Ein Passwort für alles spart Zeit und schafft ein Sicherheitsrisiko, das viele Unternehmen unterschätzen. Die Münchener Rück rechnet für die kommenden Jahre mit deutlich mehr automatisierten Angriffen, für die keine spektakuläre Lücke nötig ist. Ein einziges wiederverwendetes Kennwort genügt oft.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Für viele Geschäftsführer war Passwortsicherheit lange ein Thema für die IT-Abteilung, nicht für die Chefetage. Das schwächste Glied sitzt jedoch nicht im Serverraum, sondern vor dem Bildschirm. Dieser Beitrag ordnet ein, warum die Gewohnheit „ein Passwort für alles“ so gefährlich ist und wie ein Passwort-Manager das Problem an der Wurzel packt.
Das Wichtigste in Kürze
- Ein wiederverwendetes Passwort verwandelt ein einzelnes Datenleck in ein Einfallstor für viele Konten, weil Angreifer die geklauten Daten automatisiert weiterprobieren.
- Für die Sicherheit zählt vor allem Länge und Einzigartigkeit eines Kennworts, nicht die möglichst chaotische Zeichenkombination.
- Ein Passwort-Manager erzeugt und speichert für jeden Dienst ein eigenes, langes Kennwort, sodass sich niemand mehr Dutzende Passwörter merken muss.
- Die Zwei-Faktor-Authentifizierung und ein waches Auge für Phishing schließen die Lücken, die ein Passwort allein offenlässt.
Warum wird ein Passwort für alles zum Sicherheitsrisiko?
Ein Passwort für alle Konten ist deshalb riskant, weil ein einziges Datenleck genügt, um Angreifern den Zugang zu E-Mail, Cloud und sozialen Netzwerken zugleich zu öffnen. Aus einem kompromittierten Konto wird eine Kettenreaktion.
Der Satz vom schwächsten Glied meint in der IT-Sicherheit selten die Technik. Firewalls, Verschlüsselung und automatische Updates sind in den meisten Unternehmen längst Standard. Die Lücke, durch die Angreifer am häufigsten schlüpfen, ist eine Gewohnheit: dasselbe Passwort an vielen Stellen.
Viele Cyberangriffe beginnen ohne technische Meisterleistung. Häufig reicht ein gestohlenes, wiederverwendetes oder zu einfaches Passwort. Für Angreifer ist genau das attraktiv, weil ein einzelnes kompromittiertes Kennwort manchmal gleich mehrere Dienste aufsperrt.
Das Problem entsteht meist aus Bequemlichkeit. Bei einem Dutzend oder mehr Online-Konten am Tag will sich kaum jemand für jeden Dienst ein völlig neues, kompliziertes Passwort merken. So entstehen Muster: dasselbe Kennwort wandert durch mehrere Dienste, einzelne Zeichen werden getauscht oder ein altes Passwort bekommt nur eine neue Jahreszahl angehängt.
Die Mehrfachnutzung ist weit verbreitet. Eine Analyse von Schadsoftware-Protokollen im Verizon-Report ergab, dass sich im Median nur 49 Prozent der Passwörter eines Nutzers voneinander unterschieden. Mehr als die Hälfte war also mehrfach im Einsatz und damit angreifbar.
Der Data Breach Investigations Report von Verizon nennt für 2025 gestohlene Zugangsdaten als ersten Einstiegspunkt bei 22 Prozent der untersuchten Sicherheitsvorfälle, noch vor dem Ausnutzen technischer Schwachstellen. Am menschlichen Faktor hingen sogar rund 60 Prozent aller Vorfälle. Zugangsdaten sind damit kein Nebenschauplatz, sondern der Hauptweg ins System.
Auch der volkswirtschaftliche Schaden ist beziffert. Der Digitalverband Bitkom veranschlagt den jährlichen Schaden für die deutsche Wirtschaft durch Diebstahl, Spionage und Sabotage für 2025 auf 289,2 Milliarden Euro, davon 202,4 Milliarden Euro allein durch Cyberangriffe. Bei 27 Prozent der betroffenen Unternehmen wurden dabei Zugangsdaten und Passwörter erbeutet. Der Weg ins System beginnt also oft mit einem Login, nicht mit einer aufwendig ausgenutzten Softwarelücke.
