DealsScout
de
AnleitungSicherheit und Passwörter

Sicheres Passwort erstellen – und was 2026 wirklich sicher ist

Ali Cetinkaya Zuletzt aktualisiert:

Diese Anleitung ist für alle, die bei der nächsten Registrierung oder beim Ersetzen eines alten Passworts nicht mehr raten wollen, was heute als sicher gilt. Wir zeigen, wie du von Hand eine Passphrase baust, wie iPhone und Android dir ein starkes Passwort vorschlagen, wie der Generator in Bitwarden, 1Password und NordPass funktioniert und wie du das eine Passwort wählst, das du dir wirklich merken musst. Zum Schluss gehst du deine bestehenden Passwörter in sinnvoller Reihenfolge durch. Vorweg ehrlich: Das ist kein eigener Praxistest, sondern eine Auswertung. Die Empfehlungen beruhen auf den Richtlinien des US-Normungsinstituts NIST (SP 800-63B, Fassung 4 vom Juli 2025), des deutschen BSI, des Schweizer Bundesamts für Cybersicherheit BACS und des britischen NCSC sowie auf den Hilfeseiten von Apple, Google, Bitwarden, 1Password und NordPass. Wo die Behörden unterschiedliche Zahlen nennen, sagen wir das.

Geprüft mit: Geprüft am 27.10.2026 mit NIST SP 800-63B-4 (Juli 2025, Abschnitt 3.1.1.2), den BSI-Seiten «Sichere Passwörter erstellen» und «Umgang mit Passwörtern» sowie der BSI-Pressemitteilung vom 31.01.2025, der BACS-Seite «Geräteschutz, Passwörter und Zugriffsschutz», der BACS-Technologiebetrachtung «Sicherheitsklassen für Authentifikationsverfahren» (September 2026), der NCSC-Seite «Three random words», der Hive Systems Password Table 2026, den Hilfeseiten von Apple (Passwörter-App, Apple Platform Security), Google (Chrome für Android, deutsch), Bitwarden, 1Password und NordPass sowie der FIDO-Mitteilung vom 15.10.2026. Nicht bestätigt: Die deutschen Menünamen auf iPhone und Mac – Apples deutsche Hilfeseiten waren nicht lesbar, darum stehen die englischen Namen aus Apples Hilfe («Security», «All») im Text, die deutschen Entsprechungen sind aus der iOS-Oberfläche übertragen. Die Google-Menünamen stammen aus der deutschen Chrome-Hilfe. Bei NordPass war nur die Hilfeseite für die Mobil-App lesbar; die Desktop-Variante ist allgemein beschrieben.

Inhaltsverzeichnis

  1. 1. Schritt für Schritt
  2. 2. Was 2026 als sicher gilt – die Regeln von NIST, BSI und BACS
  3. 3. Wie Passwörter heute wirklich geknackt werden
  4. 4. Wie lange ein Passwort standhält
  5. 5. Passwort-Manager: ja oder nein
  6. 6. Passkeys: der nächste Schritt
  7. 7. Fünf Dinge, die du lassen kannst
  8. 8. Gut zu wissen
  9. 9. FAQ
  10. 10. Quellen

So geht es

Wähle dein Gerät oder Programm:

Von Hand: die Passphrase-Methode

Die Passphrase ist die Methode für Passwörter, die du dir merken musst. Sie beruht auf der NCSC-Empfehlung «three random words», der BSI-Variante mit fünf bis sechs zufälligen Wörtern und der NIST-Regel, dass Länge mehr zählt als Zeichenklassen (geprüft 27.10.2026).

  1. Länge festlegen: mindestens vier Wörter

    Nimm mindestens vier Wörter, besser fünf oder sechs – das BSI nennt fünf bis sechs zufällige Wörter aus dem Wörterbuch als gut merkbar, leicht tippbar und schwer zu knacken. So kommst du auf weit über 16 Zeichen und damit über die 15 Zeichen, die NIST für ein Passwort ohne zweiten Faktor verlangt. Das NCSC kommt mit drei Wörtern aus, setzt dabei aber auf wirklich ungewöhnliche Wörter; mit vier bist du auf der sicheren Seite.

