Sicheres Passwort: warum Sie sich nur eines merken müssen

Veröffentlicht am 12. Oktober 2026 · Security für Anwender

Die kurze Antwort: Ein sicheres Passwort ist vor allem lang. Vier zufällige Wörter hintereinander sind besser als ein kurzes Wort voller Sonderzeichen, und Sie können sie sich merken. Das Wichtigste aber: Jedes Konto braucht sein eigenes Passwort. Das geht ohne Gedächtnisakrobatik, wenn ein Passwort-Programm die vielen Passwörter für Sie aufbewahrt. Dann müssen Sie sich nur noch ein einziges gutes merken.

Was ein sicheres Passwort ausmacht

Das Bundesamt für Cybersicherheit (BACS) nennt vier Merkmale. Ein sicheres Passwort ist:

• lang: mindestens 12 Zeichen, besser mehr,
• zufällig: keine Namen, keine Geburtsdaten, keine Postleitzahl, kein «1234»,
• einmalig: für jedes Konto ein anderes,
• eigen: Ein Gerät, das mit einem fertigen Passwort geliefert wird, bekommt sofort ein neues.

Passwortsatz statt Sonderzeichen-Salat

Das BACS empfiehlt dazu eine Mischung aus Gross- und Kleinbuchstaben, Zahlen und möglichst auch Sonderzeichen. Das stimmt. Nur hat es eine Nebenwirkung: Wer «Hund» zu «Hund!23» macht, glaubt sich sicher. Ist er aber nicht. Das Grundwort bleibt kurz und leicht zu erraten. Und die Tricks, ein «o» durch eine Null zu ersetzen, kennen die Angreifer auch.

Es gibt einen einfacheren Weg zu einem guten Passwort: den Passwortsatz, auf Englisch Passphrase. Sie nehmen vier Wörter, die nichts miteinander zu tun haben, und hängen sie aneinander.

Ein Beispiel, das Sie bitte nicht übernehmen: Velo-Tomate-Gartenzaun-Regen. Das sind 28 Zeichen. Weil die Wörter keinen Sinn ergeben, lassen sie sich nicht erraten. Und weil Sie ein Bild im Kopf haben, vergessen Sie es nicht: ein Velo voller Tomaten am Gartenzaun im Regen.

Die britische Cybersicherheits-Behörde empfiehlt genau das, dort mit drei Wörtern. Und die amerikanische Normenbehörde schreibt, dass Zeichen-Regeln weniger bringen als lange gedacht, das Merken aber stark erschweren. Länge schlägt Komplikation.

So erstellen Sie ein sicheres Passwort dieser Art:

1. Wählen Sie vier Wörter, die nicht zusammengehören. Kein Liedtext, kein Sprichwort, nichts über Sie selbst.
2. Verbinden Sie die Wörter mit einem Bindestrich oder einem anderen Zeichen.
3. Verlangt eine Seite eine Zahl oder ein Sonderzeichen, hängen Sie eines an. Das schadet nie.
4. Stellen Sie sich das Bild zwei, drei Tage lang immer wieder vor. Dann sitzt es.

Warum ein Passwort für alles gefährlich ist

Jetzt kommt der Teil, den die meisten unterschätzen. Ein gutes Passwort für alle Konten ist kein gutes Passwort mehr.

Der Grund: Irgendwann wird irgendein Dienst gehackt, bei dem Sie ein Konto haben. Ein Online-Shop, ein Forum, ein Verein. Dann landen die Passwörter im Internet. Laut BACS probieren Angreifer solche gestohlenen Zugangsdaten oft automatisch bei anderen Diensten aus. Passt Ihr Passwort auch beim E-Mail-Konto, sind sie drin. Und über das E-Mail-Konto lassen sich die Passwörter fast aller anderen Konten zurücksetzen.

Auch ein Muster hilft nicht. Wer «Velo-Tomate-1» für den Shop und «Velo-Tomate-2» für die Bank nimmt, hat in Wahrheit ein Passwort. Ist eines bekannt, sind die anderen schnell erraten.

Warum trotzdem eines genügt

Jetzt die gute Nachricht: Sie müssen sich nicht 40 Passwortsätze merken. Dafür gibt es Passwort-Programme, auch Passwort-Tresor genannt. So ein Programm erfindet für jedes Konto ein eigenes, langes Passwort, speichert alle verschlüsselt und füllt sie beim Anmelden für Sie aus.

Im Kopf brauchen Sie dann nur noch ein Passwort: das für den Tresor selbst. Genau hier gehört Ihr bester Passwortsatz hin. Das BACS sagt es deutlich: Ein solches Programm schützt nur, wenn dieses eine Passwort stark ist. Gerät es in falsche Hände, sind unter Umständen alle Zugänge betroffen.

Wie Sie so ein Programm einrichten, zeigen wir in einem nächsten Beitrag Schritt für Schritt.

Der zweite Riegel: Bestätigung per Handy

Ein gutes Passwort ist die Haustür. Wo es geht, lohnt sich ein zweites Schloss: die Zwei-Faktor-Anmeldung. Dabei bestätigen Sie die Anmeldung zusätzlich, meist mit einem Code oder einer Meldung auf dem Handy. Kennt ein Angreifer Ihr Passwort, fehlt ihm immer noch Ihr Handy.

Fangen Sie mit dem E-Mail-Konto an. Es ist laut BACS besonders schutzbedürftig, weil darüber alles andere läuft. Danach folgen Bank und Online-Shops.

So gehen Sie jetzt vor:

1. Denken Sie sich einen neuen Passwortsatz aus. Nur für Ihr E-Mail-Konto.
2. Schalten Sie dort die Zwei-Faktor-Anmeldung ein.
3. Ändern Sie nach und nach die Passwörter, die Sie mehrfach benutzen. Die wichtigsten zuerst.
4. Wer viele Konten hat: Ein Passwort-Programm nimmt Ihnen die Arbeit ab.

Vorsicht bei gefälschten Seiten

Und Achtung: Auch das beste Passwort nützt nichts, wenn Sie es selbst auf einer gefälschten Seite eintippen. Woran Sie solche Mails erkennen, steht im Beitrag Betrugsmail erkennen.

Möchten Sie das nicht allein machen? Wir richten es mit Ihnen zusammen ein, zu Hause oder im Geschäft: IT-Support für Privatkunden.