Der Onlineshop verlangt Ihr Passwort, Sie probieren zwei Varianten aus und klicken am Ende doch auf „Passwort vergessen“. Ihr Postfach kennt Ihre Passwörter besser als Sie. Laut einer Auswertung des Hasso-Plattner-Instituts stand „123456“ auch 2025 an der Spitze der häufigsten Passwörter in Deutschland.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenE-Mail-Konto, Onlinebanking, Streamingdienste, soziale Netzwerke, Onlineshops oder Kundenportale: Im digitalen Alltag sammeln sich schnell Dutzende Zugangsdaten an. Für jeden Dienst ein eigenes, langes und sicheres Passwort zu verwenden, ist zwar sinnvoll, in der Praxis aber kaum ohne Hilfsmittel zu bewältigen. Ein Passwortmanager kann dabei helfen, Zugangsdaten zentral und geschützt zu verwalten.
Statt sich zahlreiche komplizierte Passwörter merken zu müssen, kommen Nutzer im Idealfall mit einem besonders sicheren Hauptpasswort aus. Doch wie funktioniert eine solche Passwortverwaltung eigentlich, wie sicher ist sie und worauf sollte man bei der Nutzung achten?
Das Wichtigste in Kürze
- Das BSI hält Passwörter mit 20 bis 25 Zeichen aus zwei Zeichenarten oder 8 bis 12 Zeichen aus vier Zeichenarten für sicher; ein Passwortmanager erzeugt und speichert solche Zeichenfolgen für jedes Konto einzeln.
- Geschützt wird der Tresor durch ein einziges Master-Passwort, das lang, merkbar und nirgendwo sonst im Einsatz sein sollte.
- Die US-Standardisierungsbehörde NIST verbietet in ihrer 2025 überarbeiteten Richtlinie für digitale Identitäten erzwungene Passwortwechsel in festen Abständen; geändert wird ein Passwort, sobald Hinweise auf ein Leck vorliegen.
- Der Umstieg gelingt Schritt für Schritt in der Reihenfolge E-Mail, Finanzen, Cloud, soziale Netzwerke und Shopping, dazu kommt die Zwei-Faktor-Authentifizierung für die wichtigsten Konten.
1 Wie lang sollte ein Passwort aus nur zwei Zeichenarten laut BSI sein? Aufklappen ↓
Auflösung aufdecken ↓
2 Welches Passwort lag in der Auswertung des Hasso-Plattner-Instituts für 2025 auf Platz eins? Aufklappen ↓
Auflösung aufdecken ↓
3 Wann verlangt die US-Standardisierungsbehörde NIST einen Passwortwechsel? Aufklappen ↓
Auflösung aufdecken ↓
4 Welches Konto sollten Einsteiger zuerst in den Passwortmanager übernehmen? Aufklappen ↓
Auflösung aufdecken ↓
5 Wie heißt der Angriff, bei dem erbeutete Zugangsdaten automatisiert bei anderen Diensten ausprobiert werden? Aufklappen ↓
Auflösung aufdecken ↓
Warum werden sichere Passwörter immer wichtiger?
Mit jedem neuen Benutzerkonto wächst die Versuchung, ein bekanntes Passwort noch einmal zu verwenden. Gelangen die Zugangsdaten eines Dienstes in falsche Hände, probieren Angreifer dieselbe Kombination bei weiteren Plattformen aus.
Fast jeder Internetdienst verlangt heute die Einrichtung eines Benutzerkontos. Häufig wird dafür eine Kombination aus E-Mail-Adresse oder Benutzername und Passwort verwendet. Das Problem: Mit der Zahl der Konten steigt auch die Versuchung, Passwörter mehrfach zu verwenden.
Gelangen die Zugangsdaten eines einzelnen Dienstes in falsche Hände, können Angreifer versuchen, dieselbe Kombination auch bei anderen Plattformen einzusetzen. Wird beispielsweise für einen Onlineshop dasselbe Passwort wie für das E-Mail-Konto verwendet, kann ein Datenleck bei einem der Dienste Auswirkungen auf weitere Konten haben.
Der Cybersicherheitsmonitor 2026 des Bundesamts für Sicherheit in der Informationstechnik (BSI) und der Polizeilichen Kriminalprävention erfasst, wie oft Fremde tatsächlich auf Konten zugreifen. Von 3.060 Befragten waren 11 % in den zwölf Monaten vor der Befragung im Januar 2026 Opfer einer Straftat im Internet. Unter diesen Betroffenen meldeten 14 % einen Fremdzugriff auf ihre Online-Accounts, häufiger kam nur Betrug beim Onlineshopping vor. Weitere Zahlen der Befragung fasst unser Beitrag zur BSI-Studie über Cyberkriminalität im Alltag zusammen.
Deshalb gehört eine der wichtigsten Grundregeln der digitalen Sicherheit zu den gleichzeitig unbequemsten: Für jedes wichtige Benutzerkonto sollte ein eigenes Passwort verwendet werden.
Dieses Passwort sollte außerdem ausreichend lang und nicht leicht zu erraten sein.
Ein einziges wiederverwendetes Passwort reicht, damit ein Datenleck bei einem Onlineshop auch das E-Mail-Konto gefährdet. Im Cybersicherheitsmonitor 2026 meldete jedes siebte Opfer von Cyberkriminalität einen Fremdzugriff auf seine Konten.
Was ist ein Passwortmanager, und wie funktioniert er?
Ein Passwortmanager ist eine Software, die Zugangsdaten verschlüsselt speichert, ordnet und bei der Anmeldung in das passende Feld einträgt. Geschützt ist der Tresor durch ein Hauptpasswort, das sich der Nutzer als einziges merken muss.
Der digitale Tresor
Ein Passwortmanager ist eine Software, mit der Zugangsdaten gespeichert, organisiert und bei Bedarf abgerufen werden können. Vereinfacht lässt sich die Software als digitaler Tresor vorstellen.
Darin lassen sich beispielsweise Benutzernamen, Passwörter, die Internetadressen der jeweiligen Dienste, Zugangsdaten für Apps und sichere Notizen hinterlegen. Je nach Anwendung kommen weitere vertrauliche Informationen hinzu.
Der Passwort-Tresor wird durch ein Hauptpasswort, häufig als Master-Passwort bezeichnet, geschützt. Das Master-Passwort ist besonders wichtig, denn erst mit ihm öffnet sich der Zugang zu den gespeicherten Informationen.