  2. Wörter wirklich zufällig wählen

    Die Wörter dürfen keinen Zusammenhang haben: kein Zitat, keine Liedzeile, kein Satz, der dich beschreibt. Das NCSC rät ausdrücklich von Namen aus Familie und Haustieren, Geburtsdaten und dem Lieblingsverein ab, weil das alles in sozialen Netzwerken steht. Am zufälligsten wird es, wenn du ein Buch oder eine Wortliste an beliebigen Stellen aufschlägst oder den Passphrase-Generator deines Passwort-Managers nutzt. Ein frei erfundenes Beispiel, das du nicht übernehmen darfst: «Kerze Traktor Mond Spiegel».

  3. Trennzeichen oder Zahl nur bei Bedarf

    Verlangt der Dienst Grossbuchstaben, eine Ziffer oder ein Sonderzeichen, hängst du sie an eine Stelle, die du dir merkst – etwa ein Bindestrich zwischen den Wörtern und eine Zahl am Ende. Ein Buchstabe durch eine ähnliche Ziffer ersetzt («0» statt «o») bringt laut NCSC kaum zusätzliche Sicherheit, weil Angreifer diese Tricks kennen. Das BSI rät von Umlauten und «€» im Passwort ab, weil sie auf fremden Tastaturen oder bei manchen Diensten fehlen.

  4. Auf Muster prüfen

    Lies die Passphrase einmal durch: Ergibt sie einen Sinn, erzählt sie eine Geschichte oder enthält sie ein Wort, das mit dir zu tun hat, tausche dieses Wort aus. Tastaturmuster und Wiederholungen wie «asdfgh» oder «1234abcd» nennt das BSI als typische Fehler. Ebenso einfache Ziffern am Ende oder ein «!» ganz am Anfang oder Ende – Knackprogramme probieren genau das zuerst.

  5. Nur für ein Konto verwenden

    Die fertige Passphrase gilt für genau ein Konto. BSI und BACS sagen übereinstimmend: für jeden Dienst ein eigenes Passwort. Wird ein Dienst gehackt, probieren Angreifer die erbeuteten Zugangsdaten automatisch bei anderen Diensten durch – mehr dazu im Abschnitt, wie Passwörter heute geknackt werden. Für alles ausser den wenigen Hauptkonten übernimmt deshalb ein Passwort-Manager das Erstellen und Merken.

Was 2026 als sicher gilt – die Regeln von NIST, BSI und BACS

Die wichtigste Änderung der letzten Jahre: Länge zählt mehr als Komplexität. Das US-Normungsinstitut NIST hat im Juli 2025 die vierte Fassung seiner Richtlinie SP 800-63B veröffentlicht, die die Fassung von 2017 ablöst. In Abschnitt 3.1.1.2 verlangt sie von Diensten, dass Passwörter mindestens 15 Zeichen lang sein müssen, wenn sie allein zum Anmelden dienen; nur zusammen mit einem zweiten Faktor dürfen es mindestens 8 Zeichen sein. Dienste sollen mindestens 64 Zeichen zulassen, dürfen keine Zeichenklassen vorschreiben (also kein Zwang zu Grossbuchstabe, Ziffer und Sonderzeichen), dürfen keinen regelmässigen Wechsel verlangen und müssen neue Passwörter gegen eine Sperrliste bekannter, erwartbarer und kompromittierter Passwörter prüfen. Sie müssen Passwort-Manager und das automatische Ausfüllen zulassen, sollen Leerzeichen und Unicode akzeptieren und dürfen keine Sicherheitsfragen und keine Passwort-Hinweise mehr anbieten.

