Ein sicheres Passwort ist 2026 wichtiger denn je. Täglich werden Millionen Zugangsdaten gestohlen, automatisiert getestet und missbraucht. Wer sein Passwort falsch wählt, sein Passwort mehrfach verwendet oder sein Passwort im Browser speichert, riskiert den Verlust von Konten, Daten und im schlimmsten Fall Identitätsbetrug. Dieser Artikel erklärt, was ein sicheres Passwort ausmacht, wie man Passwörter sicher speichert, was Passkeys sind - und was Quantencomputer mit Passwörtern zu tun haben.
Stand: Juli 2026 · Quellen: NIST, BSI, Verizon DBIR 2025, FIDO Alliance
Was ist ein sicheres Passwort?
Ein sicheres Passwort ist vor allem eines: lang. Das ist die wichtigste Erkenntnis der letzten Jahre - bestätigt vom amerikanischen NIST und vom deutschen BSI. Jedes zusätzliche Zeichen erhöht die Anzahl möglicher Kombinationen exponentiell. Das macht automatisierte Angriffe überproportional aufwändiger.
Die Faustregel lautet: Länge schlägt Komplexität.
Frage: Was ist ein sicheres Passwort?
Ein sicheres Passwort hat mindestens 15 bis 16 Zeichen. Es besteht am besten aus mehreren zufälligen, nicht zusammenhängenden Wörtern - einer sogenannten Passphrase. Beispiel:Kaktus-Trampolin-Nebel-Zirkus. Es wird nur für einen einzigen Dienst verwendet und niemals im Browser gespeichert.
Das NIST empfiehlt in seiner 2025 finalisierten Richtlinie SP 800-63 Revision 4 eine Mindestlänge von 15 Zeichen für Passwörter, die als alleiniger Schutzfaktor dienen. Ab 13 Zeichen lohnt sich der Rechenaufwand für Angreifer nicht mehr - die benötigte Zeit übersteigt jedes realistische Szenario.
Zu beachten: Liegt ein Passwort in einer Datenbank, die das veraltete Verfahren MD5 oder SHA-1 verwendet, sinken die Cracking-Zeiten drastisch. Ein achtstelliges Passwort kann dann in Sekunden gebrochen werden. Nicht nur das Passwort selbst, sondern auch die Systeme dahinter sind entscheidend.
| Passwortlänge | Beispiel | Cracking-Zeit (2026) |
|---|---|---|
| 7 Zeichen | cFYoBQs |
Minuten |
| 8 Zeichen | P@ssw0rd |
Sekunden bis Minuten (bei veralteten Hash-Verfahren) |
| 12 Zeichen | Tr0ub4dor&3x |
Tausende Jahre |
| 16+ Zeichen (Passphrase) | Kaktus-Trampolin-Nebel-Zirkus |
Praktisch unknackbar |
Welches Passwort ist sicher und trotzdem merkbar?
Frage: Welches Passwort soll ich wählen?
Am besten eine Passphrase: vier oder mehr zufällige, nicht zusammenhängende Wörter, verbunden mit einem Bindestrich oder ohne Trennzeichen. Beispiel:Sternstaub-Montag-Zirkus-Regen. Diese Phrase ist lang, schwer zu erraten und leicht zu merken.
Eine Passphrase verbindet maximale Länge mit echter Merkbarkeit. Statt einer kryptischen Zeichenfolge kombiniert man mehrere zufällige Wörter - gerne mit einer persönlichen Assoziation.
Problematisch (kurz, vorhersagbar): Sommer2026! - Wort, Jahreszahl, Sonderzeichen am Ende. Steht in jeder Angriffsliste.
Gut: SternenstaubIstSuper oder Kaffee-Montag-Regen-Buch - lang, persönlich, praktisch unknackbar.
Sehr gut: Kaktus-Trampolin-Nebel-Zirkus - vier zufällige Wörter, rund 30 Zeichen, robust gegen Wörterbuchangriffe.
Das BSI empfiehlt, dass man für lange, weniger komplexe Passwörter mindestens 25 Zeichen nimmt. Vier oder mehr zufällige Wörter als Passphrase erfüllen diese Anforderung.