Angenommen, die Zugangsdaten eines Online-Shops tauchen bei einem Datenleck auf. Beim Shop selbst lässt sich der Schaden begrenzen. Größer wird er, sobald dasselbe Kennwort auch das E-Mail-Postfach, den Cloud-Speicher oder ein soziales Netzwerk schützt. Aus einem Zugang werden dann viele.
Angreifer probieren gestohlene Kombinationen deshalb automatisiert bei vielen anderen Diensten durch. Fachleute nennen diesen Vorgang Credential Stuffing. Die Sicherheitsorganisation OWASP beschreibt ihn als den automatisierten Einsatz gestohlener Nutzername-Passwort-Paare an Login-Formularen. Die Täter müssen kein Passwort knacken, sondern testen bekannte Zugangsdaten in großem Maßstab, meist über Botnetze mit Millionen Anmeldeversuchen.
Laut dem Verizon-Report entfielen im Median 19 Prozent aller Anmeldeversuche auf Credential Stuffing, an Spitzentagen bis zu 44 Prozent. Ein erheblicher Teil des Anmeldeverkehrs im Netz besteht also aus Einbruchsversuchen mit geklauten Listen. Wie schnell erbeutete Datensätze in Umlauf geraten, zeigt der Fall des Berliner Landesnetzes, bei dem die gestohlenen Daten kurz darauf im Darknet auftauchten.
Besonders kritisch ist das E-Mail-Konto. Mit Zugriff auf das Postfach lässt sich bei zahllosen anderen Diensten eine Passwort-Zurücksetzung anfordern, samt der zugehörigen Bestätigungsmail. Das Postfach ist damit kein Konto unter vielen, sondern der Generalschlüssel. Ein einziges geknacktes Kennwort löst so einen Dominoeffekt aus.
Ein wiederverwendetes Passwort macht aus einem einzelnen Leck viele offene Türen. Am gefährlichsten ist das E-Mail-Konto, weil das Postfach die Passwort-Zurücksetzung fast aller anderen Dienste steuert.
Was macht ein Passwort wirklich sicher?
Ein sicheres Passwort lebt von Länge und Einzigartigkeit, nicht von einer möglichst chaotischen Zeichenmischung. Ein langes, nur einmal genutztes Kennwort schützt besser als ein kurzes mit vielen Sonderzeichen.
Lange Zeit galt die Faustregel, ein gutes Passwort brauche Großbuchstaben, Ziffern und Sonderzeichen in wilder Folge. Genau diese Regel hat Kennwörter erzeugt, die Maschinen leicht raten und Menschen schwer behalten. Das Bundesamt für Sicherheit in der Informationstechnik rät inzwischen anders und stellt die Länge in den Mittelpunkt. Als Faustwert nennt das Amt für ein langes, weniger komplexes Kennwort mindestens 25 Zeichen, während ein kurzes, komplexes mindestens acht Zeichen aus vier Zeichenarten haben sollte.
Auch der erzwungene regelmäßige Wechsel gilt nicht mehr als sinnvoll, solange kein konkreter Verdacht besteht. Häufige Pflichtwechsel führten in der Praxis zu vorhersehbaren Reihen wie „Sommer2024“ und „Sommer2025“, die kaum Schutz bieten. Das BSI empfiehlt stattdessen ein starkes Kennwort, das erst bei einem Anfangsverdacht ausgetauscht wird.
Der Grund für den Fokus auf Länge liegt in der Rechenleistung. Kurze Passwörter fallen automatisierten Rateverfahren, sogenannten Brute-Force-Angriffen, vergleichsweise schnell zum Opfer. Jedes zusätzliche Zeichen vervielfacht dagegen die Zahl der möglichen Kombinationen und treibt den Aufwand für einen Angriff steil nach oben.