Das deutsche BSI formuliert eine Faustregel mit zwei Wegen: kurz und komplex mit mindestens 8 Zeichen und vier Zeichenarten, oder lang und weniger komplex mit mindestens 25 Zeichen, etwa als Folge von Wörtern. Für das WLAN-Passwort empfiehlt es mindestens 20 Zeichen, weil dort Angriffe offline möglich sind. Ein 8-stelliges Passwort mit drei Zeichenarten reicht laut BSI nur, wenn zusätzlich ein zweiter Faktor aktiv ist. Zum Wechsel sagt das BSI in seiner Pressemitteilung vom 31.01.2025 «Passwortwechseln war gestern» klar: Der Rat, Passwörter routinemässig zu ändern, ist überholt, weil dabei mit der Zeit schwächere Passwörter entstehen; geändert wird, wenn es einen Hinweis auf ein Leck oder einen fremden Zugriff gibt.

Das Schweizer BACS nennt auf seiner Seite «Geräteschutz, Passwörter und Zugriffsschutz» für Online-Dienste mindestens 12 Zeichen aus Gross- und Kleinbuchstaben, Zahlen und Sonderzeichen, für das WLAN ebenfalls mindestens 20 Zeichen. Es rät zu einem eigenen Passwort für jeden Dienst, zu einem Passwort-Manager, der auch den zweiten Faktor unterstützt, und dazu, Passwörter sofort zu wechseln, wenn du vermutest, dass Dritte sie kennen. Die Zahlen der drei Behörden unterscheiden sich also – 12, 15 oder 25 Zeichen –, die Richtung ist dieselbe. Unsere Empfehlung in dieser Anleitung orientiert sich am strengsten Wert für Passwörter zum Merken (Passphrase, gut über 20 Zeichen) und an 20 Zeichen für Zufallspasswörter aus dem Manager.

Wie Passwörter heute wirklich geknackt werden

Das Bild vom Hacker, der ein Passwort Zeichen für Zeichen errät, führt in die Irre. Laut dem Verizon Data Breach Investigations Report 2026, der über 22'000 bestätigte Datenlecks auswertet, waren gestohlene Zugangsdaten an 36 % der Lecks beteiligt; der Missbrauch von Zugangsdaten war in 13 % der Fälle der erste Zugang, und der Faktor Mensch spielte bei 62 % eine Rolle. Die Passwörter stammen dabei aus drei Quellen: aus Datenlecks bei Diensten, die Passwörter schlecht geschützt gespeichert haben; aus Infostealern, also Schadsoftware, die gespeicherte Passwörter direkt vom Gerät abgreift; und aus Phishing, bei dem du das Passwort selbst auf einer gefälschten Seite eingibst.

Die Dimension zeigt Have I Been Pwned: Die Sammlung «June 2026 Stealer Logs», am 15.06.2026 aufgenommen, enthält laut der Seite 56,3 Millionen E-Mail-Adressen und 124 Millionen Passwörter aus Infostealer-Protokollen verschiedener Quellen. Mit solchen Listen betreiben Angreifer Credential Stuffing: Sie probieren E-Mail-Adresse und Passwort automatisiert bei hunderten anderen Diensten durch. Das funktioniert nur, weil Passwörter mehrfach verwendet werden – deshalb ist «für jedes Konto ein eigenes» wichtiger als jedes Sonderzeichen. In der Schweiz zeigt die Studie «KMU Cybersicherheit 2026»: Bei den schwer getroffenen Betrieben war Passwort-Hacking mit 32 % die zweithäufigste Angriffsart nach Phishing mit 39 %, und nur 55 % der KMU hatten die Mehrfaktor-Authentifizierung vollständig eingeführt (→ Über 35'000 Schweizer KMU von schweren Cyberangriffen getroffen – nur jedes vierte testet seine Backups).

