Das Knacken von Passwörtern ist eine der häufigsten und erfolgreichsten Angriffsmethoden von Hackern, um sich Zugriff auf sensible Daten zu verschaffen. Der wesentliche Grund dafür besteht in der häufig ungeschickten Wahl von Passwörtern. Diese ist dafür verantwortlich, dass Passwörter oft entweder leicht zu erraten sind oder mittels einfacher Angriffsverfahren geknackt werden können. Der gröbste Fehler besteht darin, ein leicht zu erratendes Wort zu wählen. Wer den Vornamen des Ehepartners oder den Namen des Hundes als Passwort wählt, kann ebenso gut auf ein Passwort verzichten. Solche Passwörter sind leicht zu erraten. Dennoch sind sie in der Praxis weit verbreitet.

Weshalb ist das relevant? Angriffe wie Brute-Force-, Wörterbuch- und Credential-Stuffing-Attacken nutzen schwache Kennwörter systematisch aus. Insbesondere wiederverwendete Passwörter aus früheren Datenlecks werden automatisiert getestet. Ein starkes, einzigartiges Passwort pro Dienst ist daher der wichtigste Baustein eines belastbaren Zugriffsschutzes.

Grundprinzipien starker Passwörter

• ausreichende Länge (mindestens 12–16 Zeichen, besser mehr)
• hohe Entropie durch zufällige Zeichen oder eine robuste Passphrase
• kein Bezug zu persönlichen Informationen (Name, Geburtsdatum, Haustier, Adresse)
• keine Muster, Sequenzen oder Tastaturfolgen (123456, qwertz, abcdef, Sommer2024!)
• für jeden Account ein anderes Passwort

Keine realen Wörter als Passwort wählen

Keinen wesentlich besseren Schutz bieten andere Wörter, die in Wörterbüchern zu finden sind. Ein Wörterbuch-Angriff ist eine der einfachsten Methoden, um einen Passwortschutz zu überwinden. Dabei werden einfach alle Wörter aus einem Wörterbuch ausprobiert. Auch die Ergänzungen um eine Ziffer werden von diesen Angriffssystemen ausprobiert, weswegen dieses recht verbreitete Vorgehen keine wesentliche Verbesserung darstellt. Pinguin1 ist als Passwort nicht wesentlich besser geeignet als Pinguin.

Weitere typische Fehlannahmen

• Leetspeak wie P1ngu1n oder P!ngu!n schützt nicht zuverlässig: moderne Angriffslisten berücksichtigen solche Varianten.
• Häufige Endungen wie !, ? oder 2024 sind erwartbar und werden zuerst getestet.
• Auch zwei aneinandergehängte Wörter (z. B. AutoBaum) sind schwach, wenn sie geläufig sind.

Besser: Nutzen Sie entweder einen zufälligen Zeichensalat aus einem Generator oder eine lange Passphrase aus mehreren unabhängigen, ungewöhnlichen Wörtern, die in dieser Kombination nicht in Wortlisten vorkommen.

Sonderzeichen im Passwort nutzen

Ein wenig Mathematik: Stehen für Passwörter m unterschiedliche Zeichen zur Verfügung und besteht das Passwort aus n Zeichen, so existieren mⁿ mögliche Passwörter, die ein Angreifer ausprobieren müsste. Sind Buchstaben, Ziffern und Sonderzeichen zulässig, stehen etwa 50 Zeichen zur Verfügung. (Falls zwischen Groß- und Kleinbuchstaben unterschieden wird, sind es noch erheblich mehr.) Für ein Passwort aus 8 Zeichen existieren dann 50 ⁸ Möglichkeiten, also etwas mehr als 39 Billionen.

Ein Rechner, der pro Sekunde 30 Mio. Passwörter ausprobieren kann, benötigt dann mehr als zwei Wochen, um alle Kombinationen zu testen. Ein realistischer Wert, sofern der Angreifer einen handelsüblichen Rechner nutzt. Angenommen, der Angreifer errät zutreffend, dass im Passwort nur Buchstaben verwendet werden. In diesem Fall stehen nur noch 26 Zeichen zur Verfügung, wodurch sich die benötigte Zeit auf wenig mehr als eine Stunde reduziert. Werden zusätzlich noch Ziffern eingesetzt, ist ungefähr ein Tag erforderlich. Hacker wissen, dass viele User keine Sonderzeichen nutzen und setzen daher häufig diese beschleunigten Verfahren ein. Ihre Erfolgsquote dabei ist so gut, dass sich für sie der erhebliche Aufwand nicht lohnt, Passwörter mit Sonderzeichen in der Attacke zu berücksichtigen. Bereits ein %, & oder § im Passwort steigert die Sicherheit daher erheblich.