Das Prinzip lautet daher: Viele unterschiedliche Passwörter werden gespeichert, der Nutzer muss sich im besten Fall nur noch ein einziges sehr starkes Hauptpasswort merken.
Vom Tresor ins Anmeldefeld
Die genaue Funktionsweise unterscheidet sich je nach Anbieter und Anwendung. Das Grundprinzip ist jedoch meistens ähnlich.
Zunächst wird ein Passwort-Tresor eingerichtet. Anschließend können vorhandene Zugangsdaten darin gespeichert werden. Bei der Anmeldung auf einer Website oder in einer App erkennt der Passwortmanager häufig das entsprechende Eingabefeld und kann die hinterlegten Daten automatisch eintragen.
Bei einem neuen Benutzerkonto kann ein integrierter Passwortgenerator zudem ein zufälliges Passwort erzeugen. Statt eines einfachen Passworts wie „urlaub2026“ entsteht dadurch beispielsweise eine lange, zufällige Zeichenfolge, die keinem persönlichen Muster folgt.
Der entscheidende Vorteil: Der Nutzer muss sich diese Zeichenfolge nicht merken. Die Zeichenfolge liegt im Passwortmanager und wird bei Bedarf abgerufen.
- Speichern: Benutzernamen, Passwörter, Adressen der Dienste und sichere Notizen liegen an einem Ort.
- Erkennen: Das Programm findet bei der Anmeldung das passende Eingabefeld.
- Erzeugen: Für neue Konten entsteht eine zufällige Zeichenfolge ohne persönliches Muster.
Warum sollten Sie nicht überall dasselbe Passwort verwenden?
Ein wiederverwendetes Passwort öffnet nach einem einzigen Datenleck gleich mehrere Konten, weil automatisierte Systeme erbeutete Kombinationen bei bekannten Plattformen durchprobieren. Am gefährlichsten ist die Wiederverwendung beim E-Mail-Postfach, über das sich andere Passwörter zurücksetzen lassen.
Die Mehrfachverwendung von Passwörtern gehört zu den größten vermeidbaren Problemen bei der Verwaltung von Onlinekonten.
Angenommen, jemand verwendet dieselbe Kombination aus E-Mail-Adresse und Passwort bei zehn verschiedenen Diensten. Wird einer dieser Dienste kompromittiert und gelangen Zugangsdaten nach außen, können automatisierte Systeme ausprobieren, ob dieselben Daten auch bei anderen bekannten Plattformen funktionieren.
Dieses Vorgehen wird häufig als Credential Stuffing bezeichnet. Das BSI beschreibt auf seiner Seite zu sicheren Passwörtern, dass Angreifer einmal im Internet veröffentlichte Zugangsdaten vollautomatisch bei allen möglichen Diensten durchprobieren.
Besonders heikel wird die Lage, sobald dasselbe Passwort auch das E-Mail-Konto schützt. Über das E-Mail-Postfach können schließlich bei vielen anderen Diensten neue Passwörter angefordert werden.
Würde jemand für die Haustür, das Auto und das Bankschließfach denselben Schlüssel nachmachen lassen und Kopien davon an zehn Stellen hinterlegen? Bei Passwörtern geschieht genau das jeden Tag, nur dass niemand bemerkt, wenn eine der Kopien abhandenkommt.
Die bessere Strategie lautet daher: Ein Konto, ein eigenes Passwort. Diese Regel durchzuhalten, fällt mit einem Passwortmanager deutlich leichter.
Credential Stuffing lebt davon, dass dieselbe Kombination bei mehreren Diensten funktioniert. Das E-Mail-Postfach verdient den stärksten Schutz, weil darüber die Passwörter der übrigen Konten zurückgesetzt werden.
Was macht ein gutes Passwort aus?
Ein gutes Passwort ist lang, zufällig und für genau ein Konto im Einsatz. Das BSI nennt als Richtwert 20 bis 25 Zeichen aus zwei Zeichenarten oder 8 bis 12 Zeichen aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen.
Über viele Jahre wurde Nutzern empfohlen, Passwörter aus möglichst vielen Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen zusammenzusetzen. Diese Bestandteile können weiterhin sinnvoll sein, entscheidend sind jedoch vor allem die ausreichende Länge und fehlende Vorhersehbarkeit.
Problematisch sind beispielsweise Passwörter wie:
- Passwort123
- Hamburg2026
- Sommerurlaub!
- 123456789
- Vorname plus Geburtsjahr
Auch einfache Veränderungen eines regelmäßig verwendeten Passworts bieten nur begrenzten Schutz. Das BSI rät ausdrücklich davon ab, Ziffern ans Ende eines simplen Passworts zu hängen oder ein Zeichen wie „!“ oder „?“ voranzustellen.
Das Hasso-Plattner-Institut wertet jedes Jahr geleakte Zugangsdaten aus. Für 2025 lag „123456“ auf dem ersten Platz, gefolgt von „123456789“. Auch große Einrichtungen machen diesen Fehler, wie unser Beitrag über das Passwort „Louvre“ der Videoüberwachung im Pariser Louvre zeigt.
Statt sich selbst immer neue Kombinationen auszudenken, lassen Nutzer besser einen Passwortgenerator zufällige Zugangscodes erstellen. Dadurch entstehen keine typischen menschlichen Muster.
Vier Richtwerte von BSI und NIST: Je weniger Zeichenarten, desto mehr Länge braucht das Passwort
Zeichen aus zwei Zeichenarten
BeispielEine Folge mehrerer Wörter, etwa als Passphrase
Zeichen aus vier Zeichenarten
ZeichenartenGroß- und Kleinbuchstaben, Zahlen und Sonderzeichen
Zeichen aus drei Zeichenarten plus Mehr-Faktor-Anmeldung
Zweiter FaktorFingerabdruck, Bestätigung per App oder PIN
Zeichen Mindestlänge laut NIST SP 800-63B-4
DazuKeine Pflicht zu Sonderzeichen, kein Wechsel nach Kalender
Der Passwortgenerator als wichtiger Bestandteil
Viele Passwortmanager verfügen über einen integrierten Generator. Darin lässt sich beispielsweise festlegen, wie lang ein Passwort sein soll und welche Zeichen verwendet werden dürfen.
Der große Vorteil: Das erzeugte Passwort muss nicht leicht zu merken sein, denn der Nutzer braucht die Zeichenfolge nicht auswendig zu kennen. So können für unterschiedliche Dienste vollständig unabhängige Passwörter verwendet werden.
Bei 80 Benutzerkonten lassen sich theoretisch 80 völlig unterschiedliche und zufällig erzeugte Passwörter verwenden, ohne sie sich merken zu müssen.
