Wer für jedes Onlinekonto ein eigenes langes Passwort nutzt, müsste sich Dutzende Zeichenfolgen merken. Das gelingt im Alltag selten zuverlässig. Ein Passwortmanager erstellt und speichert die meisten Passwörter. Sie müssen sich dann vor allem ein starkes Master-Passwort merken, das die gespeicherten Passwörter schützt.
Müssen Sie ein Passwort auswendig lernen, wählen Sie eine lange Passphrase aus mehreren zufälligen, zusammenhanglosen Wörtern. Jedes Konto braucht ein eigenes Passwort: Angreifer probieren gestohlene Zugangsdaten auch bei anderen Diensten aus.
Passwörter mit einem Passwortmanager verwalten
Ein Passwortmanager speichert Zugangsdaten in einem geschützten digitalen Tresor. Er kann für jedes Konto ein eigenes, zufälliges Passwort erzeugen und beim Anmelden einfügen. So müssen Sie weder komplizierte Zeichenfolgen auswendig lernen noch aus Bequemlichkeit dasselbe Passwort mehrfach verwenden.
Achten Sie darauf, dass der Manager auf allen Geräten funktioniert, die Sie nutzen. Ein Cloud-Dienst hält den Tresor auf Smartphone, Tablet und Computer auf dem gleichen Stand. Bei einer lokalen Speicherung behalten Sie mehr Kontrolle darüber, auf welchen Geräten die Daten liegen, müssen die Übertragung und Sicherung aber selbst organisieren. Prüfen Sie bei einem Anbieter, wie er den Tresor verschlüsselt, welche Datenschutzinformationen er bereitstellt und wie die Wiederherstellung funktioniert.
Wählen Sie das Master-Passwort besonders sorgfältig: Es sollte lang, einzigartig und für kein anderes Konto verwendet sein. Schreiben Sie es nicht gemeinsam mit dem Passwortbestand auf. Schützen Sie außerdem Smartphone und Computer mit einer PIN, einem Passwort oder einer vergleichbaren Gerätesperre. Aktivieren Sie für den Passwortmanager eine zusätzliche Bestätigung bei der Anmeldung, wenn der Dienst sie anbietet. Sichern Sie den Tresor regelmäßig und klären Sie, wie Sie wieder Zugriff erhalten, falls Sie ein Gerät verlieren oder das Master-Passwort vergessen.
Ein Passwortmanager erspart Ihnen viele einzelne Passwörter. Sorgen Sie dafür, dass Sie den Tresor sicher nutzen und bei Bedarf wiederherstellen können.
Eine Passphrase im Kopf behalten
Eine Passphrase besteht aus mehreren Wörtern und ist länger als ein typisches Einzelwort-Passwort. Für ein Passwort, das Sie selbst behalten müssen, wählen Sie mehrere Wörter, die nicht zusammengehören und nicht leicht zu erraten sind. Die US-Cybersicherheitsbehörde CISA empfiehlt in einem Merkblatt mindestens 16 Zeichen oder eine merkbare Folge aus fünf bis sieben nicht zusammenhängenden Wörtern. Welche Vorgabe gilt, hängt vom Dienst ab. Die Empfehlung gilt nicht automatisch für alle Konten.
Vermeiden Sie Namen, Geburtsdaten, Lieblingsorte und andere Angaben, die jemand aus Ihrem Umfeld oder aus öffentlichen Profilen kennt. Auch bekannte Liedzeilen, Filmzitate und Sprichwörter sind ungeeignet, weil Angreifer solche Formulierungen gezielt ausprobieren. Eine zufällige Wortfolge ist besser als ein persönlicher Satz, der sich leicht recherchieren oder erraten lässt.
Falls Sie lieber mit einem Merksatz arbeiten, können Sie sich einen selbst erfundenen Satz einprägen und daraus eine Eselsbrücke bilden. Diese Methode hilft beim Erinnern eines einzelnen Passworts, macht aber eine wiederverwendete Grundformel nicht sicher. Hängen Sie also nicht bei jedem Dienst den Namen des Anbieters oder eine Zahl an dasselbe Passwort. Solche vorhersehbaren Abwandlungen schützen nicht so gut wie getrennte Passwörter.
Ein Beispiel für das Muster, ausdrücklich nicht zum Verwenden: „Laterne Kaktus Fähre Marmor“. Ersetzen Sie die Wörter durch eine eigene, zufällig gewählte Kombination. Auch ein anschauliches Beispiel aus einem Ratgeber könnte jemand anderes kennen und ausprobieren.
Offene Notizen vermeiden
Lose Zettel am Rechner, eine Passwortliste im Kalender oder eine ungeschützte Textdatei auf dem Smartphone sind leicht zu finden und zu lesen. Speichern Sie Passwörter daher nicht offen neben dem Gerät, mit dem Sie sich anmelden. Eine Notiz in einer gewöhnlichen Notizen-App ist nicht automatisch geschützt, nur weil das Smartphone gesperrt ist.
Papier ist dennoch nicht grundsätzlich unsicher. Eine verschlossene Aufbewahrung kann als Ersatzlösung dienen, etwa wenn Sie sonst den Zugang zu einem wichtigen Konto verlieren würden. Bewahren Sie eine solche Liste getrennt von den Geräten auf und legen Sie das Master-Passwort nicht dazu. Für den täglichen Zugriff bleibt ein Passwortmanager meist bequemer und verringert die Gefahr, dass eine offene Liste herumliegt.
Bei Sicherheitsvorfällen handeln
Ändern Sie Passwörter nicht automatisch nach einem festen Zeitplan. Häufige Wechsel ohne konkreten Anlass führen leicht zu kleinen, vorhersehbaren Änderungen. Ändern Sie ein Passwort, wenn ein Dienst einen Datenabfluss meldet, Sie einen Diebstahl vermuten oder ein Gerät mit Schadsoftware infiziert war.
Wenn Sie dasselbe oder ein ähnliches Passwort bei mehreren Konten verwendet haben, ändern Sie es auch dort. Beginnen Sie bei wichtigen Konten, etwa bei Ihrer E-Mail und Zahlungsdiensten. Auch der Zugang zu Ihrem Passwortmanager sollte zu den ersten gehören. Ein eigenes Passwort pro Konto verhindert, dass ein gestohlener Zugang zugleich weitere Konten gefährdet.
Anmeldung zusätzlich schützen
Ein starkes Passwort schützt nicht vor jeder Täuschung. Betrügerische Webseiten können Sie dazu bringen, Ihre Zugangsdaten selbst einzugeben. Aktivieren Sie deshalb, wenn verfügbar, eine Mehr-Faktor-Anmeldung. Dabei müssen Sie zusätzlich zum Passwort einen zweiten Faktor bestätigen, zum Beispiel über ein Gerät oder einen Sicherheitsschlüssel.
Passkeys sind eine weitere Möglichkeit, sich bei unterstützten Diensten anzumelden. Sie ersetzen dort die Eingabe eines Passworts durch eine Bestätigung am eigenen Gerät. Wenn ein Dienst Passkeys anbietet, können sie den Umgang mit Passwörtern für dieses Konto vereinfachen. Sie ersetzen jedoch nicht den Schutz Ihres Geräts und Ihrer Wiederherstellungswege.
