Sichere Passwörter und MFA: Was wirklich hilft

Warum Passwörter immer noch wichtig sind

Alle paar Monate liest man, dass Passwörter bald Geschichte sind. Passkeys, Biometrie, Zero-Trust – alles schön und gut. Aber die Realität sieht anders aus: Die meisten Dienste nutzen immer noch Passwörter als primäre Authentifizierung. Ihr Online-Banking, Ihre E-Mail, Ihr Firmennetzwerk – überall Passwörter.

Und genau das ist der Punkt. Solange Passwörter der Standard sind, müssen Sie sie ernst nehmen. Denn ein schwaches Passwort ist wie eine Haustür, die nur angelehnt ist. Technisch geschlossen, praktisch offen.

Laut dem Verizon Data Breach Investigations Report sind kompromittierte Zugangsdaten an über 80% aller Datenlecks beteiligt. Das ist keine abstrakte Zahl. Das sind echte Firmen, echte Daten, echte Schäden.

Was ein sicheres Passwort ausmacht

Länge schlägt Komplexität

Viele denken, ein Passwort muss möglichst kryptisch sein. P@ssw0rd! sieht auf den ersten Blick sicher aus. Ist es aber nicht. Solche Muster sind längst in jeder Wörterbuch-Attacke enthalten.

Was wirklich hilft, ist Länge. Ein Passwort wie Korrekt-Pferd-Batterie-Klammer ist deutlich sicherer als P@ssw0rd! – und Sie können es sich sogar merken. Das Konzept stammt aus dem bekannten xkcd-Comic und ist mathematisch solide.

Warum? Weil die Entropie mit jedem zusätzlichen Zeichen exponentiell steigt. Hier mal konkrete Zahlen, wie lange ein Brute-Force-Angriff bei unterschiedlichen Passwortlängen dauert (Annahme: Angreifer testet 100 Milliarden Kombinationen pro Sekunde):

8 Zeichen (Groß-/Kleinbuchstaben, Zahlen, Sonderzeichen): ca. 8 Stunden
12 Zeichen: ca. 3.000 Jahre
16 Zeichen: ca. mehrere Milliarden Jahre
4 zufällige Wörter (Passphrase): je nach Wortliste ebenfalls im Bereich von Tausenden bis Millionen Jahren

Der Unterschied zwischen 8 und 12 Zeichen ist nicht „ein bisschen mehr Sicherheit”. Es ist der Unterschied zwischen „ein Nachmittag” und „länger als die Menschheitsgeschichte”.

Keine persönlichen Infos

Wenn Ihr Passwort Sommer2024! ist, sind Sie nicht allein – aber Sie sollten das ändern. Geburtsdaten, Haustiernamen, Lieblingsfußballvereine – all das findet man in 5 Minuten auf Social Media.

Angreifer nutzen sogenannte OSINT-Techniken (Open Source Intelligence), um genau solche Infos zu sammeln. Ihr Hund heißt Balu und Sie sind 1989 geboren? Dann wird Balu1989 als eines der ersten Passwörter ausprobiert.

Die häufigsten Passwort-Fehler

Ich sehe diese Fehler ständig – bei Privatleuten und in Unternehmen. Hier die größten Klassiker:

1. Überall das gleiche Passwort

Das ist mit Abstand der gefährlichste Fehler. Wenn Sie bei einem Online-Shop das gleiche Passwort wie bei Ihrer E-Mail verwenden, reicht ein einziges Datenleck. Und solche Leaks passieren ständig. Auf haveibeenpwned.com können Sie prüfen, ob Ihre E-Mail-Adresse schon in einem Leak aufgetaucht ist. Spoiler: Wahrscheinlich ja.

2. Zu kurz

Alles unter 12 Zeichen ist heute zu wenig. Punkt. Die Rechenleistung von GPUs wird jedes Jahr günstiger. Was vor 5 Jahren noch sicher war, ist heute in Minuten geknackt.

3. Im Browser gespeichert – ohne Master-Passwort

Browser bieten an, Passwörter zu speichern. Das ist grundsätzlich okay, aber nur wenn Ihr Betriebssystem-Account mit einem starken Passwort geschützt ist. Sonst kann jeder, der Zugang zu Ihrem Rechner hat, alle gespeicherten Passwörter im Klartext auslesen. Bei Chrome reicht dafür ein Klick in die Einstellungen.