Was ist das Master-Passwort?
Das Master- oder Hauptpasswort schützt den Zugang zum Passwort-Tresor. Das Master-Passwort hat deshalb besonderes Gewicht.
Während die übrigen Passwörter automatisch generiert und gespeichert werden können, sollte das Hauptpasswort zugleich sicher und merkbar sein. Eine Möglichkeit sind längere Passphrasen. In einer Passphrase werden mehrere Wörter zu einer längeren Kombination verbunden. Das BSI schlägt vor, fünf bis sechs zufällige Wörter aus dem Wörterbuch zu wählen und mit Leerzeichen zu trennen.
Bekannte Zitate, Songtexte oder leicht zu erratende persönliche Informationen scheiden dabei aus. Das Hauptpasswort sollte außerdem nirgendwo anders eingesetzt werden.
Ein Master-Passwort, das gleichzeitig einen Onlineshop, einen Streamingdienst oder das E-Mail-Konto schützt, schwächt das Sicherheitskonzept erheblich.
- Zufall: Ein Generator erzeugt Passwörter ohne persönliches Muster.
- Passphrase: Fünf bis sechs zufällige Wörter ergeben ein merkbares Hauptpasswort.
- Exklusiv: Das Master-Passwort schützt nur den Tresor und kein anderes Konto.
Wie sicher ist der Tresor?
Ein seriöser Passwortmanager legt die Zugangsdaten verschlüsselt ab, sodass sie ohne den passenden Schlüssel nicht als lesbarer Text vorliegen. Wie gut dieser Schutz ist, hängt von Verschlüsselung, Sicherheitsupdates, unabhängigen Prüfungen und einem starken Master-Passwort ab.
Alle Passwörter an einem Ort: ein Risiko?
In einem Passwortmanager liegen viele sensible Zugangsdaten in einem einzigen System, deshalb fürchten viele Nutzer, ein einziger Angriff könne alle Konten auf einmal offenlegen.
Seriöse Passwortmanager schützen diese Daten mit Verschlüsselungsverfahren, durch die gespeicherte Informationen nicht einfach als lesbarer Text vorliegen. Das BSI vergleicht einen Passwortmanager mit einem Notizbuch, das in einer Schublade eingeschlossen ist und dessen Inhalte nur die Besitzerin oder der Besitzer einsehen kann.
Gleichzeitig muss man berücksichtigen, wie die Alternative häufig aussieht: identische Passwörter für mehrere Dienste, kurze Passwörter, Zugangsdaten in ungeschützten Dokumenten oder handschriftliche Zettel am Arbeitsplatz.
Ein Passwortmanager beseitigt nicht jedes denkbare Sicherheitsrisiko. Richtig eingesetzt, kann das Programm aber helfen, wesentliche Schwachstellen menschlicher Passwortgewohnheiten zu reduzieren.
Verschlüsselung: Das technische Fundament
Die Verschlüsselung gehört zu den wichtigsten Bestandteilen einer digitalen Passwortverwaltung. Vereinfacht gesagt werden die gespeicherten Daten mathematisch so umgewandelt, dass sie ohne den passenden Schlüssel nicht sinnvoll gelesen werden können.
Bei der Auswahl eines Passwortmanagers lohnt deshalb ein genauer Blick. Nutzer sollten nachvollziehen können, wie die Daten verschlüsselt werden, wo sie gespeichert werden und welche Sicherheitsmechanismen der Anbieter verwendet.
Relevant ist nicht nur die Verschlüsselung selbst. Auch Fragen wie Sicherheitsupdates, unabhängige Prüfungen, Wiederherstellungsverfahren und der Umgang mit Sicherheitslücken können bei der Beurteilung eine Rolle spielen.
Cloud oder lokale Speicherung?
Passwortmanager können unterschiedlich organisiert sein. Bei cloudbasierten Lösungen wird der verschlüsselte Passwort-Tresor zwischen verschiedenen Geräten synchronisiert. So stehen die Zugangsdaten beispielsweise auf dem Notebook, Smartphone und Tablet zur Verfügung.
Bequem ist das Verfahren, weil Änderungen automatisch übernommen werden können.
Andere Lösungen speichern die Passwortdatenbank hauptsächlich lokal. Der Nutzer hat dadurch mehr Verantwortung für Synchronisation und Datensicherung.
| Speicherort | Cloudbasierter Tresor | Lokale Passwortdatenbank |
|---|---|---|
| Verfügbarkeit | auf Notebook, Smartphone und Tablet | zunächst nur auf dem Gerät mit der Datenbank |
| Änderungen | werden automatisch auf alle Geräte übernommen | müssen selbst abgeglichen werden |
| Datensicherung | läuft über die Synchronisation mit | liegt in der Verantwortung des Nutzers |
Beide Ansätze haben Vor- und Nachteile. Für Einsteiger ist häufig entscheidend, dass die gewählte Lösung zuverlässig genutzt wird und nicht aufgrund einer komplizierten Bedienung irgendwann wieder aufgegeben wird.
Unsere Einschätzung: Der Tresor ist selten das schwächste Glied der Kette. Angreifer kommen in der Regel über wiederverwendete, kurze oder abgefangene Passwörter in ein Konto, und genau gegen diese Schwachstellen richtet sich ein Passwortmanager. Mehr Grund zur Sorge als der Tresor gibt der Zettel am Bildschirm.
Verschlüsselung, regelmäßige Updates und ein starkes Master-Passwort entscheiden über die Sicherheit des Tresors. Ob der Tresor in der Cloud oder lokal liegt, ist vor allem eine Frage von Bequemlichkeit und eigener Verantwortung für die Datensicherung.
Das BSI empfiehlt seit Jahren Passwortmanager, doch nur 46 % der Internetnutzer verwenden überhaupt starke Passwörter.
Markus Seyfferth, Chefredakteur Dr. Web
Wie hilft ein Passwortmanager im Alltag?
Im Alltag trägt ein Passwortmanager die Zugangsdaten auf Computer und Smartphone automatisch ein, sobald er eine gespeicherte Website oder App erkennt. Weil die Daten an eine Internetadresse gebunden sind, bietet das Programm auf gefälschten Seiten oft keine Zugangsdaten an.
Passwortmanager auf Smartphone und Computer
Besonders praktisch wird eine Passwortverwaltung, wenn sie geräteübergreifend funktioniert. Am Computer können Browser-Erweiterungen erkennen, auf welcher Website sich der Nutzer befindet. Auf Smartphones lassen sich Zugangsdaten je nach Betriebssystem ebenfalls direkt in Apps und Webseiten einsetzen.
