Passwörter und Passkeys

Die größten Gefahren entstehen häufig nicht durch fehlende Sonderzeichen, sondern durch Wiederverwendung, kurze oder vorhersehbare Passwörter und die Preisgabe von Zugangsdaten auf gefälschten Anmeldeseiten. Bei Credential Stuffing testen Angreifer zuvor erbeutete Kombinationen aus E-Mail-Adresse und Passwort automatisiert bei anderen Diensten.

Auch die beste Passwortregel verhindert kein Phishing: Wer ein korrektes Passwort auf einer nachgebauten Website eingibt, übermittelt es möglicherweise direkt an den Angreifer. Schadsoftware auf dem eigenen Gerät, unsichere Wiederherstellungswege und abgefangene Bestätigungscodes sind weitere Risiken.

• Keine Passwörter mehrfach benutzen – auch nicht in leicht abgewandelter Form.
• Login-Seiten möglichst über eigene Lesezeichen oder die App öffnen; die Domain kontrollieren.
• Keine Passwörter oder Einmalcodes per Telefon, Chat oder E-Mail herausgeben.
• Bei Hinweisen auf Datenlecks die betroffenen Konten und insbesondere das E-Mail-Konto prüfen.

Weiterführende Quellen: heise: KeePass-Grundlagen

Ein starkes Kennwort muss einzigartig, ausreichend lang und nicht vorhersagbar sein. Für automatisch erzeugte Passwörter sind beispielsweise 20 oder mehr zufällige Zeichen ein guter Praxiswert, sofern der Dienst sie unterstützt. Für Passwörter, die man selbst eingeben und behalten muss, eignen sich mehrere zufällig ausgewählte, nicht zusammenhängende Wörter als lange Passphrase.

Die NIST-Leitlinie SP 800-63B-4 von 2025 betont Mindestlängen und die Überprüfung gegen bekannte kompromittierte Passwörter, anstatt starre Vorgaben für Großbuchstaben, Zahlen und Sonderzeichen vorzuschreiben. Ein routinemäßiger Wechsel ohne konkreten Anlass ist weniger sinnvoll als ein sofortiger Wechsel bei Verdacht auf Kompromittierung.

• Keine Namen, Geburtsdaten, Tastaturmuster, Liedzeilen oder bekannte Zitate verwenden.
• Lange Passphrasen aus unabhängig zufällig gewählten Wörtern bilden.
• Bei einem Datenleck betroffene und eventuell wiederverwendete Passwörter unverzüglich ändern.
• Das Passwort für das Haupt-E-Mail-Konto besonders schützen.

Weiterführende Quellen: NIST SP 800-63B-4 · Verbraucherzentrale: Passwortmanager

Ein Passwortmanager speichert Zugangsdaten in einem geschützten Tresor und erzeugt für jede Website ein eigenes Kennwort. So muss man sich nicht Hunderte komplizierter Zeichenfolgen merken. Der Begriff Passwort-Safe bezeichnet meist dieselbe Grundfunktion. Entscheidend sind sichere Verschlüsselung, gute Aktualisierung, seriöse Software und eine passende Backupstrategie.

Lokale Tresore wie KeePassXC verwalten eine verschlüsselte Datei, deren Ablage und Sicherung die Nutzenden selbst organisieren. Synchronisierte Lösungen wie Bitwarden oder Proton Pass sind oft bequemer auf mehreren Geräten, erfordern aber eine Bewertung von Anbieter, Kontoschutz und Wiederherstellungsmodell. Auch Browser bieten Passwortverwaltung: Das kann praktisch sein, sollte aber in die Schutzbewertung des Geräts und des Benutzerkontos einbezogen werden.

Das Masterpasswort ist der besonders wichtige Schlüssel zum Tresor. Bei Passwortmanagern sollten – sofern vorhanden – Mehrfaktor-Authentisierung, aktuelle Software, ein gesicherter Gerätezugang und getestete Sicherungskopien zusammenkommen.

• KeePassXC: quelloffener, dateibasierter Passwortsafe für Windows, macOS und Linux; Generator und Passkey-Unterstützung.
• Bitwarden: geräteübergreifender Passwortmanager mit Passwort- und Benutzernamengenerator.
• Proton Pass: geräteübergreifende Verwaltung einschließlich Passwortgenerator und Passkeys.
• Passbolt: besonders interessant für Teams und gemeinsam verwaltete Zugänge.

Weiterführende Quellen: KeePassXC · Bitwarden · Proton Pass · Passbolt · heise: Fünf Open-Source-Manager

Ein Passwortgenerator erstellt neue zufällige Passwörter, die nicht auf persönlichen Angaben, vorhersehbaren Mustern oder häufig verwendeten Begriffen beruhen. Idealerweise ist er direkt in den Passwortmanager integriert, sodass das Ergebnis ohne unsichere Zwischenschritte gespeichert werden kann.

Für besonders schutzwürdige Zugänge empfiehlt sich die lokale Generatorfunktion eines vertrauenswürdigen Passwortmanagers. Bei Online-Generatoren ist zu berücksichtigen, wie das Werkzeug arbeitet und ob die Erzeugung tatsächlich lokal im Browser stattfindet. Echte Passwörter sollten niemals zur Bewertung auf beliebigen Websites eingegeben werden.

