Sichere Passwörter erstellen: so geht’s

Cyberkriminelle setzen heute automatisierte Tools ein, die in kürzester Zeit Millionen von Passwortkombinationen prüfen. Ist ein Zugang unzureichend geschützt, können Datendiebstahl, Erpressung und erhebliche finanzielle Schäden die Folge sein.

Die gute Nachricht: Sichere Zugangsdaten müssen weder kompliziert noch schwer zu merken sein. In diesem Ratgeber erfahren Sie, wie Sie starke Passphrasen nach aktuellen Empfehlungen des BSI erstellen

Warum klassische Passwörter nicht mehr sicher sind

Viele Menschen glauben immer noch an veraltete Sicherheitsregeln. Ein kurzes Wort mit ein paar Sonderzeichen fühlt sich sicher an. Doch diese Annahme ist ein gefährlicher Irrtum. Moderne Grafikkarten knacken ein kurzes Passwort in Sekundenbruchteilen. Diese automatisierte Methode nennen Fachleute Brute-Force-Angriff. Dabei probiert eine Software jede erdenkliche Zeichenkombination durch.

Hacker nutzen heute zudem riesige Datenbanken mit gestohlenen Zugangsdaten. Bei einem Datenleck auf einer Website erbeuten sie Millionen Passwörter. Danach probieren automatisierte Programme diese Kombinationen bei anderen Diensten aus. Dieses Vorgehen heißt Credential Stuffing. Wer dasselbe Kennwort mehrfach nutzt, öffnet Angreiferinnen und Angreifern alle Türen.

Ein kompromittierter Account in der Logistik oder Buchhaltung reicht aus. Schon liegt der gesamte Betrieb lahm. Deshalb ist ein Umdenken bei der Passwortsicherheit dringend nötig.

Die offiziellen Kriterien der BSI-Empfehlung

Wie sieht also der moderne Schutz für Ihre digitalen Identitäten aus? Das Bundesamt für Sicherheit in der Informationstechnik gibt klare Richtlinien vor. Die aktuelle BSI-Passwortempfehlung bricht mit veralteten Gewohnheiten. Sicherheit entsteht heute nicht mehr durch komplizierten Zeichensalat. Die wahre Stärke liegt in der Länge.

Länge schlägt Komplexität: Das Geheimnis der Passwort-Entropie

Früher zwangen uns IT-Abteilungen zu kryptischen Kombinationen wie „Kp$9!x“. Solche Passwörter kann sich kein Mensch merken. Wir schreiben sie auf Zettel oder speichern sie ungeschützt ab. Das erhöht die Gefahr für ein Datenleck dramatisch.

Heute wissen wir: Ein langer Satz schlägt jedes kurze Sonderzeichen-Chaos.

Die mathematische Sicherheit eines Kennworts nennen Expertinnen und Experten Entropie. Je länger ein Passwort ist, desto mehr Kombinationen muss ein Angreifer testen. Für ein einfaches Nutzerkonto fordert das BSI mindestens acht Zeichen. Bei sensiblen Anwendungen wie Online-Banking oder Personalakten sind mindestens zwölf Zeichen Pflicht.

Noch sicherer sind sogenannte Passphrasen. Diese bestehen aus mehreren Wörtern und erreichen problemlos 20 bis 25 Zeichen. Ein solcher Satz bietet extremen Schutz vor automatisierten Wörterbuch-Angriffen. Er lässt sich zudem viel leichter im Gedächtnis behalten. So vereinen Sie hohe Sicherheit mit hohem Komfort.

Sonderzeichen, Zahlen, Groß- und Kleinschreibung richtig einsetzen

Wenn Sie ein sicheres Passwort erstellen, kommt es auf den Mix an. Verwenden Sie idealerweise vier verschiedene Zeichenarten. Dazu gehören Großbuchstaben, Kleinbuchstaben, Ziffern und Sonderzeichen. Ein gutes Passwort verteilt diese Elemente zufällig über die gesamte Länge.

Vermeiden Sie es, Zahlen oder Sonderzeichen einfach nur anzuhängen. Ein Ausrufezeichen am Ende eines Standardworts erhöht die Sicherheit kaum. Hacker-Tools kennen diese Muster genau und prüfen sie zuerst. Nutzen Sie stattdessen Leerzeichen oder Sonderzeichen als Trennelemente zwischen Ihren Wörtern.

Achten Sie auf Tastaturlayouts bei internationalen Reisen. Deutsche Umlaute wie „ä“, „ö“ oder „ü“ fehlen auf ausländischen Tastaturen oft. Auch das „ß“ oder das Euro-Zeichen können Probleme bereiten. Beschränken Sie sich im geschäftlichen Alltag lieber auf das standardisierte lateinische Alphabet. So bleibt Ihr Zugang weltweit nutzbar.

