kannst, aber die nirgends sonst auftaucht. Kein Name, kein Geburtsdatum, kein Lieblingsverein. Und sichere den Manager zusätzlich mit einem zweiten Faktor ab, dazu gleich mehr.

Schreib dir das Master-Passwort einmal auf Papier und bewahre es an einem sicheren Ort auf, etwa bei wichtigen Dokumenten. Das klingt altmodisch, ist aber besser, als sich auszusperren.

In drei Schritten heute erledigt

Installiere einen Passwort-Manager auf Handy und Rechner und richte ein starkes Master-Passwort ein.
Ändere zuerst die Passwörter deiner wichtigsten Konten: E-Mail, Bank, und alles, was mit Bezahlung zu tun hat. Deine E-Mail ist besonders wichtig, weil über sie alle anderen Passwörter zurückgesetzt werden können.
Ersetze danach nach und nach die restlichen Passwörter, wann immer du dich irgendwo anmeldest.

Du musst nicht an einem Tag alles umstellen. Sobald deine E-Mail und deine Finanzkonten einzigartige, lange Passwörter haben, hast du den größten Teil des Risikos bereits beseitigt.

Und wenn ein Dienst kein langes Passwort erlaubt?

Manche Seiten begrenzen Passwörter unsinnig auf zwölf Zeichen oder verbieten Sonderzeichen. Nutze dann die maximal erlaubte Länge und aktiviere unbedingt einen zweiten Faktor. Damit ist selbst ein kürzeres Passwort deutlich besser geschützt.

Der nächste logische Schritt nach guten Passwörtern ist genau dieser zweite Faktor. Er sorgt dafür, dass ein gestohlenes Passwort allein nicht mehr ausreicht, um in dein Konto zu kommen.