Statt „Website öffnen, Passwort überlegen, ausprobieren, Passwort zurücksetzen“ läuft der Vorgang dann so ab: Website öffnen, Anmeldung auswählen, Zugangsdaten einfügen, anmelden.
Der Komfort ist dabei nicht nur angenehm, sondern auch ein Gewinn für die Sicherheit, weil komplizierte Passwörter im Alltag weniger lästig werden. Die US-Standardisierungsbehörde NIST verlangt deshalb in ihrer Richtlinie SP 800-63B-4, dass Betreiber Passwortmanager und automatisches Ausfüllen zulassen.
Autofill: Praktisch, aber bewusst verwenden
Das automatische Ausfüllen von Zugangsdaten wird häufig als Autofill bezeichnet. Der Passwortmanager erkennt dabei eine Website oder App und bietet die passenden gespeicherten Zugangsdaten an. Je nach Anwendung können Benutzername und Passwort anschließend automatisch eingetragen werden.
Nutzer sollten trotzdem auf der Hut sein. Insbesondere bei unbekannten Links oder ungewöhnlich aussehenden Anmeldeseiten lohnt sich ein Blick auf die tatsächliche Internetadresse.
Denn auch ein Passwortmanager ersetzt nicht die grundlegende Vorsicht gegenüber Phishing.
Was ist Phishing?
Beim Phishing versuchen Betrüger, Nutzer auf gefälschte Websites zu locken oder anderweitig zur Herausgabe vertraulicher Daten zu bewegen. Eine gefälschte Anmeldeseite kann beispielsweise nahezu genauso aussehen wie die Website einer Bank, eines Paketdienstes oder eines bekannten Onlineshops.
Tippt jemand dort Benutzername und Passwort von Hand ein, übermittelt er die Daten möglicherweise direkt an Kriminelle.
Passwortmanager können hier in bestimmten Situationen einen zusätzlichen Schutz bieten, weil gespeicherte Zugangsdaten üblicherweise einer bestimmten Internetadresse zugeordnet sind. Wird eine völlig andere Domain aufgerufen, werden die passenden Zugangsdaten möglicherweise nicht automatisch angeboten. Das BSI zählt die Warnung vor solchen abweichenden Adressen zu den Vorteilen eines Passwortmanagers.
Allein auf diesen Schutz sollte man sich allerdings nicht verlassen. Links, Domains und ungewöhnliche Aufforderungen sollten weiterhin kritisch geprüft werden.
Autofill spart auf jedem Gerät das Abtippen langer Passwörter und bietet auf einer fremden Domain oft gar keine Zugangsdaten an. Die Bindung an die Domain ersetzt den Blick auf die Internetadresse nicht.
Warum gehört die Zwei-Faktor-Authentifizierung dazu?
Die Zwei-Faktor-Authentifizierung verlangt bei der Anmeldung neben dem Passwort einen zweiten Nachweis, etwa einen Code aus einer App. Selbst ein erbeutetes Passwort öffnet das Konto dann nicht allein.
Ein starkes Passwort ist wichtig, aber bei besonders relevanten Konten sollte möglichst ein zusätzlicher Schutz hinzukommen. Diesen Schutz liefert die Zwei-Faktor-Authentifizierung (2FA).
Bei diesem Verfahren reicht das Passwort allein nicht zur Anmeldung. Zusätzlich wird ein zweiter Faktor benötigt, beispielsweise:
- ein zeitlich begrenzter Code aus einer Authenticator-App
- eine Bestätigung auf einem registrierten Gerät
- ein Hardware-Sicherheitsschlüssel
- je nach Dienst ein anderes Authentifizierungsverfahren
Selbst wenn ein Passwort bekannt wird, fehlt einem Angreifer damit möglicherweise weiterhin der zweite Faktor. Der zweite Faktor schützt das Konto also, solange der Angreifer nicht auch das Gerät oder den Schlüssel erbeutet.
Besonders für E-Mail-Konten, Cloudspeicher, Finanzdienste und andere wichtige Konten ist eine zusätzliche Absicherung sinnvoll. Eine Mehrheit nutzt das Verfahren noch nicht: Im Cybersicherheitsmonitor 2026 gaben 40 % der Befragten an, die Zwei-Faktor-Authentifizierung zu nutzen, 21 % meldeten sich auch passwortlos an, etwa mit Passkeys.
Können Passwörter auch im Browser gespeichert werden?
Moderne Browser bieten ebenfalls Möglichkeiten, Passwörter zu speichern und teilweise zwischen Geräten zu synchronisieren. Für viele Nutzer stellt sich deshalb die Frage, ob überhaupt eine separate Passwortverwaltung notwendig ist.
Pauschal beantworten lässt sich die Frage nicht.
Browserbasierte Lösungen können für einfache Nutzungsszenarien ausreichend sein. Eigenständige Passwortmanager bieten je nach Produkt jedoch zusätzliche Möglichkeiten, beispielsweise eine browserübergreifende Nutzung, umfangreichere Organisation, sichere Notizen oder spezielle Verwaltungsfunktionen.
| Kriterium | Passwortspeicher im Browser | Eigenständiger Passwortmanager |
|---|---|---|
| Einrichtung | meist schon vorhanden, ohne großen Aufwand nutzbar | eigene Installation und eigenes Master-Passwort |
| Nutzung | an den jeweiligen Browser gebunden | je nach Produkt browser- und geräteübergreifend |
| Zusatzfunktionen | Speichern, Ausfüllen, teils Synchronisation | je nach Produkt sichere Notizen, Freigaben, Verwaltungsfunktionen |
| Hinweis des BSI | Zugangsdaten lassen sich relativ einfach von Schadsoftware auslesen | Verschlüsselung und Master-Passwort schützen den Tresor |
Mehr als die Bezeichnung der Software zählen das Sicherheitskonzept und die tatsächliche Nutzung. Ein perfekt ausgestatteter Passwortmanager bringt wenig, wenn Nutzer weiterhin dieselben drei Passwörter für sämtliche Konten verwenden.
Nur 40 % der Befragten im BSI-Monitor nutzen 2FA, obwohl der zweite Faktor ein gestohlenes Passwort entwertet. Ob Browser oder eigenständiges Programm: Mit denselben drei Passwörtern für alle Konten hilft keine der beiden Lösungen.
