Sichere Passwörter und Passwort-Manager einfach erklärt

Länge ist wichtiger als Sonderzeichen

Früher hieß es: Großbuchstaben, Zahlen, Sonderzeichen, mindestens acht Zeichen. Das ist nicht falsch, führt aber zu Passwörtern, die schwer zu merken und trotzdem oft leicht zu erraten sind.

Das BSI nennt als Orientierung zwei Wege:

• Lang und einfach: 20 bis 25 Zeichen, zum Beispiel mehrere Wörter hintereinander
• Kurz und komplex: 8 bis 12 Zeichen mit Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen

Für Passwörter, die Sie sich selbst merken müssen, ist der erste Weg der angenehmere. Reihen Sie fünf oder sechs zufällige Wörter aneinander, die nichts miteinander und nichts mit Ihnen zu tun haben. Als Beispiel, bitte nicht selbst verwenden: Tulpe Hafen Bleistift Wolke Regal. Erlaubt ein Dienst keine Leerzeichen, nehmen Sie Bindestriche.

Ungeeignet sind Namen von Familienmitgliedern oder Haustieren, Geburtsdaten, Tastaturmuster wie "asdfgh" und einfache Wörter mit angehängter Zahl oder einem Ausrufezeichen am Ende. Auf Umlaute und ß verzichten Sie besser, weil sie auf ausländischen Tastaturen fehlen können.

Ein Passwort pro Konto

Wird bei einem Online-Shop eingebrochen, probieren Kriminelle die erbeuteten E-Mail-Adressen und Passwörter automatisch bei vielen anderen Diensten aus. Wer überall dasselbe Passwort nutzt, verliert so mit einem Leck gleich mehrere Konten.

Besonders wichtig ist ein eigenes Passwort für Ihr E-Mail-Konto. Über die E-Mail-Adresse lassen sich die Passwörter fast aller anderen Konten zurücksetzen.

Passwort-Manager: Notizbuch mit Schloss

Ein Passwort-Manager speichert Ihre Zugangsdaten verschlüsselt, füllt sie beim Anmelden selbst aus und erzeugt auf Wunsch neue, starke Passwörter. Sie müssen sich nur das Passwort für den Manager selbst merken. Auf dem Smartphone reicht meist Ihr Fingerabdruck, Ihr Gesicht oder die Bildschirmsperre.

Schon auf Ihrem Gerät vorhanden

• iPhone, iPad und Mac: Apple bringt dafür die App Passwörter mit. Die Einträge werden über Ihren Apple Account auf Ihre Geräte übertragen. Auf einem Windows-PC kommen Sie über iCloud für Windows an dieselben Passwörter.
• Android: Der Google Passwortmanager ist Teil Ihres Google-Kontos. Sie finden ihn in den Einstellungen unter Google oder in Chrome über das Menü mit den drei Punkten unter Passwörter und Autofill.
• Browser am Computer: Chrome, Edge, Firefox und Safari können Passwörter speichern und mit anderen Geräten abgleichen, wenn Sie dort angemeldet sind.

Für viele Haushalte reicht die eingebaute Lösung völlig aus, vor allem wenn alle Geräte vom selben Hersteller stammen.

Eigenständige Programme

Nutzen Sie ein iPhone und einen Windows-PC oder mehrere Browser nebeneinander, kann ein eigenständiger Passwort-Manager einfacher sein. Er läuft auf allen gängigen Systemen. Bekannte Beispiele sind 1Password, Bitwarden und KeePassXC. Sie unterscheiden sich darin, ob die Daten verschlüsselt beim Anbieter liegen oder nur als Datei bei Ihnen, und ob ein Abo nötig ist. Welches Programm passt, hängt von Ihren Geräten und Gewohnheiten ab.

Das Hauptpasswort

Das Passwort für den Manager sollte lang sein, etwa fünf oder sechs zufällige Wörter. Schreiben Sie es zusätzlich auf Papier und bewahren Sie es gut verschlossen zu Hause auf. Wer es vergisst, kommt bei vielen Programmen nicht mehr an seine Passwörter.

Denken Sie auch an Ihre Angehörigen. Viele Passwort-Manager bieten einen Notfallzugang für eine Vertrauensperson. Apple und Google haben in den Kontoeinstellungen eigene Möglichkeiten, eine Person für den Ernstfall festzulegen.