Welche Passwort-Regeln sind überholt?
Frage: Muss ich mein Passwort regelmäßig ändern?
Nein. Das NIST und das BSI empfehlen seit mehreren Jahren, dass man Passwörter nur dann ändert, wenn ein konkreter Verdacht auf Kompromittierung besteht. Erzwungene Wechsel alle 90 Tage führen in der Praxis zu schwächeren, vorhersagbaren Passwörtern.
| Alte Regel | Warum sie kontraproduktiv ist |
|---|---|
| Passwort alle 90 Tage ändern | Nutzer wählen vorhersagbare Varianten: Sommer2025! → Herbst2026!. Das NIST SP 800-63B Rev. 4 empfiehlt: Änderung nur bei konkretem Verdacht auf Kompromittierung. |
| Erzwungene Sonderzeichen & Großbuchstaben | Führt zu P@ssw0rd! - erfüllt jede Komplexitätsregel, steht trotzdem in jeder Angriffsdatenbank. Erzwingt Muster statt echter Stärke. |
| Passwort im Browser speichern | Browser-gespeicherte Passwörter sind ein bevorzugtes Ziel moderner Infostealer-Malware. 2025 war dies der größte Treiber für Datenlecks. |
| Kurz aber komplex (8 Zeichen) | Eine 8-Zeichen-Anforderung ist 2026 nicht mehr ausreichend. Selbst mit Sonderzeichen sind kurze Passwörter bei veralteten Hash-Verfahren in Minuten gebrochen. |
Wie soll ich Passwörter speichern?
Frage: Wie speichere ich Passwörter sicher?
Mit einem Passwort-Manager, nicht im Browser! Ein Passwort-Manager speichert alle Passwörter verschlüsselt in einem digitalen Tresor. Dadurch muss man sich nur ein einziges, starkes Master-Passwort merken. Alle anderen werden automatisch generiert, gespeichert und beim Login ausgefüllt.
Wer für jeden Dienst ein einzigartiges, langes Passwort verwenden will, kommt ohne Passwort-Manager nicht aus. Das BSI hat 2025 zehn Passwort-Manager getestet und empfiehlt deren Einsatz ausdrücklich als Standard.
Welchen Passwort-Manager soll ich verwenden? Hinweis für den EU/DACH-Raum
Frage: Welcher Passwort-Manager ist sicher und DSGVO-konform?
Im EU-Raum empfehlen sich Anbieter mit Firmensitz und Servern in Europa. Die sicherste Option ist ein lokaler Passwort-Manager wie KeePassXC, bei dem keine Daten eine Cloud verlassen. Wer Cloud-Synchronisation möchte, wählt am besten einen Anbieter mit nachweislichem EU-Hosting und Zero-Knowledge-Architektur.
Die DSGVO stellt besondere Anforderungen an die Speicherung personenbezogener Daten. Passwort-Manager mit Firmensitz in den USA unterliegen dem US-CLOUD Act. Das bedeutet: US-Behörden können unter Umständen Zugriff auf Daten verlangen - auch wenn diese auf EU-Servern liegen. Empfohlen werden daher europäische Lösungen mit Zero-Knowledge-Architektur, bei der der Anbieter selbst keinen Zugriff auf gespeicherte Daten hat.
Empfehlenswerte Passwort-Manager für Deutschland, Österreich und die Schweiz:
- KeePassXC - kostenlos, Open-Source, speichert ausschließlich lokal auf dem eigenen Gerät. Kein Cloud-Zwang. Ursprung Deutschland. Empfehlung des BSI. Geeignet für technisch versierte Nutzer.
- Proton Pass - Firmensitz und Server in der Schweiz. Zero-Knowledge-Verschlüsselung. DSGVO-konform. Kostenlose und kostenpflichtige Version verfügbar.
- Passbolt - Open-Source, entwickelt in Luxemburg (EU). Speziell für Teams konzipiert. Self-Hosting möglich.