Was passiert, wenn Master-Passwort oder Smartphone verloren gehen?
Ein vergessenes Master-Passwort lässt sich je nach Anbieter nur über vorab eingerichtete Wege wie Wiederherstellungscodes zurückholen, manchmal gar nicht. Ein verlorenes Smartphone gibt die Passwörter dagegen nicht automatisch frei, solange Gerät und Tresor getrennt gesperrt sind.
Was passiert, wenn ich mein Master-Passwort vergesse?
Die Frage sollten Nutzer schon vor der Einrichtung klären. Je nach Sicherheitskonzept eines Anbieters kann die Wiederherstellung eines vergessenen Hauptpassworts schwierig oder sogar unmöglich sein. Diese Hürde kann gewollter Teil des Sicherheitsmodells sein, denn ohne Master-Passwort soll niemand an die Daten kommen. Das BSI warnt deshalb, dass beim Verlust des Master-Passworts im schlimmsten Fall alle Daten verloren sind.
Nutzer sollten deshalb prüfen, welche Möglichkeiten zur Kontowiederherstellung angeboten werden. Je nach Lösung gehören beispielsweise Wiederherstellungscodes, hinterlegte Geräte oder andere Verfahren dazu.
Was passiert, wenn das Smartphone verloren geht?
Der Verlust eines Smartphones bedeutet nicht automatisch, dass sämtliche gespeicherten Passwörter frei zugänglich sind. Das Gerät selbst sollte zunächst durch PIN, Passwort oder biometrische Verfahren geschützt sein. Zusätzlich sollte der Passwortmanager eine eigene Zugriffssicherung besitzen.
Trotzdem lohnt vorab ein Blick darauf, welche Möglichkeiten bei einem Geräteverlust bestehen. Meist lassen sich Geräte aus einem Konto entfernen und aktive Sitzungen beenden. Danach wird der Zugang auf einem neuen Gerät wiederhergestellt, besonders wichtige Konten werden kontrolliert, und bei konkretem Verdacht werden die betroffenen Zugangsdaten geändert.
Mit einem vorab durchdachten Plan muss im Ernstfall niemand erst nach den notwendigen Schritten suchen.
- Wiederherstellung: Codes oder hinterlegte Geräte vor dem ersten Vergessen einrichten.
- Doppelte Sperre: Smartphone und Passwortmanager getrennt absichern.
- Geräteverlust: Sitzungen beenden und das alte Gerät aus dem Konto entfernen.
Wie wechseln Sie auf einen Passwortmanager?
Der Wechsel gelingt schrittweise: zuerst E-Mail, Finanzdienste und Cloudspeicher, danach jedes weitere Konto bei der nächsten Anmeldung. Doppelt verwendete Passwörter werden dabei durch neue, zufällige ersetzt, ein routinemäßiger Austausch aller Passwörter ist nicht nötig.
Die Vorstellung, plötzlich sämtliche Passwörter ändern zu müssen, hält manche Nutzer von der Umstellung ab. Die Migration muss aber nicht an einem einzigen Tag erfolgen.
Ein pragmatischer Einstieg besteht darin, zunächst die wichtigsten Konten aufzunehmen: E-Mail-Konten, Finanz- und Zahlungsdienste, Cloudspeicher, soziale Netzwerke und Onlineshops mit hinterlegten Zahlungsinformationen. Anschließend können weitere Konten nach und nach ergänzt werden.
Immer wenn man sich bei einem bislang nicht erfassten Dienst anmeldet, kann das bestehende Passwort gespeichert oder direkt durch ein neues, einzigartiges Passwort ersetzt werden. Nach einigen Wochen oder Monaten befindet sich auf diese Weise ein großer Teil der regelmäßig verwendeten Konten im Passwortmanager.
Alte und doppelt verwendete Passwörter ersetzen
Die Einführung eines Passwortmanagers ist ein guter Zeitpunkt für eine kleine digitale Bestandsaufnahme. Besonders wichtig ist, mehrfach verwendete Passwörter zu identifizieren.
Alte Zugangsdaten bleiben jahrelang gefährlich. Nach dem Angriff auf Kundenkonten des Cloud-Datenanbieters Snowflake im Jahr 2024 stellte die Sicherheitsfirma Mandiant fest, dass mindestens 79,7 % der missbrauchten Konten bereits zuvor offengelegte Zugangsdaten hatten, die älteste zugehörige Infektion mit Schadsoftware stammte vom November 2020. Eine Zwei-Faktor-Authentifizierung war bei den betroffenen Konten nicht eingerichtet. Den Ablauf schildert unser Beitrag zum Snowflake-Hack mit jahrelang gültigen Passwörtern.
Ist dasselbe Passwort seit Jahren bei verschiedenen Diensten im Einsatz, sollten zuerst die wichtigsten Konten an die Reihe kommen. Bewährt hat sich folgende Reihenfolge: E-Mail, Finanzen, Cloud, soziale Netzwerke, Shopping, übrige Dienste.
Das E-Mail-Konto hat eine besonders hohe Priorität, weil das Postfach häufig als zentrale Stelle für Passwort-Resets anderer Konten dient.
Muss man regelmäßig alle Passwörter ändern?
Die frühere Empfehlung, sämtliche Passwörter routinemäßig alle paar Monate auszutauschen, gilt heute als überholt. Häufige erzwungene Änderungen können sogar dazu führen, dass Nutzer vorhersehbare Varianten erstellen.
Statt aus „MeinPasswort!1“ anschließend „MeinPasswort!2“ und später „MeinPasswort!3“ zu machen, wählen Nutzer besser ein langes und einzigartiges Passwort.
| Anlass für einen Passwortwechsel | Quelle der Empfehlung |
|---|---|
| Hinweis auf eine Kompromittierung, etwa ein gemeldetes Datenleck | BSI, NIST SP 800-63B-4 |
| Aufforderung des Diensteanbieters, das Passwort zu ändern | BSI |
| Phishing- oder Spam-Mail mit korrekten persönlichen Daten | BSI |
| Schadsoftware auf dem eigenen Gerät | BSI |
| Dasselbe Passwort ist bei mehreren Diensten im Einsatz | BSI: ein Passwort „immer nur für einen Zugang“ |
| Fester Kalendertermin ohne Anlass | kein Grund laut NIST SP 800-63B-4 |
Die US-Standardisierungsbehörde NIST hat diese Linie 2025 in ihrer Richtlinie SP 800-63B-4 festgeschrieben: Betreiber dürfen keinen Passwortwechsel in festen Abständen verlangen, müssen einen Wechsel aber erzwingen, sobald Hinweise auf eine Kompromittierung vorliegen. Passwörter, die allein ein Konto schützen, müssen laut NIST mindestens 15 Zeichen lang sein.