4. Post-Its am Monitor

Klingt wie ein Klischee, aber ich habe das in Büros unzählige Male gesehen. Manchmal sogar mit dem WLAN-Passwort des Unternehmens. Im Großraumbüro. Neben dem Empfang. Das ist kein Sicherheitskonzept, das ist eine Einladung.

5. Passwörter per Mail oder Chat teilen

„Können Sie mir mal das Passwort für den Server schicken?” – Und dann steht es in einer Teams-Nachricht. Für immer. Auffindbar. Für jeden mit Zugang zum Chat-Verlauf. Passwörter gehören nicht in E-Mails, nicht in Slack, nicht in Teams und auch nicht in WhatsApp.

Passwort-Manager: Warum sie sinnvoll sind

Okay, 12+ Zeichen, für jeden Dienst ein anderes Passwort, keine persönlichen Infos – wie soll man sich das alles merken? Gar nicht. Dafür gibt es Passwort-Manager.

Wie funktioniert das?

Ein Passwort-Manager ist im Grunde ein verschlüsselter Tresor (Vault) für alle Ihre Zugangsdaten. Sie merken sich ein einziges starkes Master-Passwort. Den Rest erledigt die Software. Sie generiert zufällige, lange Passwörter und füllt sie automatisch in Login-Felder ein.

Der Vault ist mit AES-256 verschlüsselt – dem gleichen Standard, den Militär und Geheimdienste nutzen. Ohne Ihr Master-Passwort kommt niemand an die Daten. Nicht mal der Anbieter selbst.

Welchen Passwort-Manager nehmen?

Bitwarden – Open Source, kostenlos für Einzelpersonen, geprüfter Code. Meine Empfehlung für die meisten Leute.
1Password – Sehr gute Bedienbarkeit, kostet ab ca. 3 Euro/Monat. Besonders gut für Familien und Teams.
KeePass – Komplett lokal, keine Cloud. Für Leute, die maximale Kontrolle wollen. Die Oberfläche ist etwas altbacken, aber die Technik ist solide.

„Was, wenn der Passwort-Manager gehackt wird?”

Das ist die häufigste Frage. Und sie ist berechtigt – besonders nach dem LastPass-Vorfall 2022, bei dem verschlüsselte Vaults gestohlen wurden.

Hier ist das Ding: Die Vaults waren verschlüsselt. Wer ein starkes Master-Passwort hatte, war trotzdem geschützt. Wer Master123 als Master-Passwort gewählt hat, hatte ein Problem. Aber das wäre bei jeder Methode so.

Die Alternative – überall das gleiche einfache Passwort – ist definitiv unsicherer. Ein Passwort-Manager mit einem starken Master-Passwort ist nach wie vor eine der besten Maßnahmen, die Sie für Ihre digitale Sicherheit treffen können.

Tipp: Ihr Master-Passwort sollte eine lange Passphrase sein, die Sie sich gut merken können. Zum Beispiel: Mein-Kaffee-ist-morgens-um-7-fertig! – lang, einprägsam, sicher.

Multi-Faktor-Authentifizierung (MFA)

Was ist MFA und warum brauchen Sie das?

Selbst das beste Passwort kann in einem Datenleck landen. Oder per Phishing abgegriffen werden. MFA sorgt dafür, dass ein gestohlenes Passwort allein nicht reicht, um sich einzuloggen.

Das Prinzip: Sie brauchen mindestens zwei verschiedene Faktoren zum Anmelden. Nicht zwei Passwörter – zwei verschiedene Arten von Nachweisen.

Die drei Faktoren

Wissen – etwas, das Sie wissen (Passwort, PIN)
Besitz – etwas, das Sie haben (Smartphone, Hardware-Key)
Biometrie – etwas, das Sie sind (Fingerabdruck, Gesichtserkennung)

Typische MFA: Sie geben Ihr Passwort ein (Wissen) und bestätigen dann mit einer App auf Ihrem Handy (Besitz). Selbst wenn ein Angreifer Ihr Passwort hat, fehlt ihm Ihr Handy.

SMS-Codes vs. Authenticator-Apps vs. Hardware-Keys

Nicht alle MFA-Methoden sind gleich sicher. Hier ein Überblick:

SMS-Codes: Besser als nichts, aber nicht ideal. Das Problem heißt SIM-Swapping. Dabei überzeugt ein Angreifer Ihren Mobilfunkanbieter, Ihre Nummer auf eine neue SIM-Karte zu übertragen. Klingt schwer? Ist es leider nicht. Kriminelle machen das routinemäßig. Und dann landen Ihre SMS-Codes auf deren Handy.