Ein Rechenbeispiel macht das anschaulich. Angenommen, ein Angreifer könnte pro Sekunde Milliarden Kombinationen testen. Ein Kennwort aus acht Zeichen wäre in überschaubarer Zeit gefallen, während eine Passphrase aus vier zufälligen Wörtern die Suche rechnerisch über Jahre strecken würde. Entscheidend ist die Zeichenzahl, nicht die Kompliziertheit.
Genau deshalb sind Passphrasen ein guter Kompromiss aus Sicherheit und Merkbarkeit. Vier oder fünf zufällig gewählte Wörter ergeben ein langes, aber erinnerbares Kennwort, sofern kein bekannter Zitatspruch dahintersteht. Sinnvoll ist eine solche Passphrase allerdings nur an den wenigen Stellen, die man ohne Hilfsmittel erreichen muss, etwa beim Master-Passwort.
Mindestens genauso wichtig wie die Länge ist die Einzigartigkeit. Ein Kennwort, das nur einen einzigen Dienst schützt, hält den Schaden lokal. Selbst wenn eine Plattform kompromittiert wird, bleiben alle anderen Konten unberührt, weil der erbeutete Schlüssel nirgendwo sonst passt.
Für Menschen ist diese Strategie allein schwer durchzuhalten. Bei 30 Online-Konten wären das 30 unterschiedliche und lange Passwörter, alle im Kopf. Genau an dieser Stelle stößt das menschliche Gedächtnis an eine harte Grenze. Am Ende gewinnt fast immer die Bequemlichkeit.
- Länge schlägt Komplexität: Jedes zusätzliche Zeichen kostet den Angreifer ungleich mehr Rechenzeit als ein weiteres Sonderzeichen.
- Einzigartigkeit begrenzt den Schaden: Ein nur einmal genutztes Kennwort schadet auch nach einem Leck nur einem einzigen Dienst.
- Kein anlassloser Wechsel: Das BSI rät vom erzwungenen Turnus ab, weil er zu vorhersehbaren Passwörtern führt.
Was verändert ein Passwort-Manager im Alltag?
Ein Passwort-Manager speichert alle Zugangsdaten verschlüsselt und erzeugt für jeden Dienst ein eigenes, zufälliges Kennwort. Statt sich Dutzende Passwörter zu merken, braucht man nur noch ein einziges starkes Master-Passwort.
Mit einem Passwort-Manager dreht sich die ganze Sicherheitslogik um. Nicht mehr das leicht merkbare Passwort, das durch viele Dienste wandert, steht im Mittelpunkt, sondern für jeden Account ein langes, zufällig erzeugtes und nur dort gültiges Kennwort. Das Merken übernimmt die Software, der Mensch behält nur den einen zentralen Schlüssel.
Im Alltag läuft das unauffällig ab. Der Manager legt beim Anlegen eines Kontos ein zufälliges Kennwort an, speichert dieses im verschlüsselten Tresor und trägt das Kennwort beim nächsten Besuch automatisch ins richtige Feld ein. Über eine sichere Synchronisierung steht der Tresor auf Notebook und Smartphone zugleich bereit.
Ein gutes System kann mehr als nur speichern. Wichtig sind eine starke Verschlüsselung der Daten, klare Wiederherstellungsoptionen und ein wirksamer Schutz des zentralen Zugangs. Anbieter wie NordPass setzen dafür auf eine Zero-Knowledge-Architektur, bei der selbst der Betreiber die gespeicherten Inhalte nicht einsehen kann, weil der Schlüssel allein beim Nutzer liegt.
Das schwächste Glied der IT-Sicherheit ist keine Lücke im Code, sondern das eine Passwort, das durch fünf Dienste wandert. Ein Passwort-Manager macht aus dieser Gewohnheit wieder eine Entscheidung.