KI-Chatbots sind keine geeigneten Passwortgeneratoren. Sprachmodelle garantieren keine kryptografisch sichere Zufälligkeit; heise berichtete 2026 über entsprechende Warnungen.

• Je Dienst ein neues Kennwort generieren; ausreichend lange Vorgaben wählen.
• Generierte Passwörter unmittelbar im Safe speichern.
• Nicht per E-Mail oder Messenger an sich selbst versenden.
• Für das Masterpasswort eine lange, individuell erstellte Passphrase verwenden.

Weiterführende Quellen: KeePassXC: Generator und Bedienung · Bitwarden: Generator · Proton: Passwortgenerator · heise: Warnung vor KI-Passwörtern

Ein Passkey beruht auf asymmetrischer Kryptografie. Der Dienst speichert einen öffentlichen Schlüssel; der private Schlüssel bleibt in der Regel im geschützten Bereich des Geräts, einem Sicherheitsschlüssel oder einem Passkey-Manager. Beim Anmelden wird eine kryptografische Herausforderung signiert. Ein Geheimnis, das man eintippen oder an eine nachgeahmte Website weitergeben könnte, ist dabei nicht nötig.

Die Freigabe erfolgt häufig mit Geräte-PIN, Fingerabdruck oder Gesichtserkennung. Biometrische Daten werden dabei im Regelfall zur lokalen Gerätefreigabe genutzt und nicht als Login-Geheimnis an die Website übertragen. Passkeys sind an den jeweiligen Dienst beziehungsweise dessen Domain gebunden und daher gegen viele klassische Phishing-Angriffe resistent.

Es gibt Grenzen: Nicht jeder Dienst unterstützt Passkeys. Synchronisierte Passkeys können an einen Anbieter oder ein Ökosystem gebunden sein; bei gerätegebundenen Passkeys muss ein Geräteverlust bedacht werden. Außerdem können unsichere Rückfallverfahren – etwa weiterhin verfügbare Passwörter oder schwache Kontowiederherstellung – den Gesamtschutz schwächen.

• Für wichtige Konten Passkeys aktivieren, wo der Dienst sie unterstützt.
• Vor dem Gerätewechsel prüfen, wie Passkeys gesichert und wiederhergestellt werden.
• Wo möglich einen zweiten unabhängigen Passkey beziehungsweise Sicherheitsschlüssel hinterlegen.
• Wiederherstellungsoptionen sicher dokumentieren und absichern.

Weiterführende Quellen: FIDO Alliance: Passkeys · Passkeys.dev · heise: Technik der Passkeys · heise: Passkeys ohne US-Cloud

Zusätzliche Anmeldefaktoren begrenzen den Schaden, wenn ein Passwort bekannt geworden ist. Möglich sind Authenticator-Apps, Hardware-Sicherheitsschlüssel oder andere zusätzliche Verfahren. Ein SMS-Code ist in vielen Fällen besser als gar kein zweiter Faktor, aber beispielsweise anfälliger für SIM-Swapping und Phishing als FIDO2-Sicherheitsschlüssel.

Passkeys mit lokaler Nutzerverifikation können Passwort und weiteren lokalen Nachweis in einem Verfahren verbinden. Die genaue Sicherheitswirkung hängt jedoch vom jeweiligen Dienst und seiner Umsetzung ab.

• Vor allem E-Mail, Cloud, Banking, soziale Netzwerke und Passwortmanager zusätzlich absichern.
• Sicherheits- und Wiederherstellungscodes offline beziehungsweise geschützt aufbewahren.
• Eine zusätzliche Bestätigung niemals reflexartig akzeptieren, wenn man selbst keinen Login gestartet hat.

Weiterführende Quellen: FIDO Alliance

Ein Hinweis auf ein Datenleck ist ein Anlass zur Kontrolle, aber nicht automatisch der Nachweis einer Kontoübernahme. Bei konkretem Verdacht solltest du den Dienst über seine offizielle Adresse öffnen, das betroffene Passwort ändern, aktive Sitzungen prüfen und gegebenenfalls abmelden sowie Mehrfaktor-Authentisierung einschalten.

Beim Verlust des Geräts oder Passwortsafes ist der vorher eingerichtete Wiederherstellungsweg entscheidend. Ein regelmäßiges, verschlüsseltes Backup und mindestens eine unabhängige Methode zur Wiederanmeldung sind oft wichtiger als ein besonders kompliziertes Passwort.

• E-Mail-Konto priorisieren: Darüber lassen sich häufig andere Konten zurücksetzen.
• Weitere Konten mit wiederverwendetem Passwort ebenfalls ändern.
• Sitzungen, Geräte und Wiederherstellungsdaten kontrollieren.
• Über vertrauenswürdige Dienste prüfen, ob die eigene E-Mail-Adresse in bekannten Datenlecks genannt wird.

Weiterführende Quellen: Have I Been Pwned · Mozilla Monitor