Ein Passwort sollte insbesondere geändert werden, sobald Hinweise auf eine Kompromittierung vorliegen, bei einem betroffenen Dienst ein Sicherheitsvorfall bekannt geworden ist oder dasselbe Passwort an mehreren Stellen im Einsatz war. Das BSI nennt als weitere Anlässe eine Phishing-Mail mit korrekten persönlichen Daten und eine Infektion des Geräts mit Schadsoftware.
Ein Passwort wird gewechselt, sobald ein Leck, ein Sicherheitsvorfall oder eine Mehrfachnutzung bekannt ist, nicht nach Kalender. Wie lange ein vergessenes Altpasswort gefährlich bleibt, zeigen die Snowflake-Konten mit Zugangsdaten aus dem Jahr 2020.
Was sollte ein Passwortmanager können?
Ein Passwortmanager sollte die Daten nachvollziehbar verschlüsseln, auf allen genutzten Geräten und in allen Browsern laufen, starke Passwörter erzeugen und das eigene Konto per zweitem Faktor schützen. Ebenso wichtig sind ein klarer Weg zur Wiederherstellung und ein Export der eigenen Daten.
Beim Vergleich verschiedener Lösungen zählt nicht allein die Zahl der Funktionen. Wichtiger sind einige grundlegende Kriterien:
| Kriterium | Prüffrage |
|---|---|
| Sicherheit | Wie werden die gespeicherten Informationen geschützt und verschlüsselt? |
| Transparenz | Sind Informationen über Sicherheitskonzept und Datenschutz verständlich verfügbar? |
| Geräteunterstützung | Funktioniert die Lösung auf den regelmäßig genutzten Geräten und Betriebssystemen? |
| Browserunterstützung | Lassen sich Zugangsdaten in den bevorzugten Browsern komfortabel verwenden? |
| Passwortgenerator | Können starke, zufällige Passwörter automatisch erzeugt werden? |
| Synchronisation | Können Zugangsdaten bei Bedarf sicher zwischen mehreren Geräten abgeglichen werden? |
| Zwei-Faktor-Authentifizierung | Lässt sich das Konto zusätzlich schützen? |
| Wiederherstellung | Was passiert bei Verlust des Hauptpassworts oder eines Gerätes? |
| Exportmöglichkeiten | Können die eigenen Daten bei Bedarf gesichert oder zu einer anderen Lösung übertragen werden? |
Kostenlose oder kostenpflichtige Passwortmanager?
Sowohl kostenlose als auch kostenpflichtige Angebote können grundsätzlich geeignet sein. Die Entscheidung sollte nicht allein vom Preis abhängen. Relevant ist vielmehr, welche Funktionen benötigt werden und welches Sicherheitskonzept dahintersteht.
Für einen einzelnen Nutzer mit wenigen Geräten kann eine einfache Lösung ausreichend sein. Familien oder Nutzer mit vielen Geräten benötigen möglicherweise Funktionen zur gemeinsamen Nutzung bestimmter Zugangsdaten oder zur Synchronisation über mehrere Plattformen.
Zentrale Sicherheitsfunktionen sollten nicht zugunsten eines besonders günstigen Angebots vernachlässigt werden.
Passwörter mit anderen Personen teilen
In Familien und Unternehmen benötigen manchmal mehrere Personen Zugriff auf dasselbe Konto. Das klassische Vorgehen sieht häufig so aus: „Ich schicke dir das Passwort kurz per Messenger.“ Die beste Lösung ist dieser Weg nicht immer.
Einige Passwortmanager ermöglichen deshalb die gezielte Freigabe bestimmter Zugangsdaten. So muss nicht zwangsläufig die gesamte Passwortsammlung geteilt werden. Bei gemeinsam genutzten Konten sollte außerdem klar sein, wer Zugriff besitzt und wie dieser Zugriff wieder entzogen werden kann.
Was gehört nicht in ungeschützte Dateien?
Passwörter werden noch immer häufig in Dateien mit Namen wie „Passwörter.xlsx“, „Zugangsdaten.docx“ oder „Logins.txt“ gespeichert. Besonders heikel sind solche Dateien, sobald sie unverschlüsselt auf dem Desktop, in frei zugänglichen Cloudordnern oder auf gemeinsam genutzten Geräten liegen.
Auch Fotos oder Screenshots von Passwörtern können später vergessen werden und beispielsweise automatisch in einer Fotocloud landen. Das BSI rät, Passwörter niemals unverschlüsselt auf dem PC abzulegen; Notizen auf Papier gehören unter Verschluss. Vor dem Speichern vertraulicher Informationen hilft deshalb immer eine Frage: Wer könnte theoretisch auf diesen Speicherort zugreifen?
- Preis: Für wenige Geräte kann eine einfache, auch kostenlose Lösung genügen, Familien brauchen Freigaben und Synchronisation.
- Teilen: Einzelne Zugangsdaten gezielt freigeben statt per Messenger verschicken.
- Dateien: Eine Tabelle namens „Passwörter.xlsx“ im Cloudordner ersetzt keinen Tresor.
Welche Fehler sollten Einsteiger vermeiden?
Der folgenreichste Fehler ist ein schwaches oder mehrfach genutztes Master-Passwort. Hinzu kommen ein Tresor ohne zweiten Faktor, veraltete Software, eine fehlende Wiederherstellungsstrategie und ein Tresor, der auf einem gemeinsam genutzten Gerät dauerhaft entsperrt bleibt.
Passwortmanager ersetzen nicht alle Sicherheitsmaßnahmen
Ein Passwortmanager ist ein Werkzeug und keine vollständige Sicherheitslösung. Auch mit sicher verwalteten Passwörtern bleiben andere Schutzmaßnahmen wichtig:
- Betriebssystem und Programme aktuell halten
- Sicherheitsupdates installieren
- Zwei-Faktor-Authentifizierung verwenden
- Verdächtige E-Mails kritisch prüfen
- Unbekannte Anhänge nicht leichtfertig öffnen
- Internetadressen kontrollieren
- Geräte durch PIN oder Passwort schützen
- Regelmäßige Backups wichtiger Daten erstellen
Typische Fehler bei der Nutzung eines Passwortmanagers
Ein besonders kritischer Fehler ist ein schwaches Hauptpasswort. Ein Master-Passwort wie „Passwort123“ widerspricht dem gesamten Sicherheitsgedanken. Ebenso problematisch ist, das Hauptpasswort bei anderen Diensten wiederzuverwenden.