— Michael Dobler, Herausgeber Dr. Web
Der Markt bietet dafür heute etliche Lösungen, vom Browser-eigenen Speicher bis zum eigenständigen Dienst. Der Browser-Speicher ist bequem, bindet die Zugänge aber an ein Programm und schützt sie oft schwächer. Beim Vergleich lohnt der Blick auf die Verschlüsselung, die Wiederherstellungsoptionen und den Funktionsumfang, den ein Passwort-Manager bietet, statt allein auf den Preis.
Für Unternehmen kommt eine zweite Ebene hinzu. Eine Team-Version erlaubt geteilte Tresore, klare Zugriffsrechte und ein sauberes Offboarding, bei dem ein ausgeschiedener Mitarbeiter mit einem Klick den Zugang zu allen geteilten Konten verliert. Gerade das Offboarding ist ohne zentrale Verwaltung ein notorisches Sicherheitsleck.
Mit Passkeys entsteht gerade ein Verfahren, das das Passwort ganz ersetzt und stattdessen auf ein an das Gerät gebundenes Schlüsselpaar setzt. Moderne Passwort-Manager verwalten diese Passkeys bereits mit, sodass der Übergang schrittweise und ohne Bruch gelingt.
Der Umstieg beginnt am besten dort, wo der Schaden am größten wäre. Zuerst das E-Mail-Postfach, das Online-Banking und die geschäftskritischen Zugänge mit je eigenem Kennwort und zweitem Faktor abzusichern, senkt das Risiko in wenigen Stunden spürbar. Der Rest der Konten folgt nach und nach, sobald ein Login ohnehin ansteht.
Gegen den Einsatz eines Managers steht oft ein Einwand: Liegt damit nicht alles an einer einzigen Stelle? Der Tresor ist tatsächlich ein lohnendes Ziel, aber ein starkes, einzigartiges Master-Passwort und ein zweiter Faktor machen ihn zu einer sehr harten Nuss. Das Restrisiko wiegt deutlich leichter als die Alternative aus Zettelwirtschaft und wiederverwendeten Kennwörtern.
Besondere Aufmerksamkeit verdient deshalb das Master-Passwort. Dieses eine Kennwort sollte lang, einzigartig und ausschließlich diesem Zweck vorbehalten sein. Ein verlorener oder leichtfertig preisgegebener Hauptschlüssel öffnet im schlimmsten Fall den gesamten Tresor auf einmal. Genau hier ist eine gut merkbare Passphrase am richtigen Platz.
Ein Passwort-Manager erzeugt für jeden Dienst ein eigenes, langes Kennwort und verlangt vom Nutzer nur ein starkes Master-Passwort. Dessen Schutz entscheidet über die Sicherheit des gesamten Tresors.
Wie schließt die Zwei-Faktor-Authentifizierung die letzte Lücke?
Die Zwei-Faktor-Authentifizierung verlangt neben dem Passwort einen zweiten Nachweis, etwa einen zeitlich begrenzten Code oder eine Bestätigung auf einem separaten Gerät. Ein gestohlenes Passwort allein reicht dann nicht mehr für die Anmeldung.
Selbst ein starkes, einzigartiges Kennwort bietet keinen vollständigen Schutz. Zugangsdaten geraten über Phishing, Schadsoftware oder Datenlecks in fremde Hände. Ein zweiter Faktor stellt sicher, dass der bloße Besitz des Passworts noch keine Tür öffnet, weil ein weiterer, unabhängiger Nachweis fehlt.
Das BSI empfiehlt die Zwei-Faktor-Authentifizierung überall dort, wo ein Dienst sie anbietet. Die Münchener Rück erwartet zugleich vor allem eine wachsende Zahl automatisierter, teils KI-gestützter Angriffe. Genau gegen diese Masse hilft ein zweiter Faktor, weil er jeden automatisierten Anmeldeversuch mit gestohlenen Daten ins Leere laufen lässt. Gerade der Mittelstand gerät dabei stärker ins Visier, seit KI Cyberangriffe zum Massengeschäft macht.
