So erstellen Sie ein sicheres Passwort (und warum Random Beats Clever)
Bei den meisten Kontoübernahmen ist kein Hacker im Kapuzenpulli dabei, der die Verschlüsselung knackt. Sie passieren, weil jemand ein schwaches, leicht zu erratendes Passwort wiederverwendet hat, das bereits bei einem früheren Verstoß durchgesickert war. Die gute Nachricht: Eine sichere Passworthygiene ist wirklich einfach, wenn man erst einmal versteht, worauf es wirklich ankommt – und die meisten „cleveren“ Tricks, auf die man sich verlässt, machen Passwörter schwächer und nicht stärker.
Länge übertrifft Komplexität
Dies ist die wichtigste Regel und sie wird durch Untersuchungen gestützt. Moderne Leitlinien des US-amerikanischen National Institute of Standards and Technology (NIST SP 800-63B) legen Wert auf Länge statt erzwungener Komplexität. Jedes zusätzliche Zeichen vervielfacht die Anzahl der Kombinationen, die ein Angreifer ausprobieren muss, sodass eine lange Passphrase exponentiell schwieriger zu knacken ist als eine kurze Zeichenfolge. Streben Sie eine Länge von mindestens 16 Zeichen an. Unser Passwortgenerator erstellt mit einem Klick zufällige Passwörter mit mehr als 16 Zeichen.
Zufällige Beats, die unvergesslich sind
Die Muster, die Menschen erfinden – Kosenamen, Geburtstage, Tastaturbefehle wie „qwerty123“ oder der Austausch von „a“ gegen „@“ – sind genau das, was Angreifer zuerst testen, weil jeder sie verwendet. Diese Tricks bieten fast keine wirkliche Sicherheit. Wirklich zufällige Strings haben eine weitaus höhere Entropie, das mathematische Maß für Unvorhersehbarkeit. Überprüfen Sie mit unserem Passwortstärke-Checker, wie jedes Passwort abschneidet. Sie werden schnell sehen, dass „P@ssw0rd!“ ist schwach, während eine zufällige 16-stellige Zeichenfolge praktisch mit roher Gewalt nicht zu knacken ist.
Verwenden Sie Passwörter niemals wieder.
Wenn Sie auf allen Websites dasselbe Passwort verwenden, wird bei einem einzigen Verstoß jedes Konto gefährdet, das es gemeinsam nutzt. Angreifer automatisieren dies durch „Credential Stuffing“, indem sie durchgesickerte E-Mail-/Passwort-Paare ausnutzen und überall ausprobieren. Mit dem kostenlosen, seriösen Dienst Have I Been Pwned können Sie überprüfen, ob Ihre eigenen Anmeldedaten bei einem bekannten Verstoß aufgetaucht sind. Die Lösung ist ein eindeutiges Passwort pro Site.
Verwenden Sie einen Passwort-Manager
„Ein einzigartiges, zufälliges 16-stelliges Passwort für jede Website“ klingt unmöglich, sich zu merken – und das ist es auch, und genau darum geht es auch. Ein Passwort-Manager generiert und speichert sie alle, und Sie merken sich nur ein starkes Master-Passwort. Außerdem werden Anmeldeinformationen nur auf der echten Website ausgefüllt, was Sie stillschweigend vor Phishing schützt.
Aktivieren Sie die Zwei-Faktor-Authentifizierung
Selbst ein perfektes Passwort kann durchsickern. Die Zwei-Faktor-Authentifizierung (2FA) fügt einen zweiten Schritt hinzu – idealerweise eine Authentifizierungs-App oder einen Hardwareschlüssel anstelle einer SMS –, sodass ein gestohlenes Passwort allein nicht ausreicht, um Zugang zu erhalten. Aktivieren Sie sie überall dort, wo sie verfügbar ist, beginnend mit Ihrer E-Mail-Adresse, die der Hauptschlüssel zum Zurücksetzen von Passwörtern ist.
Für Entwickler: Passwörter richtig speichern
Wenn Sie Apps erstellen, speichern Sie niemals Klartext-Passwörter und hashen Sie sie niemals mit schnellen Algorithmen wie MD5 oder SHA-256. Verwenden Sie einen langsamen, für diesen Zweck entwickelten Salt-Algorithmus – bcrypt ist der Standard. Sehen Sie sich genau an, wie es mit unserem bcrypt-Hash-Generator funktioniert, und lesen Sie mehr in unserem Leitfaden zur Auswahl des richtigen Hash. Das OWASP Password Storage Cheat Sheet ist die maßgebliche Referenz.
Fazit
Gehen Sie lange, gehen Sie zufällig vor, verwenden Sie es nie wieder, speichern Sie alles in einem Passwort-Manager und schalten Sie 2FA ein. Das sind 99 % der persönlichen Kontosicherheit, die erledigt wird – und nichts davon erfordert, ein Sicherheitsexperte zu sein.