Aktualisierung mit heutigen Rahmenbedingungen: Moderne Grafikkarten und spezialisierte Hardware erreichen bei Offline-Angriffen (auf gestohlene Hashes) mittlerweile extrem hohe Raten. Selbst wenn 50 Zeichen als Zeichenvorrat ein guter Ausgangspunkt sind, ist die realistische Obergrenze heute deutlich höher (Groß- und Kleinbuchstaben, Ziffern, Sonderzeichen – bis zu rund 95 druckbare Zeichen). Entscheidend ist die Kombination aus Länge und Diversität. Schon wenige zusätzliche Zeichen oder die Umstellung auf eine lange Passphrase vervielfachen die Suchräume drastisch und machen Brute-Force-Angriffe unpraktikabel.

• Offline vs. Online: Offline werden Milliarden Versuche pro Sekunde möglich; online begrenzen Sperrmechanismen, Captchas und Rate-Limits die Versuche – dennoch bleibt Passwortstärke essenziell.
• Empfehlung heute: Mindestens 12–16 Zeichen, besser 20+ als Passphrase, mit unterschiedlichen Zeichengruppen oder mehreren zufälligen Wörtern.

Weitere Tipps zur Passwort Generierung

Grundsätzlich sollte für unterschiedliche Systeme nicht dasselbe Passwort genutzt werden. Auch dieser Fehler wird von vielen Usern begangen. Die Folgen können gravierend sein: Knackt ein Angreifer das Passwort des E-Mail Kontos, kann er damit zugleich im Web auf fremde Rechnung einkaufen. Ein zweites Problem besteht darin, dass sich besonders sichere Passwörter schlecht merken lassen. Eine mögliche Lösung kann beispielsweise darin bestehen, aus irgendeinem Wort den ersten, dritten, fünften usw. Buchstaben zu nutzen und dazwischen die Sonderzeichen zu verwenden, die sich auf der Tastatur über den entsprechenden Ziffern befinden. Dies ist nicht die optimale Lösung! Diese bestünde darin, die Wahl der einzelnen Zeichen des Passworts ohne jedes System zufällig vorzunehmen. Es ist allerdings ein annehmbarer Kompromiss, um ein gutes Passwort zu generieren und es sich auch merken zu können.

Praktische Empfehlungen für den Alltag

• Passwortmanager verwenden: Erzeugt zufällige, lange Kennwörter und speichert sie sicher, sodass Sie sich nur noch ein starkes Master-Passwort merken müssen.
• Passphrasen bilden: Kombinieren Sie 4–6 zufällige, ungewöhnliche Wörter und fügen Sie bei Bedarf Ziffern und Sonderzeichen hinzu, z. B. durch eine persönliche, aber unvorhersehbare Regel.
• Keine regelmäßigen Zwangswechsel ohne Anlass: Wechseln Sie Passwörter, wenn ein Verdacht besteht oder ein Dienst kompromittiert wurde. Häufige erzwungene Änderungen führen oft zu schwächeren Mustern.
• Niemals teilen oder mehrfach verwenden: Ein kompromittiertes Kennwort darf keine weiteren Konten gefährden.
• Sicher aufbewahren: Schreiben Sie Passwörter nicht offen auf. Wenn ein Notfallzettel unumgänglich ist, dann sicher verwahren und neutral formulieren.
• Zusätzliche Absicherung: Aktivieren Sie – wo verfügbar – eine zusätzliche Anmeldebestätigung (z. B. zeitbasierte Codes oder Hardware-Token) als Ergänzung zu starken Passwörtern.

Beispiele für starke Varianten

• Zufällig generiert: G3v%kL9q#A2rX7uN (nur mit Manager sinnvoll)
• Passphrase: HeckenFahrrad!März47_Zimtwolke (lang, merkbar, ungewöhnlich)

Häufige Fragen und Antworten