Nicht jeder zweite Faktor ist gleich stark. Die Bandbreite reicht vom Einmalcode per SMS bis zum fälschungssicheren Hardware-Schlüssel. Die folgende Übersicht ordnet die gängigen Verfahren nach Schutzwirkung und Alltagstauglichkeit ein.
| Verfahren | Schutzwirkung | Praxis |
|---|---|---|
| Code per SMS | Grundschutz, anfällig für abgefangene oder per SIM-Swapping umgeleitete Nachrichten | Überall verfügbar, besser als gar kein zweiter Faktor |
| Authenticator-App (TOTP) | Solide, der Code entsteht offline auf dem Gerät | Kostenlos, für die meisten Dienste empfehlenswert |
| Passkey | Hoch, an das Gerät gebunden und weitgehend phishing-resistent | Wächst rasch, ersetzt zunehmend das Passwort selbst |
| Hardware-Sicherheitsschlüssel | Sehr hoch, physischer Besitz nötig | Anschaffungskosten, ideal für besonders sensible Konten |
Der Code per SMS ist der schwächste unter den zweiten Faktoren, bleibt aber weit besser als gar keiner. Über SIM-Swapping lassen sich Rufnummern kapern und Codes umleiten, weshalb sensible Konten besser auf eine App oder einen Schlüssel setzen. Für ein selten genutztes Forum genügt die SMS dagegen.
Auch der zweite Faktor hat eine menschliche Schwachstelle. Bei der sogenannten Zwei-Faktor-Müdigkeit überfluten Angreifer das Opfer mit Push-Anfragen, bis jemand eine davon reflexhaft bestätigt. Ein knapper Moment der Aufmerksamkeit bei jeder Bestätigung entzieht dieser Masche die Grundlage.
Besonders lohnend ist die Kombination aus eigenen Passwörtern und zweitem Faktor bei E-Mail-Konten, Cloud-Diensten, Online-Banking und allen Zugängen mit persönlichen oder finanziellen Daten. Dort wiegt ein Kontrollverlust am schwersten. Genau dort zahlt sich der kleine Mehraufwand am deutlichsten aus.
Ein zweiter Faktor entwertet ein gestohlenes Passwort, weil die Anmeldung einen unabhängigen Nachweis verlangt. App, Passkey oder Hardware-Schlüssel schützen dabei deutlich besser als die SMS.
Wie erkennen Sie Phishing, bevor der Angriff Ihre Zugangsdaten kostet?
Phishing erkennen Sie weniger am Passwort als an der Adresse der aufgerufenen Seite und am unerwarteten Anlass einer Nachricht. Wer im Zweifel den Dienst direkt über die bekannte Adresse aufruft, entzieht dem Angriff die Grundlage.
Auch die beste Passwortverwaltung schützt nicht vor jeder Täuschung. Phishing-Angriffe zielen darauf, Nutzer zur Eingabe ihrer Zugangsdaten auf einer gefälschten Seite zu bewegen. Die Täuschung setzt beim Menschen an, nicht an der Technik. Der stärkste Schutz im Hintergrund läuft dabei ins Leere.
Eine typische Nachricht behauptet, ein Konto sei gesperrt oder eine Zahlung müsse dringend bestätigt werden. Der beigefügte Link führt auf eine Seite, die dem echten Dienst täuschend ähnlich sieht. Der eingegebene Zugang landet direkt beim Angreifer, oft in Echtzeit weitergereicht an den echten Dienst.
Neu ist die Qualität der Fälschungen. Mit KI erstellte Texte kommen ohne die früher verräterischen Rechtschreibfehler aus. Gezielte Angriffe auf einzelne Mitarbeiter, das sogenannte Spear-Phishing, sprechen Namen, Projekte und Vorgesetzte konkret an. Die alte Regel „an schlechtem Deutsch erkennbar“ gilt nicht mehr.
Für Unternehmen ist der teuerste Sonderfall der Chef-Betrug, im Fachjargon Business E-Mail Compromise. Eine gefälschte Mail im Namen der Geschäftsführung drängt die Buchhaltung zu einer eiligen Überweisung. Ein fester Rückrufprozess über eine bekannte Nummer stoppt diese Masche zuverlässiger als jede Software.