Zur Einordnung: Anbieter wie Bitwarden (USA, aber EU-Rechenzentrum wählbar und Self-Hosting möglich) haben gute unabhängige Sicherheitsaudits. Wer maximale DSGVO-Sicherheit und Unabhängigkeit von US-Recht bevorzugt, wählt einen der europäischen Anbieter.
Wie erkenne ich, ob mein Passwort gestohlen wurde?
Frage: Wurde mein Passwort gestohlen?
Das lässt sich kostenlos prüfen. Auf haveibeenpwned.com oder beim HPI Identity Leak Checker gibt man seine E-Mail-Adresse ein und erfährt sofort, ob sie in einem bekannten Datenleck aufgetaucht ist.
Seit Anfang 2025 wurden weltweit über 16 Milliarden Passwörter durch Datenlecks kompromittiert. Beim sogenannten Credential Stuffing werden gestohlene Passwörter automatisiert bei hunderten anderen Diensten ausprobiert. Wer dasselbe Passwort mehrfach verwendet, öffnet damit mit einem einzigen Datenleck viele Zugänge gleichzeitig.
Kostenlose Prüfdienste:
- Have I Been Pwned (Troy Hunt) - weltweit einer der bekanntesten und vertrauenswürdigsten Dienste. Kostenlos, ohne Registrierung nutzbar.
- Identity Leak Checker des Hasso-Plattner-Instituts (HPI, Potsdam) - deutsche Alternative, ebenfalls kostenlos.
Bei einem Fund: Passwort des betroffenen Dienstes sofort ändern. Prüfen, ob dasselbe Passwort noch anderswo verwendet wird - falls ja, dort ebenfalls ändern. Anschliessend Zwei-Faktor-Authentifizierung aktivieren.
Was ist ein Passkey und ist er sicherer als ein Passwort?
Frage: Was ist ein Passkey?
Ein Passkey ist ein digitaler Schlüssel, der auf dem eigenen Gerät gespeichert wird. Statt eines Passworts bestätigt man den Login per Fingerabdruck, Gesichtserkennung oder Geräte-PIN. Ein Passkey kann nicht gestohlen, erraten oder durch Phishing abgefischt werden - weil kein Geheimnis übertragen wird.
Passkeys basieren auf dem FIDO2/WebAuthn-Standard. Bei der Registrierung wird ein kryptografisches Schlüsselpaar erzeugt: Der öffentliche Schlüssel liegt beim Online-Dienst, der private Schlüssel bleibt auf dem eigenen Gerät. Der Online-Dienst sieht niemals den Fingerabdruck oder das Gesicht - nur die Bestätigung, dass der Schlüssel korrekt entsperrt wurde.
| Merkmal | Passwort | Passkey |
|---|---|---|
| Phishing-Risiko | Vorhanden | Technisch ausgeschlossen |
| Brute-Force-Risiko | Vorhanden | Nicht vorhanden |
| Etwas merken erforderlich | Ja | Nein |
| Login-Geschwindigkeit | Normal | Bis zu 4× schneller als Passwort + 2FA |
| Erfolgsrate beim ersten Versuch (mobil) | 76,4 % | 99,4 % |
„Wir müssen Cybersicherheit so einfach wie möglich und gleichzeitig robust gestalten. Passkeys sind ein perfektes Beispiel dafür, wie man mit technischen Lösungen technischen Herausforderungen begegnen kann. Ihnen gehört die Zukunft."
- Claudia Plattner, BSI-Präsidentin, zitiert nach GFU Cyrus AG Blog, Juni 2026
Microsoft hat im April 2025 angekündigt, alle neuen Accounts standardmäßig ohne Passwort einzurichten. Das BSI hat 2025 die technische Richtlinie BSI TR-03188 für Passkey-Server veröffentlicht. Deutsche Behörden sollen Passwörter durch Passkeys ersetzen - der vollständige Rollout ist für 2027 geplant.
Sind Fingerabdruck und Face ID datenschutzrechtlich unbedenklich?
Frage: Ist es sicher, den Fingerabdruck für einen Passkey zu verwenden?