Schritt-für-Schritt: So gelingt das sichere Passwort zum Merken

Die größte Hürde im Arbeitsalltag bleibt das Gedächtnis. Wie soll man sich ein sicheres Passwort merken, ohne es aufzuschreiben? Zum Glück gibt es kreative Hilfsmittel. Mit zwei bewährten Methoden erstellen Sie im Handumdrehen gut geschützte und einprägsame Kennwörter.

Die Satz-Methode als praktische Eselsbrücke

Die Satz-Methode ist ein hervorragender Klassiker für den Büroalltag. Überlegen Sie sich einen leicht merkbaren Satz aus Ihrem Leben. Ein Beispiel aus dem Einkauf: „Morgens um sieben Uhr starten wir die Bestellungen für das Lager!“ Nun nehmen Sie von jedem Wort nur den ersten Buchstaben.

Aus unserem Beispielsatz entsteht die Kombination: „MusUswdBfdL!“. Ersetzen Sie nun einzelne Buchstaben durch Zahlen oder Sonderzeichen. Aus dem „u“ wird eine „3“, aus dem „i“ eine „1“. Schon besitzen Sie ein hochgradig sicheres Passwort. Niemand kann dieses Muster erraten, aber Sie vergessen es nie wieder.

Die Diceware-Methode mit dem Würfel

Für extrem sensible Zugänge eignet sich die Diceware-Methode. Sie benötigen dafür lediglich einen herkömmlichen Spielwürfel und eine spezielle Diceware-Wortliste aus dem Internet. Sie würfeln für jedes Wort eine fünfstellige Augenzahl. Jede Zahl führt Sie zu einem bestimmten Wort auf der Liste.

Würfeln Sie diesen Vorgang für fünf bis sechs Wörter nacheinander durch. Sie erhalten eine zufällige Kombination wie zum Beispiel: „Kaffee, Ordner, Bleistift, Lampe, Regal“. Verbinden Sie diese Wörter mit Bindestrichen oder Leerzeichen. Diese Passphrase ist für Computer praktisch unknackbar, für Sie aber sofort bildhaft im Kopf verankert.

Sichere Passwörter: Gute und schlechte Beispiele im Vergleich

Viele beliebte Kombinationen wie „123456“ oder „Passwort“ fallen bei Sicherheitsprüfungen sofort durch. Doch auch vermeintlich schlaue Varianten bergen Risiken. Wenn Sie ein sicheres Kennwort wählen, sollten Sie die wichtigsten Kriterien genau beachten.

Hier sind typische Beispiele für unsichere Passwörter, die Sie im Unternehmen sofort vermeiden sollten:

Sehen wir uns nun an, wie ein gutes Beispiel für ein sicheres Passwort aussieht, das modernen Kriterien entspricht:

Der direkte Vergleich zeigt: Länge schlägt jeden kryptischen Zeichensalat. Ein langer Satz schützt Ihre Daten um ein Vielfaches besser als ein kurzes, kompliziertes Wort. Geben Sie Ihren Mitarbeiterinnen und Mitarbeitern daher stets die Empfehlung, auf lange Passphrasen zu setzen. Das entlastet das Gedächtnis und schützt die Infrastruktur.

Der größte Passwort-Mythos aufgeklärt: Warum ständiges Ändern schadet

In vielen Unternehmen galt jahrelang eine eiserne Regel. Alle drei Monate mussten alle Mitarbeiter:innen ihr Passwort ändern. Diese Vorgabe ist inzwischen völlig veraltet. Das BSI und die amerikanische NIST-Behörde raten heute ausdrücklich von solchen pauschalen Wechsel-Zyklen ab.

Die Praxis zeigt, dass dieser Zwang zu schlechteren Passwörtern führt. Unter Zeitdruck ändern Nutzerinnen und Nutzer meist nur ein einziges Zeichen. Aus „Herbst2023!" wird dann im Handumdrehen „Winter2023!". Angreiferinnen und Angreifer kennen diese menschliche Gewohnheit natürlich ganz genau. Sie können das neue Passwort mühelos erraten.

Ändern Sie Ihr Kennwort nur noch bei einem konkreten Verdacht auf ein Datenleck. Wenn ein genutzter Dienst gehackt wurde, müssen Sie sofort handeln. Ansonsten gilt: Ein einmal gewähltes, extrem starkes Passwort bleibt unberührt. Das schont die Nerven Ihres Teams und erhöht die Sicherheit im Unternehmen spürbar.

Wie man hunderte Passwörter verwaltet: Der Passwort-Manager

Im modernen Arbeitsalltag nutzen Mitarbeiterinnen und Mitarbeiter dutzende verschiedene Software-Tools. Sich für jeden einzelnen Zugang ein eigenes, langes Passwort zu merken, ist unmöglich. Die Lösung für dieses Dilemma ist ein professioneller Passwort-Manager.

