Passwörter & Sicherheit

Mail, Spiele, Schule, Streaming: Für fast alles brauchst du heute ein Konto, und jedes Konto schützt nur ein Passwort. Wer es errät, kann in deinem Namen schreiben, kaufen und lesen. Zum Glück kannst du mit ein paar einfachen Regeln dafür sorgen, dass genau das nicht passiert.

Länge schlägt Komplexität

Angreifer raten nicht von Hand, sie lassen Computer viele Passwörter pro Sekunde durchprobieren. Wie lange das dauert, bestimmt die Zahl der Kombinationen: Zeichenvorrat hoch Länge. Ein Passwort aus 4 Ziffern hat nur 10 hoch 4, also 10000 Möglichkeiten. Teilst du die Möglichkeiten durch die Versuche pro Sekunde, bekommst du die Zeit für den schlimmsten Fall: Bei 1000 Versuchen pro Sekunde ist diese PIN nach höchstens 10 Sekunden geknackt. Jedes zusätzliche Zeichen multipliziert die Möglichkeiten, deshalb bringt ein längeres Passwort viel mehr als ein kurzes mit einem Sonderzeichen. Diese Rechnung gilt aber nur, wenn das Passwort wirklich zufällig gewählt ist: Ein merkbarer Satz, ein Name oder ein Wort hat viel weniger echte Möglichkeiten und fällt schneller, deshalb steht 123456 auf jeder Liste ganz oben. Die vielen Versuche pro Sekunde gelten vor allem, wenn Angreifer die Passwörter aus einer gestohlenen Datei offline durchprobieren. Beim normalen Anmelden verzögern die Dienste nach wenigen Fehlversuchen jeden weiteren Versuch oder sperren das Konto für eine Weile.

Ein Passwort pro Dienst

Genauso wichtig wie die Länge: Nutze für jeden Dienst ein eigenes Passwort. Wird ein Dienst gehackt und dein Passwort landet im Netz, probieren Angreifer es sofort bei Mail, Shops und sozialen Netzwerken aus. Mit einem eigenen Passwort pro Konto bleibt der Schaden auf einen Dienst begrenzt. Am einfachsten geht das mit einem Passwortmanager: ein Programm, das für jedes Konto ein langes Zufallspasswort erzeugt und sicher verschlüsselt speichert, sodass du dir nur noch ein Hauptpasswort merkst. Noch sicherer wird es mit Zwei-Faktor-Anmeldung, bei der neben dem Passwort ein zweiter Nachweis nötig ist, meist ein Code auf deinem Handy. Immer mehr Dienste bieten außerdem Passkeys an, bei denen dein Gerät die Anmeldung übernimmt und es gar kein tippbares Passwort mehr gibt, das jemand abfangen könnte.

Phishing erkennen

Das beste Passwort hilft nichts, wenn du es selbst verrätst. Beim Phishing schicken Betrüger Mails, die aussehen wie von deiner Bank oder deinem Lieblingsshop, und locken dich auf gefälschte Anmeldeseiten. Warnzeichen sind Zeitdruck, seltsame Absenderadressen und Links, die nicht zur echten Adresse des Dienstes führen. Im Zweifel tippst du die Adresse selbst in den Browser, statt auf den Link zu klicken.