Authenticator-Apps (Google Authenticator, Microsoft Authenticator, Authy): Deutlich besser. Die Codes werden lokal auf Ihrem Gerät generiert, basierend auf einem geteilten Geheimnis (TOTP). Da gibt es kein SIM-Swapping-Problem. Die Codes ändern sich alle 30 Sekunden.

Hardware-Keys (YubiKey, SoloKeys): Die sicherste Option. Ein physischer USB-Stick oder NFC-Token, den Sie beim Login einstecken oder antippen. Phishing-resistent, weil der Key prüft, ob die Website echt ist. Kostet ab ca. 25 Euro. Für sensible Accounts (E-Mail, Firmenzugänge) absolut empfehlenswert.

Meine Empfehlung: Authenticator-App als Minimum für alle wichtigen Accounts. Hardware-Key für E-Mail und alles, wo es um Geld oder sensible Daten geht. SMS nur, wenn es keine andere Option gibt.

Passkeys – die Zukunft?

Kurzer Ausblick: Passkeys basieren auf dem FIDO2/WebAuthn-Standard und sollen Passwörter langfristig ablösen. Statt eines Passworts wird ein kryptografisches Schlüsselpaar erstellt. Der private Schlüssel bleibt auf Ihrem Gerät, der öffentliche beim Dienst.

Das bedeutet: Kein Passwort, das gestohlen werden kann. Kein Phishing möglich, weil der Schlüssel an die Domain gebunden ist. Sie melden sich per Fingerabdruck, Gesichtserkennung oder PIN an – fertig.

Google, Apple und Microsoft unterstützen Passkeys bereits. Aber die Verbreitung ist noch lückenhaft. Viele Dienste bieten es noch nicht an. Und die Synchronisierung zwischen Geräten ist noch nicht überall reibungslos.

Also ja, Passkeys sind vielversprechend. Aber sie ersetzen heute noch keine gute Passwort-Hygiene. Nutzen Sie Passkeys, wo sie verfügbar sind – aber verlassen Sie sich nicht darauf, dass sie überall funktionieren.

Praktische Checkliste

Hier sind die konkreten Schritte, die Sie heute noch umsetzen können:

Prüfen Sie auf haveibeenpwned.com, ob Ihre E-Mail-Adressen in Leaks aufgetaucht sind.
Installieren Sie einen Passwort-Manager (Bitwarden ist kostenlos und gut).
Ändern Sie zuerst die Passwörter Ihrer wichtigsten Accounts: E-Mail, Online-Banking, Cloud-Speicher.
Nutzen Sie für jeden Account ein eigenes, zufällig generiertes Passwort mit mindestens 16 Zeichen.
Aktivieren Sie MFA überall, wo es möglich ist. Fangen Sie mit Ihrer E-Mail an – das ist Ihr wichtigster Account.
Nutzen Sie eine Authenticator-App statt SMS-Codes.
Erstellen Sie ein starkes Master-Passwort als Passphrase (mindestens 4 zufällige Wörter).
Richten Sie einen Notfallzugang ein – was passiert, wenn Sie Ihr Master-Passwort vergessen? Bitwarden bietet z.B. einen Emergency Access.
Prüfen Sie, ob Ihre wichtigsten Dienste Passkeys unterstützen, und richten Sie sie ein, wo möglich.
Löschen Sie alte Accounts, die Sie nicht mehr brauchen. Weniger Accounts bedeuten weniger Angriffsfläche.

Fazit

Passwörter werden uns noch eine Weile begleiten. Aber mit einem Passwort-Manager und MFA sind Sie gegen die allermeisten Angriffe gut geschützt. Sie müssen kein Security-Experte sein. Sie müssen nur ein paar Grundregeln beachten.

Die wichtigste davon: Nicht das gleiche Passwort zweimal verwenden. Wenn Sie nur eine Sache aus diesem Artikel mitnehmen, dann diese. Ein Passwort-Manager macht das einfach. MFA macht es sicher. Und Passkeys werden es irgendwann überflüssig machen.

Bis dahin: Passwort-Manager einrichten, MFA aktivieren, fertig. Das dauert einen Nachmittag und schützt Sie für Jahre.