Das Passwort. Es schützt Accounts und Daten vor Cyberattacken und Hackern. Doch was zeichnet heute ein gutes Passwort eigentlich aus und wo sollten Nutzer eher vorsichtig sein?Zahlen und Sonderzeichen sind ein Muss, auch die Länge eines Passwortes sollte nicht unterschätzt werden. Ist der Name des eigenen Haustieres wirklich keine gute Idee für den Onlinebanking-Account? All das sind Aspekte, denen sich Andreas Türk, Product Manager Identity, Privacy und Security bei Google, gewidmet hat, um mit einigen Mythen rund um das Thema Passwörter aufzuräumen. Mehr Infos finden Sie am Ende des Artikels


1. Muss man sein Passwort regelmäßig ändern ?
Ein Passwort regelmäßig zu ändern, ist nur dann sinnvoll, wenn die Passwörter sich nicht ähneln. Doch auch die kreativsten Menschen neigen früher oder später dazu, alte Passwörter mit leichten Abwandlungen wiederzuverwenden. Leicht zu merkende Passwörter sind besonders beliebt, auch wenn sie Zahlen und Zeichen enthalten. Der Expertentip hierzu: Verwenden Sie für Passwörter vor allem Wörter oder Wortkombinationen, die zwar einprägsam sind, auf die Außenstehende aber nur schwer kommen können. Noch besser ist es aus einem beliebigen Satz sich nach einer festen Regel einzelne Buchstaben auswählen und diese mit Sonderzeichen zu ergänzen oder Buchstaben aus dem Satz mit Sonderzeichen zu tauschen z.B das ß durch das $ oder P druch ein "+"-Zeichen usw. 
 
2. Wie lang muss ein sicheres  Passwort sein ?
Noch vor wenigen Jahren galten Passworte mit 8 bis 10 Zeichen als gute Länge für Passworte inzwischen sind Passworte von 13 bis 18 Stellen durch die technischen Entwicklung notwendig geworden. Grundsätzlich gilt je länger eine Passwort ist um so langsamer kann es geknackt werden. Allerdings sind längere Passworte auch unpraktisch wenn man sie am Tag öfters eingeben muss. Es gilt hier also einen Kompromiss zwischen Sicherheits und Handhabbarkeit zu finden.  Allerdings besteht auch die Gefahr das Ihr Passwort mit 16 Stellen oder länger keinen Schutz bietet, denn es kann durch Zufall einfach nach wenigen Versuchen erraten werden.  So das die Länge allein kein wirklicher Schutz ist, und sollte deshalb bei wichtigen Zugänge immer noch mit einer weiteren Schutzmaßnahme abgesichert werden muß.
 

3. Sind Passwortmanager unsicher ?

Hartnäckig hält sich der Mythos, dass Passwortmanager riskant sind, weil dort alle Zugangsdaten an einem Ort gespeichert werden. Tatsächlich ist die Gefahr eines erfolgreichen Angriffs auf das zentrale E-Mail-Konto meist größer. Denn darüber lassen sich viele Passwörter zurücksetzen und Konten übernehmen. Die Vorteile eines Passwortmanagers überwiegen die Risiken daher deutlich. Für mehr Sicherheit sollte ein Passwortmanager genutzt werden, denn er ermöglich die Nutzung von starken, einzigartige Passwörter mit Längen von 20 Stellen oder mehr.
Wichtig ist nur diesen Manager mit einem starken Passwort abzusichern, da dieses in der Regel nur einmal, beim Start des Managers, eingegeben werden muß, ist hier auch eine Länge von 20 Zeichen möglich ohne das es zu Unbequemlichkeiten führt.

4. Keine Sicherheitsprobleme mit Biometrie ?
Fingerabdruck oder Gesichtserkennung sind praktisch und bieten zusätzlichen Schutz beim Entsperren von Geräten und Apps. Doch auch die Biometrie ersetzt ein sicheres Passwort nicht vollständig: Bei der ersten Anmeldung oder in bestimmten Situationen wird weiterhin ein Passwort benötigt – und das kann angegriffen werden.
Biometrie ist also kein eingebauter Hackerschutz. Für wichtige Konten gilt deshalb auch hier: ein starkes Passwort verwenden und möglichst die Zwei-Faktor-Authentifizierung aktivieren.
 
5. Passwortregeln beachten !

Wer einen Account auf einer Website anlegt, muss meist ein Passwort festlegen. Dafür gelten häufig bestimmte Regeln: mindestens 12 Zeichen, ein Groß- und ein Kleinbuchstabe sowie eine Zahl. Das klingt zunächst sicher – doch viele wählen nach einem vorhersehbaren Muster: Großbuchstabe am Anfang, Zahl am Ende.
Für Angreifer ist das leicht zu erraten. Entscheidend ist daher nicht nur, welche Zeichen verwendet werden, sondern auch, dass sie möglichst zufällig angeordnet sind. Ein Grundregel ist - alle Worte die im Duden zufinden sind sind auch Kombinationen von Ihnen und oder Zahlen sind nicht als Passworte geeignet, denn das ist eine der ersten Methoden mit dem Angreifer versuchen Ihrer Passworte zu erraten und das vollautomatisch.