Gegen Phishing hilft ein starkes Passwort gar nicht – du gibst es ja freiwillig ein. Hier hilft ein Passwort-Manager auf andere Weise: Er füllt Zugangsdaten nur auf der Domain aus, für die sie gespeichert sind. Bleibt das Feld auf einer vermeintlichen Hotel- oder Bank-Seite leer, ist das ein Warnsignal, wie der aktuelle Fall gefälschter Hotelbuchungen zeigt (→ Hotel-Phishing mit 7,5 Prozent «Cashback» zielt auf TWINT-Konten – das BACS warnt). Und auch der zweite Faktor ist kein Allheilmittel: Dort fragten die Betrüger den Bestätigungscode unter einem Vorwand gleich mit ab und hebelten so die Zwei-Faktor-Authentifizierung aus. Wirklich phishing-resistent sind nur Passkeys und Hardware-Schlüssel – dazu unten mehr.

Wie lange ein Passwort standhält

Die bekannteste Tabelle dazu veröffentlicht die US-Sicherheitsfirma Hive Systems jedes Jahr, zuletzt am 14.07.2026. Sie rechnet aus, wie lange ein Angreifer braucht, um ein zufällig erzeugtes Passwort aus einem gestohlenen Passwort-Hash per Brute Force zu knacken. Die Annahmen für 2026: Der Dienst hat die Passwörter mit bcrypt (Kostenfaktor 10) gespeichert, der Angreifer mietet 16 Grafikkarten vom Typ RTX 5090, es gibt keine Sperre, keine Begrenzung der Versuche und keinen zweiten Faktor. Unter diesen Annahmen hält ein 8-stelliges Passwort aus Buchstaben, Ziffern und Symbolen laut Hive Systems 132 Jahre – 2024 waren es noch 225 Jahre, 2025 noch 164. Ein 8-stelliges Passwort nur aus Kleinbuchstaben fällt dagegen in etwa zwei Wochen, für rund 3'400 Dollar Mietkosten.

Die Tabelle selbst liegt als Bild vor; weitere Werte für längere Passwörter konnten wir deshalb nicht übernehmen. Wichtiger als die einzelnen Zahlen sind ohnehin die Einschränkungen, die Hive Systems selbst nennt: Die Zeiten gelten nur für wirklich zufällige Passwörter, die noch in keinem Datenleck aufgetaucht sind. Ein Passwort, das in einer Wortliste steht oder schon einmal geleakt wurde, knackte eine einzelne RTX 5090 im Beispiel von Hive Systems in rund drei Sekunden. Und hat ein Dienst seine Passwörter ohne bcrypt oder mit einem schwächeren Verfahren gespeichert, schrumpfen alle Zeiten drastisch.

Für dich heisst das: Die Länge entscheidet, ob ein Angreifer mit gestohlenen Hashes überhaupt eine Chance hat; jede Stelle mehr vervielfacht den Aufwand. Deshalb empfehlen wir 20 Zeichen für Zufallspasswörter aus dem Manager, obwohl NIST 15 verlangt – die fünf Zeichen mehr kosten dich nichts, weil du sie nie eintippst. Ob dein Passwort hingegen in einer Liste steht, entscheidet sich nicht an seiner Länge, sondern daran, ob du es irgendwo wiederverwendet hast.

Passwort-Manager: ja oder nein

BSI, BACS, NCSC und NIST empfehlen oder verlangen ihn – das BSI mit dem schlichten Argument, dass du dir dann nur noch ein gutes Hauptpasswort merken musst, NIST mit der Vorgabe, dass Dienste Passwort-Manager und automatisches Ausfüllen zulassen müssen. Der Nutzen ist klar: Nur mit einem Manager ist «für jedes Konto ein eigenes, langes Zufallspasswort» im Alltag durchzuhalten. Dazu kommt der Phishing-Schutz durch das Ausfüllen nur auf der richtigen Domain und die eingebaute Prüfung auf geleakte und wiederverwendete Passwörter.