Schritt für Schritt umsteigen

Sie müssen nicht alles an einem Nachmittag ändern. Beginnen Sie mit E-Mail, Online-Banking, PayPal und Amazon. Bei allen anderen Konten lassen Sie den Passwort-Manager ein neues Passwort erzeugen, wenn Sie sich das nächste Mal dort anmelden.

Zwei-Faktor-Anmeldung

Bei der Zwei-Faktor-Anmeldung (vom BSI Zwei-Faktor-Authentisierung genannt) brauchen Sie neben dem Passwort einen zweiten Nachweis: einen Code per SMS, eine Bestätigung in einer App oder einen Fingerabdruck. Selbst wer Ihr Passwort kennt, kommt ohne diesen zweiten Schritt nicht in Ihr Konto.

Beim Online-Banking ist das längst Pflicht. Schalten Sie es zusätzlich bei Ihrem E-Mail-Konto, Ihrem Apple Account oder Google-Konto, bei PayPal und Amazon ein. Die Einstellung finden Sie meist in den Kontoeinstellungen unter Sicherheit oder Anmeldung.

Geben Sie einen solchen Code niemals an jemanden weiter, der Sie anruft oder anschreibt. Wie diese Masche bei WhatsApp funktioniert, steht in unserem Ratgeber zum Betrug mit der neuen Nummer.

Passkeys kurz erklärt

Passkeys ersetzen das Passwort ganz. Statt etwas einzutippen, bestätigen Sie die Anmeldung mit Fingerabdruck, Gesicht oder der PIN Ihres Geräts. Der geheime Schlüssel bleibt in Ihrem Passwort-Manager. Auf einer gefälschten Webseite funktioniert er nicht, deshalb schützen Passkeys gut vor Phishing.

Google, Apple, Microsoft, Amazon, PayPal und viele andere bieten Passkeys an. Wenn ein Dienst Ihnen beim Anmelden vorschlägt, einen Passkey anzulegen, können Sie das annehmen. Er wird wie Ihre Passwörter auf Ihre anderen Geräte übertragen.

Nach einem Datenleck

Von einem Leck erfahren Sie meist per E-Mail des Anbieters, aus den Nachrichten oder durch Ihren Passwort-Manager. Die Passwörter-App von Apple zeigt betroffene Einträge im Bereich Sicherheit, der Google Passwortmanager im Passwortcheck. Ob Ihre E-Mail-Adresse in bekannten Leaks auftaucht, können Sie außerdem beim Identity Leak Checker des Hasso-Plattner-Instituts prüfen.

1. Das Passwort beim betroffenen Dienst ändern. Öffnen Sie die Seite selbst über ein Lesezeichen oder die App. Benachrichtigungen über Datenlecks werden gern gefälscht, um Sie auf Phishing-Seiten zu locken.
2. Das Passwort überall ändern, wo Sie es ebenfalls verwendet haben.
3. Die Zwei-Faktor-Anmeldung einschalten, falls noch nicht geschehen.
4. Mit gezielten Betrugsmails rechnen. Nach einem Leck kennen Kriminelle oft Ihren Namen und Ihre Anschrift.
5. Bei Bank- oder Kartendaten die Kontoauszüge im Blick behalten und mit der Bank sprechen.

Typische Fehler

• Der Zettel am Bildschirm oder ein Dokument namens "Passwörter" auf dem Computer
• Das Saison-Passwort, bei dem nur die Jahreszahl hochgezählt wird
• Passwörter per E-Mail oder WhatsApp verschicken, auch an Angehörige
• Passwörter ohne Anlass ständig ändern, was meist zu schwächeren Mustern führt
• Passwörter im Browser eines fremden Computers speichern

Wenn Sie nicht weiterkommen

Viele scheuen den Umstieg, weil sie fürchten, sich dabei aus ihren Konten auszusperren. Wir richten den Passwort-Manager und die Zwei-Faktor-Anmeldung gemeinsam mit Ihnen ein, auf Ihren eigenen Geräten, und schreiben mit Ihnen auf, was Sie für den Notfall aufbewahren sollten.

Wir kommen in Kiel und im Einsatzgebiet in der Umgebung zu Ihnen nach Hause. Mehr zur Einrichtung von E-Mail und Cloud und zu den Preisen. Wie Sie gefälschte Anmeldeseiten erkennen, lesen Sie in unserem Ratgeber zu Phishing-Mails.

Weiterführende Quellen

• BSI: Sichere Passwörter erstellen
• BSI: Umgang mit Passwörtern