Gerade Unternehmen unterschätzen, wie professionell solche Angriffe inzwischen ablaufen. Der Fall Revolut zeigt, dass sogar eine geprüfte Absenderdomain keine Sicherheit garantiert, als das Institut Kundendaten auf eine gefälschte Behördenanfrage hin herausgab. Eine echte Domain belegt die Herkunft einer Nachricht, niemals die Befugnis des Absenders.
Wichtig ist auch der Umgang mit dem Fehlerfall. Nach einem versehentlichen Klick auf einen Link sollte die Meldung ohne Angst vor Vorwürfen sofort möglich sein. Eine offene Meldekultur verkürzt die Zeit zwischen Klick und Gegenmaßnahme. Genau diese Minuten entscheiden oft über den Schaden.
Der wirksamste Reflex ist Misstrauen gegenüber dem Link. Bei unerwarteten Nachrichten ist der direkte Weg über die bekannte Adresse oder die offizielle App sicherer als jeder Klick aus der Mail heraus. Ein guter Passwort-Manager hilft nebenbei mit, weil er gespeicherte Zugangsdaten auf einer falschen Adresse gar nicht erst anbietet und die Fälschung so verrät.
Phishing zielt auf den Menschen, nicht auf die Technik. Der prüfende Blick auf die Adresse und der direkte Weg über die bekannte Seite entziehen dem Angriff die Grundlage.
Welche Konten und Gewohnheiten unterschätzen Unternehmen?
Am meisten unterschätzt werden alte, ungenutzte Konten und der Verzicht auf regelmäßige Sicherheitsprüfungen. Vergessene Zugänge enthalten oft noch persönliche Daten und veraltete Passwörter, die längst in einem Datenleck stecken.
Über die Jahre sammeln sich zahlreiche Accounts an, die kaum noch jemand benutzt. Alte Forenprofile, ein längst vergessener Online-Shop oder ein früherer Dienst können weiterhin sensible Daten enthalten. Jeder dieser Zugänge ist eine offene Angriffsfläche, die niemand mehr im Blick hat.
Solche Konten sollten regelmäßig überprüft werden. Wird ein Dienst nicht mehr gebraucht, ist das Löschen des Accounts meist sinnvoller, als die Zugangsdaten jahrelang ungenutzt bestehen zu lassen. Ein Datenleck trifft sonst irgendwann genau die vergessenen Zugänge und findet dort ein altes, mehrfach genutztes Passwort.
Ein guter erster Schritt ist eine Bestandsaufnahme. Ein Passwort-Manager listet alle gespeicherten Konten auf und markiert schwache, doppelte oder in Lecks aufgetauchte Kennwörter. Kostenlose Dienste zeigen zusätzlich, ob die eigene E-Mail-Adresse bereits Teil eines bekannten Datenlecks war.
Im Unternehmen kommt der Umgang mit geteilten und verwaisten Zugängen dazu. Ein Sammelkonto, dessen Passwort jeder im Team kennt, überlebt oft mehrere Personalwechsel. Ein zentraler Tresor mit Rechteverwaltung ersetzt solche Sammelpasswörter durch nachvollziehbare, jederzeit entziehbare Zugriffe.
Auch aktive Konten verdienen eine wiederkehrende Kontrolle. Unbekannte Anmeldungen, neue Wiederherstellungsadressen oder fremde Geräte in der Übersicht sind deutliche Hinweise auf einen unbefugten Zugriff. Viele Dienste zeigen diese Aktivitäten in den Sicherheitseinstellungen an, kaum jemand schaut jedoch hinein.
Ein wirksamer Schutz vor Kontoübernahmen verlangt keine tiefen technischen Kenntnisse. Er entsteht aus wenigen konsequenten Gewohnheiten: ein eigenes Passwort je wichtigem Konto, ein zweiter Faktor bei sensiblen Diensten und ein gesundes Misstrauen gegenüber verdächtigen Nachrichten. Die eigentliche Veränderung liegt in der Entscheidung, Zugangsdaten nicht länger als lästige Nebensache zu behandeln.