Die Risiken sind ebenso klar. Erstens das Hauptpasswort: Es schützt alles, deshalb muss es eine lange Passphrase sein, nirgends sonst verwendet, mit zweitem Faktor – siehe den Reiter «Das eine Passwort, das du dir merken musst». Zweitens Schwachstellen in den Programmen selbst: Im August 2025 zeigte der Sicherheitsforscher Marek Tóth an der DEF CON 33, wie sich Browser-Erweiterungen mehrerer Passwort-Manager per Clickjacking zum Ausfüllen auf fremden Seiten bringen liessen; wer wie reagiert hat, steht im Vergleich (→ Beste Passwort-Manager 2026: 1Password, NordPass, Bitwarden und Proton Pass im Vergleich). Drittens ein Ausfall oder Verlust des Zugangs – dagegen helfen Notfallzugriff und ein gelegentlicher Export an einen sicheren Ort.

Browser- oder Geräte-Manager (Apple Passwörter, Google Passwortmanager) gegen eigenen Manager (Bitwarden, 1Password, NordPass, Proton Pass): Die eingebauten sind gratis, immer dabei und für viele völlig ausreichend, solange du in einer Welt bleibst – nur Apple-Geräte oder nur Chrome und Android. Wer iPhone und Windows-PC mischt, Passwörter in der Familie teilt oder Passkeys und Zwei-Faktor-Codes an einem Ort will, fährt mit einem eigenen Manager besser. Die Preise (Stand 16.10.2026, US-Dollar, Jahresabrechnung): Bitwarden ist gratis ohne Geräte- und Passwortlimit, Premium kostet 1,65 $ pro Monat (19,80 $ im Jahr), Families 3,99 $ pro Monat; 1Password Individual 3,99 $ pro Monat (47,88 $ im Jahr), Families 5,99 $; NordPass ist gratis mit einer aktiven Sitzung, Premium laut TechRadar 1,24 $ pro Monat im 2-Jahres-Paket; Proton Pass ist gratis, Plus kostet 2,99 $ pro Monat. Details, Stärken und Schwächen stehen im Vergleich (→ Beste Passwort-Manager 2026: 1Password, NordPass, Bitwarden und Proton Pass im Vergleich).

Passkeys: der nächste Schritt

Ein Passkey ersetzt das Passwort durch ein Schlüsselpaar: Der private Schlüssel bleibt auf deinem Gerät oder im Schlüsselbund, der Dienst kennt nur den öffentlichen. Beim Anmelden bestätigst du mit Face ID, Fingerabdruck oder Gerätecode – es gibt nichts, was du auf einer gefälschten Seite eingeben könntest, und nichts, was bei einem Leck des Dienstes gestohlen werden kann. Das BSI nennt Passkeys in seiner Pressemitteilung vom 31.01.2025 als passwortfreie Alternative: Weil kein Passwort mehr eingegeben wird, können Kriminelle auch keines abgreifen.

Wie weit das verbreitet ist, zeigen die Zahlen der FIDO Alliance, die den Standard verantwortet: Am 07.05.2026 meldete sie über 5 Milliarden Passkeys und 75 % Befragte mit mindestens einem aktivierten Passkey; am 15.10.2026 waren es laut FIDO rund 7 Milliarden Passkeys, und bei den 15 grossen Verbraucherdiensten des «Passkey Index» läuft mehr als ein Drittel der erfolgreichen Anmeldungen per Passkey – laut FIDO fast dreimal schneller als mit Passwort und klassischer Zwei-Faktor-Anmeldung. Alle teilnehmenden Dienste, die Phishing messen, meldeten laut FIDO weniger erfolgreiche Angriffe nach der Einführung.