Weitere typische Fehler sind eine fehlende zusätzliche Absicherung des Passwortmanager-Kontos, nicht aktualisierte Software oder eine unklare Wiederherstellungsstrategie. Auch sollte der Passwort-Tresor nicht dauerhaft entsperrt bleiben, wenn andere Personen Zugriff auf das Gerät haben.
Updates, Backups und ein misstrauischer Blick auf Anhänge bleiben Pflicht, auch mit Passwortmanager. Ein Master-Passwort wie „Passwort123“ macht den besten Tresor wertlos.
Wie sieht ein einfacher Sicherheitsplan für Einsteiger aus?
Der Sicherheitsplan umfasst acht Schritte: Passwortmanager auswählen, starkes Hauptpasswort anlegen, zweiten Faktor aktivieren, zuerst das E-Mail-Konto absichern, dann die übrigen wichtigen Konten übernehmen, Dubletten ersetzen, neue Konten mit Zufallspasswörtern absichern und die Wiederherstellung prüfen.
Wer seine Passwortverwaltung verbessern möchte, muss daraus kein kompliziertes IT-Projekt machen. Ein sinnvoller Einstieg kann in wenigen Schritten erfolgen.
Acht Schritte vom ersten Tresor bis zur Routine, das E-Mail-Konto kommt vor allen anderen Konten
- 1
StartEinen geeigneten Passwortmanager auswählen.
- 2
StartEin langes und einzigartiges Hauptpasswort erstellen.
- 3
StartFalls verfügbar, zusätzliche Authentifizierung aktivieren.
- 4
UmstiegZuerst das E-Mail-Konto absichern.
- 5
UmstiegDanach wichtige Finanz-, Cloud- und Social-Media-Konten übernehmen.
- 6
UmstiegDoppelt verwendete Passwörter schrittweise ersetzen.
- 7
RoutineFür neue Konten künftig automatisch individuelle Passwörter erzeugen.
- 8
RoutineWiederherstellungsoptionen prüfen und Wiederherstellungscodes sicher aufbewahren.
Mit diesen acht Schritten ist bereits ein großer Teil der alltäglichen Passwortprobleme gelöst.
Sichere Passwörter sind vor allem eine Frage guter Gewohnheiten
Die größte Herausforderung bei Passwörtern ist häufig nicht die Technik, sondern der Alltag. Menschen bevorzugen verständlicherweise Zugangsdaten, die sie sich leicht merken können. Gleichzeitig steigt mit jedem neuen Onlinekonto die Zahl der benötigten Passwörter.
Ein Passwortmanager löst diesen Widerspruch auf eine praktische Weise: Die Passwörter dürfen kompliziert sein, weil der Nutzer sie nicht mehr alle kennen muss. So wird eine Sicherheitsregel realistisch umsetzbar, die ohne technische Unterstützung kaum praktikabel wäre: für jedes Konto ein eigenes, starkes Passwort. Nach einigen Wochen geht der Griff zum Tresor in Fleisch und Blut über.
Acht Schritte genügen für den Einstieg, das E-Mail-Konto zieht als erstes Konto um, direkt nach dem zweiten Faktor. Danach erledigt die Routine den Rest, weil außer dem Master-Passwort kein Passwort mehr im Kopf bleiben muss.
Fazit: Weniger merken und trotzdem sicherer mit Passwörtern umgehen
Ein Passwortmanager kann die Verwaltung digitaler Zugangsdaten deutlich vereinfachen. Statt einige wenige Passwörter immer wieder zu verwenden oder zahlreiche Kombinationen im Kopf zu behalten, lassen Nutzer für einzelne Konten lange und einzigartige Passwörter erzeugen und geschützt speichern. Der Tresor selbst ist dabei das kleinere Risiko, die alten Gewohnheiten sind das größere.
Ohne richtige Einrichtung und Pflege hilft allerdings auch der beste Tresor wenig: Ein starkes Hauptpasswort, zusätzliche Authentifizierung, aktuelle Software und ein bewusster Umgang mit Phishing-Mails oder verdächtigen Anfragen gehören weiterhin dazu.
Gerade für Einsteiger muss sichere Passwortverwaltung dabei nicht kompliziert sein. Kommen zuerst die wichtigsten Konten und danach Schritt für Schritt die übrigen Zugangsdaten in den Tresor, lassen sich die eigenen Passwortgewohnheiten ohne großen Aufwand grundlegend verbessern. Der wichtigste Grundsatz bleibt einfach: ein einzigartiges Passwort für jeden Dienst und ein besonders gut geschützter Zugang zum Passwort-Tresor.
Glossar: 13 wichtige Fachbegriffe zu Passwortmanagern
Autofill
Autofill bezeichnet das automatische Ausfüllen von Anmeldefeldern mit gespeicherten Zugangsdaten. Der Passwortmanager erkennt dafür die Website oder App und schlägt Benutzername und Passwort vor. Weil die Daten an eine Adresse gebunden sind, bleibt das Feld auf einer fremden Domain meist leer.
Credential Stuffing
Credential Stuffing ist ein automatisierter Angriff, bei dem erbeutete Kombinationen aus E-Mail-Adresse und Passwort massenhaft bei anderen Diensten ausprobiert werden. Erfolgreich ist das Verfahren nur, solange Nutzer ein Passwort mehrfach verwenden. Ein eigenes Passwort je Konto lässt den Angriff deshalb ins Leere laufen.
Domain
Eine Domain ist der Name einer Website im Internet, etwa „beispiel.de“ in einer Adresse. Phishing-Seiten nutzen oft Domains, die dem Original zum Verwechseln ähneln. Ein Blick auf die tatsächliche Adresse in der Browserzeile entlarvt viele Fälschungen.
Hardware-Sicherheitsschlüssel
Ein Hardware-Sicherheitsschlüssel ist ein kleines Gerät, das meist per USB oder per Funk verbunden wird und bei der Anmeldung als zweiter Faktor dient. Das BSI schreibt hardwaregestützten Verfahren ein hohes Maß an Sicherheit zu und empfiehlt sie zusätzlich zu einem starken Passwort.
Infostealer
Ein Infostealer ist Schadsoftware, die auf einem infizierten Gerät gespeicherte Zugangsdaten, Browserdaten und Sitzungsinformationen ausliest und an Kriminelle schickt. Die Beute taucht später in Datensätzen auf, die Angreifer kaufen und für Angriffe wie beim Snowflake-Vorfall nutzen.
