Passwort-Ideen, die wirklich funktionieren (mit Beispielen)

Wer nach Passwort-Ideen sucht, braucht meist auf der Stelle ein Passwort – oder ein Anmeldeformular hat das gewohnte gerade abgelehnt. Die ehrliche Antwort ist unbequem: Die beste Idee für ein Passwort ist, keine zu haben. Jedes System, das sich ein Mensch ausdenkt, ist ein Muster, und Muster sind genau das, was Angreifer als Erstes durchprobieren. Es folgen die vier Ansätze, die wirklich standhalten, geordnet nach Stärke – dazu die Methode des BSI (Bundesamt für Sicherheit in der Informationstechnik) für Passwörter, die Sie sich merken müssen, Vorschläge für typische Situationen und die beliebten Tricks, die nur clever aussehen.

Idee 1: Ein zufälliges Passwort (am stärksten)

Für jedes Konto, das in einem Passwort-Manager liegt, ist die richtige „Idee“ eine vollständig zufällige Zeichenfolge aus dem Passwort-Generator: ein 16-stelliges Passwort als Standard, 20 Stellen für E-Mail, Online-Banking und alles, worüber sich andere Konten zurücksetzen lassen. Ein zufälliges 16-stelliges Passwort aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen erreicht rund 103 Bit Entropie, ohne Sonderzeichen noch etwa 95 Bit; bei 20 Stellen sind es rund 129 Bit. Ein Angreifer, der offline 10 Milliarden Versuche pro Sekunde durchprobiert, käme in beiden Fällen auch in Jahrmilliarden nicht ans Ziel. Kein ausgedachtes Passwort kommt dem nahe: Was Menschen sich ausdenken, sammelt sich in einer winzigen, bestens kartierten Ecke des Schlüsselraums – Wörter, Namen, Jahreszahlen, ein Ausrufezeichen am Ende –, und genau dort beginnt jedes Angriffswerkzeug. Das BSI sagt es knapp: „Nutzen Sie einen Passwortmanager.“ Für diese Idee müssen Sie sich nichts ausdenken, nur kopieren.

Idee 2: Zufällige Wörter (am leichtesten zu merken)

Für Passwörter, die Sie aus dem Gedächtnis eintippen, ist der Rat des britischen National Cyber Security Centre (NCSC) der beste Ausgangspunkt: drei zufällig gezogene Wörter aneinanderreihen, etwa KorbDonnerLimette. Das BSI geht in dieselbe Richtung und empfiehlt, „zufällig 5-6 Worte aus dem Wörterbuch zu wählen und diese mit einem Leerzeichen zu trennen“. Das entscheidende Wort ist in beiden Fällen „zufällig“: Drei Wörter, die Ihnen einfallen, hängen zusammen – Lieblingsgericht, Haustier, Urlaubsort –, und zusammenhängende Wörter lassen den Suchraum auf einen Bruchteil schrumpfen. Drei Wörter aus einer Liste mit 7.776 Einträgen bringen rund 39 Bit, genug für ein Konto, an dem wenig hängt; für alles Wichtigere nehmen Sie ein viertes oder fünftes Wort dazu. Die Wörter liefert der Generator für drei zufällige Wörter (auf Englisch) – er zieht englische Wörter, was der Stärke nichts nimmt, denn die entsteht durch die zufällige Auswahl, nicht durch die Sprache.

Idee 3: Merkbare Wörter plus Zahl und Sonderzeichen

Verlangt ein Dienst „Komplexität“ – mindestens eine Zahl, mindestens ein Sonderzeichen – und Sie müssen sich das Passwort trotzdem merken, dann verbindet ein merkbares Passwort beides: zufällig gezogene, großgeschriebene Wörter mit angehängter Zahl und Sonderzeichen wie TapferAhornFluss72! – die Formvorschrift ist erfüllt, ohne dass der Zufall verloren geht, der die Stärke ausmacht. Von Sommer2025! unterscheidet es sich nicht in der Form, sondern in der Herkunft der Wörter – und genau darauf kommt es an. Erzeugen können Sie es mit dem Generator für merkbare Passwörter (auf Englisch).

Idee 4: Eine Passphrase für das Master-Passwort

Das eine Passwort, das nicht im Passwort-Manager liegen kann, ist das Master-Passwort des Managers selbst. Dafür ist eine Passphrase aus fünf oder sechs zufälligen Wörtern wie gemacht, etwa fähre-laterne-oxid-pflaume-lebhaft: Fünf Wörter entsprechen rund 65 Bit, sechs rund 78 Bit – so viel wie ein zufälliges 12-stelliges Passwort, aber nach wenigen Tagen Übung aus dem Gedächtnis tippbar. Die Wörter zieht der Passphrasen-Generator (auf Englisch); Sie müssen sich nur diese eine Phrase merken, alles Übrige übernimmt der Manager.