Alte, ungenutzte Konten sind vergessene Einfallstore und sollten gelöscht oder abgesichert werden. Wirksamer Schutz entsteht aus wenigen konsequenten Gewohnheiten, nicht aus technischem Spezialwissen.
Glossar: 12 wichtige Fachbegriffe zur Passwortsicherheit
Authenticator-App
Authenticator-App: Eine App, die im Sekundentakt zeitlich begrenzte Einmalcodes für die Zwei-Faktor-Authentifizierung erzeugt. Der Code entsteht offline auf dem Gerät und ist dadurch schwerer abzufangen als eine SMS.
Brute-Force-Angriff
Brute-Force-Angriff: Ein automatisiertes Verfahren, das Passwörter durch systematisches Durchprobieren aller Zeichenkombinationen zu erraten versucht. Je länger ein Passwort ist, desto unpraktikabler wird dieser Weg für den Angreifer.
Credential Stuffing
Credential Stuffing: Der massenhafte, automatisierte Test bereits gestohlener Zugangsdaten bei vielen Diensten. Die Methode nutzt aus, dass viele Menschen dasselbe Passwort mehrfach verwenden. Ein Kennwort wird dabei nicht neu geknackt.
Datenleck
Datenleck: Der unbefugte Abfluss von Daten aus einem System, häufig samt E-Mail-Adressen und Passwörtern. Solche Datensätze zirkulieren später in einschlägigen Foren wie im Darknet und speisen weitere Angriffe.
Master-Passwort
Master-Passwort: Das eine zentrale Kennwort, mit dem sich der Tresor eines Passwort-Managers öffnen lässt. Dieses Kennwort muss lang, einzigartig und ausschließlich diesem Zweck vorbehalten sein. Der Schutz aller übrigen Zugänge hängt daran.
Passkey
Passkey: Ein modernes Anmeldeverfahren, das das klassische Passwort durch ein kryptografisches Schlüsselpaar ersetzt. Der Zugang ist an ein Gerät gebunden und gilt als weitgehend resistent gegen Phishing.
Passphrase
Passphrase: Ein langes Kennwort aus mehreren zufällig gewählten Wörtern. Diese Form verbindet hohe Länge mit guter Merkbarkeit und eignet sich besonders für das Master-Passwort, sofern kein bekannter Spruch dahintersteht.
Passwort-Manager
Passwort-Manager: Eine Software, die Zugangsdaten verschlüsselt speichert, zufällige Passwörter erzeugt und beim Anmelden einträgt. Erst ein solcher Manager macht ein eigenes, langes Kennwort für jeden Dienst praktikabel.
Phishing
Phishing: Der Versuch, über gefälschte Nachrichten und Webseiten an Zugangsdaten zu gelangen. Die Täuschung ahmt bekannte Dienste nach und drängt zur schnellen Eingabe von Passwörtern auf einer nachgebauten Seite.
Zero-Knowledge-Architektur
Zero-Knowledge-Architektur: Ein Verschlüsselungsprinzip, bei dem der Anbieter selbst die gespeicherten Inhalte nicht entschlüsseln kann. Nur der Nutzer mit seinem Master-Passwort besitzt den Schlüssel zu seinen Daten.
Zugangsdaten
Zugangsdaten: Die Kombination aus Benutzername oder E-Mail-Adresse und Passwort, mit der sich ein Nutzer bei einem Dienst anmeldet. Diese Kombination ist das eigentliche Ziel der meisten Angriffe auf Online-Konten.
Zwei-Faktor-Authentifizierung
Zwei-Faktor-Authentifizierung (2FA): Ein Anmeldeverfahren, das neben dem Passwort einen zweiten, unabhängigen Nachweis verlangt. Erst beide Faktoren zusammen gewähren Zugang, sodass ein gestohlenes Passwort allein wertlos bleibt.
FAQ: Ein Passwort für alles? Warum diese Gewohnheit zum Sicherheitsrisiko wird
Was ist ein Passwort-Manager und wie funktioniert er?