Master-Passwort
Das Master-Passwort, auch Hauptpasswort genannt, öffnet den Tresor eines Passwortmanagers. Vergisst der Nutzer das Master-Passwort, sind je nach Sicherheitskonzept alle gespeicherten Daten verloren. Deshalb gehört neben Länge und Einzigartigkeit ein Wiederherstellungsweg zur Einrichtung.
Passkey
Ein Passkey ersetzt bei der Anmeldung das Passwort durch ein kryptografisches Schlüsselpaar. Der geheime Teil bleibt auf dem Gerät und wird etwa per Fingerabdruck oder PIN freigegeben. Weil niemand einen Passkey abtippt, lässt er sich auf einer gefälschten Seite nicht abgreifen.
Passphrase
Eine Passphrase ist ein Passwort aus mehreren Wörtern, etwa fünf bis sechs zufällig gewählten Begriffen mit Leerzeichen dazwischen. Die Länge macht die Passphrase schwer zu knacken, die Wörter machen sie leicht zu merken. Für das Master-Passwort eignet sich diese Form besonders.
Passwortgenerator
Ein Passwortgenerator erzeugt zufällige Zeichenfolgen nach festgelegten Regeln, etwa zu Länge und erlaubten Zeichen. In Passwortmanagern ist er meist eingebaut. Weil der Zufall kein persönliches Muster kennt, entstehen Passwörter, die sich nicht aus Namen oder Geburtsdaten erraten lassen.
Phishing
Phishing bezeichnet Betrugsversuche, bei denen Kriminelle mit gefälschten E-Mails, Nachrichten oder Websites Zugangsdaten abgreifen. Im Cybersicherheitsmonitor 2026 meldeten 12 % der Opfer von Cyberkriminalität einen Phishing-Angriff. Ein Passwortmanager bietet auf fremden Domains meist keine Daten an.
Synchronisation
Die Synchronisation gleicht den verschlüsselten Tresor zwischen mehreren Geräten ab, etwa zwischen Notebook, Smartphone und Tablet. Änderungen erscheinen so auf allen Geräten. Bei lokal gespeicherten Datenbanken übernimmt der Nutzer diesen Abgleich und die Datensicherung selbst.
Verschlüsselung
Verschlüsselung wandelt Daten mathematisch so um, dass nur lesen kann, wer den passenden Schlüssel besitzt. Ein Passwortmanager legt die gespeicherten Zugangsdaten verschlüsselt ab. Ohne Master-Passwort bleiben die Daten für Dritte ein unlesbarer Zeichensalat.
Zwei-Faktor-Authentifizierung (2FA)
Die Zwei-Faktor-Authentifizierung (2FA) verlangt bei der Anmeldung neben dem Passwort einen zweiten Nachweis, etwa einen Code aus einer App, eine Bestätigung auf dem Smartphone oder einen Hardware-Schlüssel. Laut Cybersicherheitsmonitor 2026 nutzen 40 % der Befragten das Verfahren.
FAQ: Passwortmanager für Einsteiger: Wie sicher ist der Tresor?
Welcher Passwortmanager ist der beste?
Welcher Passwortmanager am besten passt, hängt von Ihren Geräten, Browsern und Ihrem Bedarf ab. Prüfen sollten Sie vor allem eine nachvollziehbar beschriebene Verschlüsselung, einen Passwortgenerator, einen zweiten Faktor für das eigene Konto, einen klaren Weg zur Wiederherstellung und die Möglichkeit, die eigenen Daten zu exportieren.
Kann ein Passwortmanager gehackt werden?
Auch ein Passwortmanager kann Sicherheitslücken haben, deshalb zählen regelmäßige Updates und unabhängige Prüfungen. Bei seriösen Lösungen liegen die Daten verschlüsselt im Tresor, ein langes, einzigartiges Master-Passwort und ein zweiter Faktor bilden den wichtigsten Schutz. Auf einem mit Schadsoftware infizierten Gerät hilft allerdings auch der beste Tresor nur begrenzt.
Sind Passkeys sicherer als Passwörter?
Passkeys ersetzen das Passwort durch ein kryptografisches Schlüsselpaar, dessen geheimer Teil auf dem Gerät bleibt, und lassen sich deshalb nicht auf einer gefälschten Seite eintippen. Noch bietet nicht jeder Dienst Passkeys an. Im Cybersicherheitsmonitor 2026 gaben 21 % der Befragten an, sich passwortlos anzumelden.
Wie lang sollte ein Master-Passwort sein?
Für das Master-Passwort eignet sich eine Passphrase aus fünf bis sechs zufälligen Wörtern, die das BSI als leicht zu merken und schwer zu brechen beschreibt. Als Richtwert nennt das BSI 20 bis 25 Zeichen bei zwei Zeichenarten. Bekannte Zitate, Liedzeilen und persönliche Daten scheiden aus.
Darf man Passwörter auf Papier aufschreiben?
Aufgeschriebene Passwörter gehören unter Verschluss, nie auf den Notizzettel am Bildschirm. Das BSI rät außerdem, Passwörter niemals unverschlüsselt auf dem PC abzulegen. Für viele Konten empfiehlt das Amt einen Passwortmanager, dann bleibt nur noch das Master-Passwort zu merken.
Wie finde ich heraus, ob mein Passwort geleakt wurde?
Leakchecker wie der Identity Leak Checker des Hasso-Plattner-Instituts oder der Leakchecker der Universität Bonn prüfen, ob Ihre E-Mail-Adresse in veröffentlichten Datensätzen auftaucht. Das BSI verweist auf beide Angebote. Taucht ein Konto dort auf, sollten Sie das Passwort sofort ändern und überall ersetzen, wo Sie dasselbe Passwort verwendet haben.
Quellen
7 Quellen anzeigenQuellen ausblendenabgerufen am 23.10.2026
- BSISichere Passwörter erstellen
- BSIPasswörter verwalten mit einem Passwort-Manager
- BSIPasswörter Schritt für Schritt merken (Umgang mit Passwörtern)
- BSI / ProPKCybersicherheitsmonitor 2026, Kurzbericht
- NISTSP 800-63B-4: Digital Identity Guidelines, Authentication and Authenticator Management
- Google Cloud / MandiantUNC5537 Targets Snowflake Customer Instances for Data Theft and Extortion
- ZDFheuteCybersicherheit: „123456“ beliebtestes Passwort der Deutschen