Ja - weil der Fingerabdruck das Gerät niemals verlässt. Die biometrische Prüfung findet ausschließlich lokal im Gerät statt. An den Online-Dienst wird kein Fingerabdruck übertragen, sondern nur ein kryptografischer Nachweis, dass der Schlüssel entsperrt wurde.
Fingerabdruck und Gesichtserkennung fallen nach Art. 9 DSGVO in die Kategorie der besonders schützenswerten personenbezogenen Daten. Daraus entsteht eine berechtigte Frage: Ist es datenschutzrechtlich vertretbar, diese Daten für die Passkey-Anmeldung zu verwenden, wenn das Betriebssystem von Apple (iOS/macOS) oder Google (Android) stammt?
Die Antwort ergibt sich aus der technischen Architektur. Sowohl Apple als auch Google speichern biometrische Daten ausschließlich lokal in einem abgeschirmten Bereich des Prozessors - bei Apple als Secure Enclave, bei Android als Trusted Execution Environment (TEE). Google hält ausdrücklich fest: „Ihre biometrischen Daten werden auf Ihrem Gerät gespeichert und nicht an Google weitergegeben." Dasselbe gilt für Apple Face ID und Touch ID.
Was beim Login tatsächlich übertragen wird: nicht der Fingerabdruck oder das Gesichtsbild, sondern nur eine kryptografische Signatur - der Nachweis, dass der private Schlüssel korrekt entsperrt wurde. Der Online-Dienst erhält ausschließlich diesen Nachweis.
Datenschutzrechtlich bedeutet das: Da die biometrischen Daten nur für den Bruchteil einer Sekunde lokal verarbeitet werden und das Gerät niemals verlassen, ist der Anwendungsbereich von Art. 9 DSGVO deutlich eingeschränkter als bei Cloud-basierten biometrischen Systemen. Die Datenschutzrechtsliteratur bewertet diese lokale Verarbeitung als wesentlich unproblematischer.
Wer ganz ohne Beteiligung eines US-Konzerns auskommen möchte: Hardware-Sicherheitsschlüssel wie der YubiKey (Firmensitz: Schweden) ermöglichen Passkey-Authentifizierung ohne jedes Betriebssystem eines großen Plattformanbieters. Der private Schlüssel ist auf dem physischen Stick gespeichert, die Entsperrung erfolgt durch physisches Berühren - ohne Biometrie.
Was tun, wenn das Handy kaputt geht, gestohlen wird oder man ein neues kauft?
Frage: Was passiert mit meinen Passkeys, wenn ich ein neues Handy kaufe?
Passkeys werden automatisch auf das neue Gerät übertragen - bei Apple über die iCloud Keychain, bei Android über den Google Passwortmanager. Voraussetzung ist, dass man sich mit demselben Apple-ID- bzw. Google-Konto anmeldet.
Gestohlenes Gerät sofort sperren. Über iCloud.com (Apple) bzw. „Mein Gerät finden" (Google) können Sie das Gerät aus dem Ökosystem entfernen. Damit werden alle darauf gespeicherten Passkeys für Unbefugte unbrauchbar - ohne den Fingerabdruck oder die Geräte-PIN sind sie nicht verwendbar.
Backup-Methode immer einrichten. Sicherheitsexperten empfehlen, mindestens zwei Passkeys pro wichtigem Dienst zu hinterlegen - z.B. Smartphone und Laptop. Alternativ können Passwort-Manager wie KeePassXC oder Proton Pass Passkeys speichern und als Backup dienen.
Bestehende Login-Methode nicht voreilig entfernen. Niemals eine bestehende Anmeldemethode löschen, bevor Passkeys vollständig eingerichtet und getestet sind. Ein Backup-Code oder eine E-Mail-Wiederherstellung sollten immer verfügbar bleiben - sicher verwahrt im Passwort-Manager.
Was haben Quantencomputer mit Passwörtern zu tun?
Frage: Können Quantencomputer Passwörter knacken?