Dieses digitale Schließfach speichert alle Ihre Zugangsdaten in einer stark verschlüsselten Datenbank. Sie müssen sich fortan nur noch ein einziges Master-Passwort merken. Dieses Hauptkennwort muss natürlich besonders sicher sein. Den Rest erledigt die Software vollautomatisch für Sie per Knopfdruck.

Ein guter Manager enthält zudem einen integrierten Passwort Generator. Dieses Werkzeug erstellt auf Wunsch völlig zufällige Zeichenketten für neue Registrierungen. Sie müssen diese Passwörter nicht einmal selbst tippen. Die Software fügt sie beim Login automatisch in die entsprechenden Felder ein.

Verzichten Sie im Unternehmen unbedingt darauf, Passwörter im normalen Webbrowser zu speichern. Diese Speicherorte sind oft unzureichend geschützt und bieten Angreiferinnen und Angreifern ein leichtes Ziel. Setzen Sie lieber auf dedizierte, firmenweit freigegebene Manager. So steuern Sie Zugriffsrechte im Team sicher und transparent.

Das Sicherheits-Upgrade: Warum selbst das beste Passwort ohne 2FA unvollständig ist

Sicherheit im Netz ist kein Zustand, sondern ein fortlaufender Prozess. Selbst die beste Passphrase kann durch geschickte Phishing-Mails oder unbemerkt installierte Schadsoftware gestohlen werden. Deshalb benötigen geschäftliche Accounts dringend eine zusätzliche Schutzmauer. Die Zwei-Faktor-Authentifizierung bildet diesen unverzichtbaren Schutz.

Bei diesem Verfahren bestätigen Sie Ihre Identität über zwei voneinander unabhängige Wege. Nach der Passworteingabe fordert das System einen zweiten Nachweis an. Dies kann ein per App generierter Code auf Ihrem Smartphone oder ein physischer Sicherheits-Token sein. Erst nach dieser Freigabe erhalten Sie Zugriff.

Sollte ein Passwort in falsche Hände geraten, bleibt der Account für Hacker trotzdem gesperrt. Sie besitzen schließlich nicht Ihr Smartphone oder den Hardware-Token. Aktivieren Sie diese Funktion überall dort, wo sensible Unternehmensdaten im Spiel sind. Es ist einer der wirksamsten Schutzmechanismen vor Identitätsdiebstahl im B2B-Bereich.

Fazit: Mit einfachen Schritten zu maximaler IT-Sicherheit

Cyber-Sicherheit im Unternehmen beginnt bei jedem einzelnen Teammitglied. Vergessen Sie komplizierten Zeichensalat, den sich niemand merken kann. Setzen Sie stattdessen konsequent auf lange, einprägsame Passphrasen. Kombinieren Sie diese mit einem starken Passwort-Manager und der Zwei-Faktor-Authentifizierung.

So schützen Sie Ihre Geschäftsdaten wirksam vor Bedrohungen und schaffen gleichzeitig Entlastung im Arbeitsalltag Ihres Teams – ganz ohne Zettel voller unleserlicher Zeichenketten.

Häufige Fragen zu sicheren Passwörtern im B2B-Alltag

Wie sieht ein absolut sicheres Passwort aus?

Ein sicheres Passwort ist lang und für Außenstehende unvorhersehbar. Ein gutes Beispiel ist eine Passphrase wie „KaffeeDuftetMorgensImGrossraumbuero!42". Sie kombiniert Groß- und Kleinschreibung, Zahlen und Sonderzeichen auf einer Länge von über 30 Zeichen.

Wie lang muss ein sicheres Passwort im Büro mindestens sein?

Für Standard-Accounts empfiehlt das BSI eine Mindestlänge von acht Zeichen bei hoher Komplexität. Bei sensiblen Daten wie Kundendatenbanken oder Online-Banking sollten es mindestens zwölf Zeichen sein. Noch besser sind Passphrasen ab 20 Zeichen.

Sind Passwort-Manager für Unternehmen wirklich sicher?

Ja, professionelle Manager nutzen modernste Zero-Knowledge-Verschlüsselungen. Das bedeutet, dass selbst der Anbieter der Software keinen Zugriff auf Ihre Daten hat. Nur wer das Master-Passwort besitzt, kann den Tresor entschlüsseln. Verwenden Sie für dieses Master-Passwort eine extrem starke Passphrase.

Sollte man Passwörter im Webbrowser speichern?

Nein, herkömmliche Browser bieten oft keinen ausreichenden Schutz vor spezialisierter Schadsoftware. Nutzen Sie stattdessen lieber einen eigenständigen, professionellen Passwort-Manager für Ihr gesamtes Unternehmen.

Warum soll man Passwörter nicht mehr regelmäßig ändern?

Regelmäßige Wechsel führen nachweislich dazu, dass Nutzer:innen schwächere, leicht zu erratende Passwörter wählen. Ändern Sie ein starkes Kennwort nur dann, wenn Sie den konkreten Verdacht auf einen Missbrauch oder ein Datenleck haben.