6. Muß ich mich abmelden !
Wer ständig Passwörter eingeben muss, nutzt aus Bequemlichkeit schnell dasselbe Passwort für mehrere Dienste und Accounts. Besser ist es, die automatische Abmeldung zu deaktivieren. So bleibt man länger eingeloggt und muss das Passwort seltener eingeben – ohne bei der Sicherheit Abstriche zu machen. Wichtig ist aber immer das wenn man seine Arbeit beendet hat sich aktiv abzumelden. Das sorgt dafür das keine Ihre Sitzung übernehmen oder ein abgefangenes Sessionkey weiter genutzt werden kann.

 
7. Gute Passworte - Kein Risiko mehr ?
Auch ein starkes Passwort bietet keinen hundertprozentigen Schutz. Phishing und Datenleaks können dazu führen, dass Zugangsdaten trotzdem in falsche Hände geraten.
Am sichersten sind daher lange, zufällig generierte Passwörter, die nur für einen einzigen Account verwendet werden. Zusätzlich sollte eine Zwei-Faktor-Authentifizierung aktiviert werden. So bleibt ein Konto auch dann besser geschützt, wenn das Passwort einmal kompromittiert wurde.

8. Beliebtestes Passwort in Deutschland ist: 123456!
Zahlenreihen gehören in Deutschland weiterhin zu den beliebtesten Passwörtern. Das zeigt eine Analyse des Hasso-Plattner-Instituts (HPI) zum Europäischen Datenschutztag am 28. Januar. Sicherheitsexperte Prof. Christian Dörr und sein Team haben dafür in den vergangenen Jahren geleakte Zugangsdaten ausgewertet. Das Ergebnis: Trotz strengerer Passwortvorgaben vieler Online-Dienste greifen Nutzer:innen weiterhin zu einfachen Zahlenkombinationen – sofern diese bei der Anmeldung zugelassen sind.

Für 2025 ergibt sich daraus folgende Rangliste der am häufigsten geleakten Passwörter in Deutschland:

  1. 123456
  2. 123456789
  3. 565656
  4. 12345678
  5. hallo123
  6. kaffeetasse
  7. 1234567
  8. passwort
  9. lol123

 

Diese Passwörter wurden zusammen mit den Datensätzen privater Identitäten im Darknet gefunden. Neben diesen häufig verwendeten Passwörtern gibt es auch immer mehr Passwort-Cluster. So werden zum Beispiel oft Vornamen mit Geburtstagen kombiniert und mit einem Sonderzeichen am Ende garniert. "Diese Passwörter scheinen auf den ersten Blick komplex und eine gute Wahl, wir sehen allerdings in unseren Daten, dass viele Menschen sich ein starkes Passwort überlegen und dies überall verwenden. Wir können das anhand der ausgewerteten Daten im Darknet eindeutig erkennen", sagt Prof. Dörr, der Leiter des HPI-Fachgebiets "Cybersecurity – Enterprise Security". "Ich kann nur davor warnen. Wurde ein Dienst gehackt und die Zugangsdaten sind offen - was milliardenfach passiert - probieren Kriminelle diese erbeuteten Zugangsdaten überall aus. Deshalb meine dringende Empfehlung: Verwenden Sie einen Passwort-Manager und nutzen Sie für jeden Dienst und jeden Account ein eigenes, zufälliges Passwort." Die gute Nachricht sei, dass immer mehr Menschen diese Hinweise mittlerweile auch umsetzen, sowie zufällige und verschiedene Passwörter nutzen.
Neben Deutschland wurden auch die europäischen Nachbarn in die Analyse einbezogen. "123456" ist auch hier oft an der Spitze der am häufigsten verwendeten Passwörter, die in Datenlecks gefunden werden - zusammen mit weiteren Zahlenreihen. In Großbritannien sind zudem die Tastenkombinationen "qwerty" und "sample123", sowie "liverpool" und "liverpool1" unter den Top Ten. In Italien gehören dazu auch die Vornamen "Guiseppe" und "Francesco" sowie "ciaociao" und "amoremio".

 
Links:
         Tool zum Test ob Ihr Zugangsdaten geleakt wurden
        Weitere Tips zum Thema Passwort




Quellen:
Überarbeitet und aktualliesiert am 06.09.2026 
Hasso Plattner Institut - www.hpi.de  - t3n Website Artikel vom 06-2024