Sichere Passwörter heute: von langen Sätzen bis zu Passkeys

Passwörter werden nicht so geknackt, wie Filme es zeigen. Niemand sitzt da und rät den Namen Ihres Hundes: Passwörter lecken millionenfach aus gehackten Diensten und werden dann automatisch auf allen anderen Websites getestet. Diese Maschinenmechanik diktiert die echten Schutzregeln, die sich deutlich von den üblichen „acht Zeichen mit Sternchen" alter Merkblätter unterscheiden. Ordnen wir sie, von den Eigenschaften des Passworts bis zum Leben ganz ohne.

Was wirklich zählt

Zwei Eigenschaften entscheiden alles. Einzigartigkeit: ein Passwort pro Dienst, denn sonst öffnet das Leck einer beliebigen Website Ihr ganzes Leben; das Durchprobieren geleakter Paare aus Login und Passwort auf anderen Diensten ist die wichtigste Methode massenhafter Hacks. Länge: Die Widerstandskraft gegen maschinelles Knacken wächst mit jedem Zeichen schneller als durch jeden Trick, und ein Satz aus vier zufälligen Wörtern schlägt kurzen Zeichensalat mit Sonderzeichen. Alles andere, vom regelmäßigen Wechsel ohne Grund bis zum Ersetzen von Buchstaben durch Ziffern, stammt aus einer vergangenen Zeit: Wechseln Sie nach einem Leck, ignorieren Sie den Kalender.

Passwort-Manager: neue Spielregeln

Die Forderung nach „hundert langen einzigartigen Passwörtern" ist für den Kopf unerfüllbar und für einen Manager trivial: Er erzeugt, speichert und füllt Passwörter selbst aus, Ihnen bleibt ein Master-Satz. Nehmen Sie ein beliebiges ausgereiftes Werkzeug: Das in System und Browser integrierte ist schon gut und kostenlos, eigene Apps bringen Komfort, wenn Sie auf mehreren Plattformen zugleich leben. Zwei Betriebsregeln: Der Master-Satz ist lang und wird nirgendwo sonst verwendet, und ein zweiter Faktor schützt den Zugang zum Manager selbst. Ein unterschätzter Bonus: Der Manager füllt das Passwort nur auf der echten Domain aus und schweigt auf einer gefälschten, das macht ihn zum Phishing-Detektor, wie im Artikel über Phishing beschrieben.

Ein zweiter Faktor ist Pflicht

Wie gut Ihr Passwort auch ist, eines Tages kann es aus dem Dienst selbst lecken. Ein zweiter Faktor macht ein geleaktes Passwort nutzlos: Für den Zugang braucht es zusätzlich eine Bestätigung von Ihrem Gerät. Die Rangfolge ist einfach: SMS-Codes sind besser als nichts, eine Authenticator-App ist deutlich besser als SMS, ein Hardware-Schlüssel oder die integrierte Biometrie des Geräts sind am stärksten. Schalten Sie ihn mindestens bei Mail, Banken und den wichtigsten sozialen Netzwerken ein: Mail steht auf dieser Liste ganz oben, denn darüber lassen sich alle anderen Passwörter wiederherstellen. Die Optionen behandeln wir ausführlich im Artikel zur Zwei-Faktor-Authentifizierung.

Für die meisten sieht die Wahl so aus: eine Authenticator-App auf dem Telefon für alles Wichtige, ein Hardware-Schlüssel für Mail und Finanzen bei allen, die ihn tragen wollen, SMS, wo es nichts anderes gibt. Und speichern Sie beim Einschalten unbedingt die Backup-Codes: Telefone gehen verloren und mit ihnen der Authenticator, eine Wiederherstellung ohne Codes wird zur Odyssee mit Ausweis und Support.

Passkeys: Leben nach den Passwörtern

Große Plattformen bieten bereits die Anmeldung ganz ohne Passwort: Ein Passkey ist ein kryptografischer Schlüssel, der auf Ihrem Gerät lebt und per Biometrie oder PIN arbeitet. Es gibt nichts zu erraten und nichts, was aus einem Server lecken könnte, und auf einer gefälschten Website funktioniert der Schlüssel gar nicht, weil er an die echte Domain gebunden ist. Die Synchronisierung zwischen Geräten lösen dieselben Ökosysteme und Passwort-Manager. Die Strategie für heute: Schalten Sie Passkeys überall ein, wo sie angeboten werden, das Passwort bleibt dabei Reservezugang, und seine Hygiene bleibt wichtig.

Wo man notiert und was nicht

Drei Dinge liegen nirgends offen: der Master-Satz des Managers, Karten-PINs und Backup-Codes in unverschlüsselten Telefonnotizen. Papier zu Hause ist, so paradox es klingt, ein würdiger Ort für Master-Satz und Backup-Codes: Bedrohungen aus dem Internet reichen nicht bis in die Schreibtischschublade. Eine Datei „passwörter.txt" auf dem Desktop und eine unverschlüsselte Cloud-Tabelle dagegen sind Geschenke an den künftigen Dieb: Genau die sucht Schadsoftware auf einem infizierten Rechner zuerst.

Ein Plan für den Abend

1. Installieren Sie einen Manager und denken Sie sich einen langen Master-Satz aus.
2. Ersetzen Sie die Passwörter von Mail und Bank durch generierte, schalten Sie dort den zweiten Faktor und, wo vorhanden, Passkeys ein.
3. Ändern Sie weitere Passwörter, sobald Sie die Dienste besuchen: Nach einem Monat ist die Masse einzigartig.
4. Speichern Sie die Backup-Codes am selben Ort, im Manager oder auf Papier zu Hause.
5. Prüfen Sie Ihre Mailadresse in Leak-Datenbanken, das ist in moderne Manager und Browser integriert: Gefundene Passwörter werden zuerst geändert.

Damit ist das Thema für Jahre erledigt: Einzigartigkeit löst der Manager, Widerstandskraft die Länge, den Passwortdiebstahl entwertet der zweite Faktor, und Passkeys entfernen nach und nach den Gegenstand des Diebstahls. Verhält sich ein Konto bereits seltsam, lassen Sie die Passwörter ruhen und beginnen Sie mit den Schritten nach einem Hack.