Nicht direkt. Quantencomputer gefährden in erster Linie die Verschlüsselungsalgorithmen, die Passwörter und Passkeys schützen - zum Beispiel RSA und ECC. Passwörter selbst werden nicht schneller erraten. Das eigentliche Risiko liegt in der Entschlüsselung heute abgefangener Daten in der Zukunft.
Klassische Computer probieren Möglichkeiten nacheinander durch - daher hilft Länge beim Passwort so stark. Quantencomputer nutzen quantenmechanische Zustände (Qubits), um viele Möglichkeiten gleichzeitig zu berechnen. Das könnte die bisherigen Grundlagen sicherer Kommunikation grundlegend verändern.
Aktuelle Studien von 2025-2026 deuten darauf hin, dass Quantencomputer möglicherweise rund 10.000 physische Qubits benötigen würden, um aktuelle Verschlüsselungssysteme zu brechen. Das NIST geht davon aus, dass leistungsfähige Quantencomputer bereits um 2030 verfügbar sein könnten. Computer Weekly gibt einen sachlichen Überblick zum Stand der Post-Quanten-Kryptografie.
Besonders zu beachten ist das sogenannte „Harvest Now, Decrypt Later"-Szenario: Verschlüsselte Daten könnten heute abgefangen und gespeichert werden, um sie nach dem Q-Day - dem Tag, an dem Quantencomputer klassische Algorithmen brechen können - zu entschlüsseln. Cloudflare erläutert dieses Szenario ausführlich. Betroffen sind vor allem langfristig sensible Daten wie Gesundheitsdaten, Finanzkommunikation oder behördliche Vorgänge.
Was ist Post-Quanten-Kryptographie?
Frage: Was ist Post-Quanten-Kryptographie?
Post-Quanten-Kryptographie (PQC) bezeichnet kryptografische Verfahren, die auch Angriffen durch leistungsfähige Quantencomputer standhalten. Das NIST hat 2025 die ersten internationalen Standards dafür veröffentlicht.
Das NIST hat 2025 die erste Generation von Post-Quanten-Standards finalisiert:
- ML-KEM (FIPS 203) - quantensicherer Schlüsselaustausch, bereits in TLS-Protokollen verbreitet und von modernen Browsern unterstützt
- ML-DSA (FIPS 204) - quantensichere digitale Signaturen
- SLH-DSA (FIPS 205) - alternatives Signaturverfahren auf Hash-Basis
Die EU verlangt PQC-Übergangspläne bis Ende 2026. Die US-NSA fordert quantensichere Algorithmen für neue Systeme bis Januar 2027. Die kryptografische Gemeinschaft arbeitet daran, diese Verfahren auch in den FIDO2-Standard für Passkeys zu integrieren. Specops Software erläutert, was das konkret für Passkeys bedeutet.
Checkliste: Sicheres Passwort und sichere Anmeldung
- Mindestens 15-16 Zeichen: Passphrasen aus vier oder mehr zufälligen Wörtern sind ideal.
- Für jeden Dienst ein eigenes Passwort: kein Passwort doppelt verwenden.
- Passwort-Manager verwenden: bevorzugt europäische Anbieter wie KeePassXC oder Proton Pass.
- Zwei-Faktor-Authentifizierung (2FA) aktivieren: bevorzugt per Authenticator-App oder Hardware-Schlüssel, nicht per SMS.
- Passkeys einrichten: wo immer verfügbar, sind sie sicherer und schneller als jedes Passwort.
- Backup-Methoden sichern: mindestens zwei Passkeys oder einen Backup-Code pro wichtigem Dienst.
- E-Mail-Adresse auf Datenlecks prüfen: mit Have I Been Pwned oder dem HPI Identity Leak Checker.
- Passwörter nicht im Browser speichern: Infostealer-Malware zielt gezielt darauf ab.
- Passwörter nur bei konkretem Verdacht ändern: erzwungene Rotationen führen erfahrungsgemäß zu schwächeren Passwörtern.
Quellen: NIST SP 800-63 Rev. 4 · BSI Passwort-Empfehlungen · LNIT World Password Day 2026 · hosttech Passwortsicherheit 2026 · GFU Cyrus AG 2026 · Quantensicherheit 2026