Ein Passwort-Manager ist ein verschlüsselter Tresor, der Zugangsdaten speichert, für jeden Dienst ein zufälliges Kennwort erzeugt und dieses beim Anmelden automatisch einträgt. Der Nutzer merkt sich nur ein einziges Master-Passwort, das den Tresor öffnet.
Ist ein Passwort-Manager wirklich sicher?
Ja, für die meisten Menschen erhöht ein Passwort-Manager die Sicherheit deutlich. Die Daten liegen stark verschlüsselt, bei einer Zero-Knowledge-Architektur ohne Zugriff des Anbieters. Wichtig sind ein langes Master-Passwort und ein zusätzlicher zweiter Faktor. Auch das BSI empfiehlt den Einsatz.
Was passiert, wenn ich mein Master-Passwort vergesse?
Bei einer Zero-Knowledge-Architektur kann der Anbieter das Master-Passwort nicht wiederherstellen, weil nur der Nutzer den Schlüssel besitzt. Je nach Dienst helfen ein zuvor eingerichteter Wiederherstellungscode oder ein Notfallkontakt. Ohne solche Vorkehrung bleibt der Tresor verschlossen.
Wie oft sollte ich meine Passwörter ändern?
Ändern Sie Passwörter nur bei einem konkreten Anlass, etwa nach einem Datenleck oder einem Verdacht auf Missbrauch. Das BSI rät ausdrücklich vom regelmäßigen, anlasslosen Wechsel ab, weil er zu schwächeren, vorhersehbaren Passwörtern führt. Ein starkes, einzigartiges Kennwort darf lange bleiben.
Sind im Browser gespeicherte Passwörter sicher genug?
Der Browser-Speicher ist bequem, aber meist schwächer geschützt als ein eigenständiger Passwort-Manager und an ein Programm gebunden. Für einfache Konten reicht er, für sensible Zugänge wie E-Mail oder Online-Banking ist eine dedizierte Lösung mit zweitem Faktor die bessere Wahl.
Was ist der Unterschied zwischen einem Passkey und einem Passwort?
Ein Passwort ist ein geteiltes Geheimnis, das abgefangen oder erraten werden kann. Ein Passkey nutzt ein an das Gerät gebundenes kryptografisches Schlüsselpaar, gibt also kein Geheimnis preis. Ohne geteiltes Geheimnis gilt der Passkey als weitgehend resistent gegen Phishing und Credential Stuffing.
Quellen
- Verizon | 2025 Data Breach Investigations Report | https://www.verizon.com/business/resources/reports/dbir/ | besucht am 16.09.2026
- Bitkom | Wirtschaftsschutz 2025: Rekordschaden für die deutsche Wirtschaft | https://www.bitkom.org/Presse/Presseinformation/Russland-China-deutsche-Wirtschaft-Visier | besucht am 16.09.2026
- Bundesamt für Sicherheit in der Informationstechnik (BSI) | Sichere Passwörter erstellen | https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Sichere-Passwoerter-erstellen/sichere-passwoerter-erstellen_node.html | besucht am 16.09.2026
- Bundesamt für Sicherheit in der Informationstechnik (BSI) | Passwortwechsel nur bei konkretem Anlass | https://www.bsi.bund.de/DE/Service-Navi/Presse/Pressemitteilungen/Presse2025/250131_Passwortwechsel_next-level.html | besucht am 16.09.2026
- OWASP | Credential Stuffing | https://owasp.org/www-community/attacks/Credential_stuffing | besucht am 16.09.2026
- Anti-Phishing Working Group (APWG) | Phishing Activity Trends Report, Q4 2024 | https://docs.apwg.org/reports/apwg_trends_report_q4_2024.pdf | besucht am 16.09.2026
- Münchener Rück (Munich Re) | Cyber Insurance: Risks and Trends 2026 | https://www.munichre.com/en/insights/cyber/cyber-insurance-risks-and-trends-2026.html | besucht am 16.09.2026