Das BACS hat die Verfahren in seiner Technologiebetrachtung «Sicherheitsklassen für Authentifikationsverfahren» eingeordnet (Dokument datiert September 2026, veröffentlicht am 19.10.2026). Es unterscheidet die Klassen «tief», «mittel» und «hoch»; ein Stern markiert Verfahren, die gegen Echtzeit-Phishing und Man-in-the-Middle-Angriffe schützen. Benutzername und Passwort allein liegen in «tief» – solche Verfahren sollten laut BACS grundsätzlich nicht mehr eingesetzt werden, auch bei verschlüsselter Übertragung. Passwort plus SMS-Code oder plus Authenticator-App liegt in «mittel» ohne Stern, wobei das BACS die Sicherheit SMS-basierter Verfahren grundsätzlich in Frage stellt. Synchronisierte Passkeys, wie Apple und Google sie über den Schlüsselbund verteilen, erreichen «mittel*», also phishing-resistent; FIDO2-Hardware-Schlüssel ohne Synchronisation erreichen «hoch*». Praktisch heisst das: Bietet ein Dienst Passkeys an, richte sie ein – und behalte das Passwort nur noch als Ersatzweg, so lang und einzigartig wie hier beschrieben. Wie du beim wichtigsten Konto Passkey, Aufforderung, Authenticator-App und Backup-Codes einrichtest, zeigt Schritt für Schritt unsere Anleitung (→ Zwei-Faktor-Authentifizierung bei Google einrichten – Aufforderung, App, Schlüssel oder Passkey).

Fünf Dinge, die du lassen kannst

Sonderzeichen-Zwang: NIST untersagt Diensten seit der vierten Fassung, Zeichenklassen vorzuschreiben, und das NCSC nennt den alten Rat zu zufälligen Zeichen, Symbolen und Zahlen schlicht nicht hilfreich. Ein «!» am Ende oder eine «0» statt «o» verwirrt dich, nicht das Knackprogramm. Regelmässiger Wechsel: Das BSI hält ihn für überholt, NIST verbietet Diensten, ihn zu verlangen. Gewechselt wird bei Verdacht – Leckmeldung, fremde Anmeldung, Phishing-Mail mit korrekten persönlichen Daten.

Passwort-Stärke-Anzeigen: Der Balken, der von Rot auf Grün springt, misst meist nur Zeichenklassen und Länge – nicht, ob dein Passwort in einer Leck-Liste steht. «Sommer2026!» wird grün und ist trotzdem in Sekunden erraten. Verlass dich auf Länge, Zufall und die Prüfung gegen Datenlecks, die Apple, Google und die Passwort-Manager eingebaut haben. «Passwörter im Browser speichern ist unsicher»: Das stimmte, als Browser Passwörter unverschlüsselt ablegten. Heute speichern Apple und Google sie verschlüsselt im Schlüsselbund bzw. im Google-Konto, prüfen sie gegen Lecks und füllen sie nur auf der richtigen Domain aus – das ist sicherer als ein mehrfach verwendetes Passwort im Kopf. Wichtig bleibt, dass das Gerät selbst mit Code gesperrt und frei von Schadsoftware ist, denn Infostealer greifen genau diese Speicher an.

Sicherheitsfragen: «Name deines ersten Haustiers» steht oft in sozialen Netzwerken, und NIST untersagt Diensten in Abschnitt 3.1.1.2 ausdrücklich, Sicherheitsfragen oder Passwort-Hinweise anzubieten. Musst du trotzdem eine ausfüllen, trage eine erfundene Antwort ein – ein zweites Zufallspasswort – und speichere sie im Passwort-Manager zu diesem Konto.

Gut zu wissen

  • Länge vor Komplexität: NIST verlangt mindestens 15 Zeichen ohne zweiten Faktor, das BSI 25 Zeichen für Passwörter mit wenigen Zeichenarten. Eine Passphrase aus fünf Wörtern erfüllt beides.
  • Aufschreiben ist erlaubt. NCSC und BSI sagen es ausdrücklich – nur nicht am Bildschirm, sondern unter Verschluss. Das gilt besonders für das Hauptpasswort und die Wiederherstellungscodes.
  • Umlaute, das deutsche scharfe S und «€» im Passwort vermeiden, rät das BSI: Auf fremden Tastaturen und bei manchen Diensten fehlen sie oder werden anders kodiert.
  • Das E-Mail-Konto ist dein wichtigstes Konto: Über «Passwort vergessen» lassen sich darüber fast alle anderen zurücksetzen. Längste Passphrase, zweiter Faktor, aktuelle Wiederherstellungsdaten.
  • Der Passwort-Manager füllt nur auf der echten Domain aus. Bleibt das Feld auf einer Anmeldeseite leer, prüfe die Adresse, statt das Passwort von Hand einzutippen.
  • Ein geleaktes Passwort hilft auch mit 30 Zeichen nicht mehr. Nach einer Leck-Warnung von Apple, Google oder Have I Been Pwned das Passwort überall ersetzen, wo es galt.
  • Erst das Gerät bereinigen, dann Passwörter ändern, wenn du Schadsoftware vermutest – sonst liest der Infostealer die neuen Passwörter gleich mit (BSI).