Die Merksatz-Methode des BSI – ehrlich erklärt

Für Passwörter, die Sie auswendig wissen müssen, beschreibt das BSI in seiner Empfehlung „Sichere Passwörter erstellen“ zwei Wege. Entweder man „merkt sich einen Satz und benutzt von jedem Wort nur den ersten Buchstaben“ – aus einem Merksatz mit Zahlen und Satzzeichen wird auf diese Weise eine Zeichenfolge –, oder man „nutzt einen ganzen Satz als Passwort“. Beides ist deutlich besser als ein Wort mit angehängter Jahreszahl, und für ein Passwort, das ohne Passwort-Manager auskommen muss, ist das die richtige Ausweichlösung.

Ein Merksatz bleibt aber schwächer als ein erzeugtes Passwort, aus demselben Grund wie jede ausgedachte Idee: Sätze gehorchen einer Grammatik. Artikel, Verben und Satzbau sind vorhersehbar, bekannte Zitate, Liedzeilen und Sprichwörter stehen in den Wortlisten, und die Buchstabenfolge erbt jedes Muster des Satzes, aus dem sie stammt. Hinter einem erzeugten Passwort steht kein Satz, den man erraten könnte. Wenn Sie die Methode nutzen, dann mit einem eigenen, nirgends veröffentlichten Satz, mit Zahlen und Satzzeichen darin – und nur für die wenigen Passwörter, die Sie auswendig eintippen müssen. Gleichwertig mit 16 zufälligen Zeichen ist das Ergebnis aber nie.

Ideen für bestimmte Situationen

• Für die Arbeit: Halten Sie die Längenvorgabe der Firmenrichtlinie ein und gehen Sie darüber hinaus – ein zufälliges 12-stelliges Passwort erfüllt fast jede Unternehmensregel, 16 Stellen erfüllen alle. Verwenden Sie nie ein privates Passwort für ein Firmenkonto oder umgekehrt.
• Für das WLAN: Das BSI empfiehlt hier „mindestens 20 Zeichen“ – ein zufälliges WLAN-Passwort mit 20 Stellen, einmal pro Gerät eingetippt und für Gäste per WLAN-QR-Code (auf Englisch) geteilt.
• Für E-Mail: Über Ihr Postfach lässt sich jedes andere Konto zurücksetzen, behandeln Sie es also wie den Bankzugang – 20 Stellen als Minimum, einmalig, im Passwort-Manager.
• Für PINs: Hier braucht es keine Idee, sondern zufällige Ziffern, so viele, wie das Gerät zulässt. Vier Stellen ergeben 10.000 Möglichkeiten, sechs Stellen 1.000.000 – die Sicherheit einer PIN liegt in der Sperre nach wenigen Fehlversuchen, nicht in ihrer Länge.

Beliebte Ideen, die nicht funktionieren

• Buchstaben durch Ziffern und Sonderzeichen ersetzen: Ersetzungen im Stil von P@ssw0rd! sind die erste Regel in jedem Programm zum Knacken von Passwörtern; sie bringen praktisch nichts.
• Tastaturmuster: qwertz123, 1qaz2wsx und jede Abwandlung davon stehen in den Standard-Wortlisten.
• Persönliche Angaben: Haustier, Geburtstag, Lieblingsverein, Straßenname – alles recherchierbar und oft schon öffentlich in sozialen Netzwerken.
• Ein „System“ pro Website: Basis!Facebook, Basis!Gmail – ein einziges Datenleck verrät das Muster für alle Konten.
• Ein gutes Passwort mehrfach verwenden: Kein noch so starkes Passwort gleicht Wiederverwendung aus; ein Leck beim schwächsten Anbieter öffnet alle anderen Konten. Das BSI formuliert es als Regel: Ein Passwort sollte „immer nur für einen Zugang genutzt werden“.

Beispiele für sichere Passwörter – gerade eben erzeugt

Die Passwörter unten sind soeben in Ihrem Browser entstanden, mit derselben kryptografischen Zufallsquelle wie im Generator, und sie werden nirgends gespeichert. Ein gedrucktes Beispiel wäre dagegen wertlos: Alles, was irgendwo veröffentlicht wurde – in Artikeln, Ratgebern, Screenshots –, steht längst in den Wortlisten der Angreifer und wird als Erstes durchprobiert. Genau deshalb steht hier keine feste Liste, sondern ein Block, der bei jedem Aufruf neue Beispiele erzeugt. Jedes davon dürfen Sie verwenden: Niemand außer Ihnen hat es je gesehen.

Welche Idee auch immer passt – entscheidend bleibt, dass der Zufall aus einem Generator kommt und nicht aus dem eigenen Kopf, und dass jedes Konto sein eigenes Passwort bekommt. Sichern Sie wichtige Zugänge zusätzlich per Zwei-Faktor-Authentisierung ab: Solche Verfahren „sollten wenn möglich ergänzend zu einem starken Passwort genutzt werden“, so das BSI. Alles Weitere erledigt der Passwort-Generator in einer Sekunde.