FAQ

Wie lang muss ein Passwort 2026 sein?

NIST verlangt in SP 800-63B-4 (Juli 2025) mindestens 15 Zeichen, wenn das Passwort allein zum Anmelden dient, und mindestens 8 Zeichen zusammen mit einem zweiten Faktor. Das BSI nennt 8 Zeichen mit vier Zeichenarten oder 25 Zeichen mit zwei Zeichenarten, das BACS mindestens 12 Zeichen für Online-Dienste. Unsere Empfehlung: Zufallspasswörter aus dem Manager mit 20 Zeichen, Passwörter zum Merken als Passphrase aus mindestens vier, besser fünf Wörtern.

Ist eine Passphrase sicherer als ein Zufallspasswort?

Bei gleicher Länge ist ein Zufallspasswort aus allen Zeichen stärker. Die Passphrase gewinnt, weil sie bei gleicher Merkbarkeit viel länger ist: Fünf zufällige Wörter haben meist 25 bis 35 Zeichen, ein merkbares Zufallspasswort kaum mehr als 10. Deshalb: Passphrase für alles, was du dir merken oder eintippen musst, Zufallspasswort mit 20 Zeichen für alles, was der Passwort-Manager ausfüllt. Entscheidend ist bei der Passphrase, dass die Wörter wirklich zufällig sind – kein Zitat, kein Satz.

Soll ich Passwörter regelmässig ändern?

Nein. Das BSI hat diesen Rat am 31.01.2025 offiziell für überholt erklärt, weil erzwungene Wechsel zu schwächeren Passwörtern führen, und NIST untersagt Diensten in SP 800-63B-4, einen periodischen Wechsel zu verlangen. Geändert wird sofort, wenn es einen Anlass gibt: eine Leck-Warnung, eine fremde Anmeldung, gesendete E-Mails, die du nicht geschrieben hast, oder eine Phishing-Mail mit korrekten persönlichen Daten.

Darf ich Passwörter aufschreiben?

Ja. Das britische NCSC schreibt wörtlich, dass es in Ordnung ist, das Passwort aufzuschreiben, wenn du es an einem sicheren Ort aufbewahrst, und das BSI erlaubt es, solange die Notiz gut unter Verschluss ist – nicht als Zettel am Bildschirm. 1Password empfiehlt für das Konto-Passwort das ausgedruckte «Emergency Kit». Für die vielen Alltagspasswörter ist der Passwort-Manager der bessere Ort; aufschreiben lohnt sich für das Hauptpasswort und die Wiederherstellungscodes.

Ist der Passwort-Manager im Browser sicher?

Für die meisten Privatnutzer ja. Apple speichert Passwörter im verschlüsselten iCloud-Schlüsselbund, Google im Google-Konto; beide prüfen sie gegen bekannte Lecks, erzeugen starke Vorschläge und füllen nur auf der richtigen Domain aus. Voraussetzung ist, dass das Gerät mit Code gesperrt ist, das Konto einen zweiten Faktor hat und keine Schadsoftware läuft. Ein eigener Manager lohnt sich, wenn du Apple- und Windows- oder Android-Geräte mischst, Passwörter teilen willst oder mehr Kontrolle brauchst – siehe (→ Beste Passwort-Manager 2026: 1Password, NordPass, Bitwarden und Proton Pass im Vergleich).

Was ist ein Passkey und ersetzt er das Passwort?

Ein Passkey ist ein Schlüsselpaar: Der private Teil bleibt auf deinem Gerät oder im Schlüsselbund, der Dienst kennt nur den öffentlichen. Du meldest dich mit Face ID, Fingerabdruck oder Gerätecode an; es gibt kein Passwort, das du eingeben oder das gestohlen werden könnte. Das BACS stuft synchronisierte Passkeys als phishing-resistent ein (Klasse «mittel*»), Passwort allein als «tief». Laut FIDO Alliance gab es am 15.10.2026 rund 7 Milliarden Passkeys. Ersetzt wird das Passwort aber erst, wenn der Dienst es zulässt; bis dahin bleibt es als Ersatzweg und muss genauso stark sein.

Woher weiss ich, ob mein Passwort geleakt ist?

Drei Wege: Have I Been Pwned zeigt zu deiner E-Mail-Adresse, in welchen bekannten Datenlecks sie steht. Die Passwörter-App auf dem iPhone warnt unter «Sicherheit» (englisch «Security») vor Passwörtern aus Datenlecks, der «Passwortcheck» im Google Passwortmanager tut dasselbe für Chrome und Android. Eigene Passwort-Manager haben ähnliche Berichte. Das BSI weist darauf hin, dass Leck-Portale meist nur die E-Mail-Adresse abgleichen – ersetze darum alle alten Passwörter, die mit dieser Adresse verknüpft sind.

Was tun, wenn ein Dienst nur 12 Zeichen erlaubt?

Dann nutzt du die 12 Zeichen voll aus und nimmst ein Zufallspasswort aus dem Generator mit allen Zeichenarten – bei begrenzter Länge zählt jede zusätzliche Zeichenklasse. Schalte für dieses Konto unbedingt den zweiten Faktor ein, denn NIST hält 8 bis 14 Zeichen nur zusammen mit einem zweiten Faktor für ausreichend. Verwende das Passwort nirgends sonst, und hinterlege beim Dienst keine Zahlungsdaten, die du nicht brauchst. Erlaubt der Dienst Passkeys, nimm die.

Soll ich das Passwort, das mein iPhone vorschlägt, einfach übernehmen?

Ja. Das vorgeschlagene Passwort hat laut Apple Platform Security standardmässig 20 Zeichen und ist zufällig erzeugt; es wird im Schlüsselbund gespeichert und auf allen deinen Geräten automatisch ausgefüllt. Du musst es dir nie merken. Nur wenn du das Passwort regelmässig auf einem fremden Gerät oder am Fernseher eintippen musst, ist eine Passphrase praktischer – dann ersetzt du den Vorschlag durch fünf zufällige Wörter.

Unser Fazit
Noch kein Passwort-Manager?

Unser Vergleich der Passwort-Manager 2026 stellt Bitwarden, 1Password, NordPass und Proton Pass mit Preisen, Gratis-Plänen, Sicherheitsvorfällen und Prüfdaten gegenüber – ohne eigenen Praxistest, aber mit allen Zahlen und Quellen. Dort steht auch, welcher Manager zu welcher Geräte-Mischung passt.

Zum Vergleich: Passwort-Manager 2026

Quellen

Ali Cetinkaya
Gründer & Herausgeber

Ali Cetinkaya ist Wirtschaftsinformatiker mit über 15 Jahren Erfahrung in IT und Online-Marketing. Für DealsScout wertet er Tarife, Tools und Deals aus – ehrlich, transparent und ohne Fachchinesisch.

Diese Artikel könnten dich auch interessieren

Mehr zum Thema Sicherheit & Datenschutz

News · 30. Oktober 2026Gefälschte Abstimmungen kapern WhatsApp-Konten: über 50 Meldungen im Oktober – das BACS warntErklärt · 28. Oktober 2026Was ist ein VPN? So funktioniert das virtuelle private NetzwerkNews · 26. Oktober 2026Über 35'000 Schweizer KMU von schweren Cyberangriffen getroffen – nur jedes vierte testet seine Backups
Alles zu Sicherheit & Datenschutz →