Sicheres Passwort erstellen: Passphrase statt Zeichensalat

Wer 2026 ein sicheres Passwort erstellen will, braucht keinen Zeichensalat, sondern Länge: fünf bis sechs zufällige, thematisch unverbundene Wörter hintereinander – etwa Komet Anker Senf Vulkan Teppich. Das ergibt über 20 Zeichen, bleibt im Kopf und schlägt jedes achtstellige P@ssw0rt!. Genau diese Passphrasen-Methode empfiehlt das BSI; die übrigen Konten übernimmt ein Passwort-Manager mit zweitem Faktor.

Warum Länge mehr bringt als Sonderzeichen

Die alte Faustregel – groß, klein, Zahl, Sonderzeichen – stammt aus einer Zeit, in der Kennwörter acht Zeichen kurz waren. Sie erzeugt Passwörter, die sich kein Mensch merkt und die ein Rechner trotzdem in vertretbarer Zeit durchprobiert. Beim Brute-Force-Angriff (dem automatisierten Durchtesten aller Kombinationen) zählt vor allem die Größe des Suchraums – und die wächst mit jedem zusätzlichen Zeichen exponentiell.

Rechne es einmal durch: Acht Kleinbuchstaben ergeben rund 2 × 10¹¹ Kombinationen. Acht Zeichen aus dem vollen Tastatursatz kommen auf rund 6 × 10¹⁵. Zwölf schlichte Kleinbuchstaben liegen dagegen schon bei rund 9 × 10¹⁶. Vier Zeichen mehr schlagen also den kompletten Sonderzeichen-Zoo – und lassen sich obendrein tippen, ohne dass man dreimal hinsieht.

Dorthin sind auch die Standards gewandert. Die finale Fassung von NIST SP 800-63B-4 (August 2025) verlangt für Passwörter, die alleiniger Schutz eines Kontos sind, mindestens 15 Zeichen, verbietet erzwungene Zeichenart-Regeln ausdrücklich, schreibt die Annahme von mindestens 64 Zeichen inklusive Leerzeichen vor und fordert, neue Passwörter gegen Listen bekannter Leak-Passwörter zu prüfen. Das BSI nennt Verbraucherinnen und Verbrauchern zwei gleichwertige Wege – lang und einfach oder kurz und komplex.

Punkt	BSI (Verbraucher-Empfehlung)	NIST SP 800-63B-4 (2025)
Länge	20–25 Zeichen bei zwei Zeichenarten oder 8–12 Zeichen bei vier Zeichenarten	mindestens 15 Zeichen ohne zweiten Faktor; bis 64 Zeichen müssen erlaubt sein
Zeichenart-Zwang	nur beim kurzen Variantenweg nötig	unzulässig – keine erzwungene Komplexität
Regelmäßiger Wechsel	nicht mehr empfohlen	nur bei Verdacht auf Kompromittierung
Passphrase	ausdrücklich empfohlen: 5–6 zufällige Wörter aus dem Wörterbuch	Leerzeichen und lange Phrasen müssen unterstützt werden
Leak-Abgleich	Konten regelmäßig auf Datenlecks prüfen	Pflicht bei jedem neuen Passwort

Was genau ist eine Passphrase?

Eine Passphrase ist ein Passwort aus mehreren echten Wörtern statt aus einer kryptischen Zeichenfolge. Statt Tr0ub4dor&3 nimmst du eine Wortkette wie Senf Komet Brille Anker Lawine. Entscheidend ist nicht, dass die Wörter hübsch klingen, sondern dass sie zufällig gezogen und thematisch unverbunden sind. Das BSI nennt als Richtwert fünf bis sechs zufällige Wörter aus dem Wörterbuch, durch Leerzeichen getrennt: leicht zu merken, leicht zu tippen, schwer zu brechen.

Der Trick dahinter ist kein technischer, sondern ein menschlicher: Das Gehirn merkt sich Bilder und kleine Geschichten deutlich besser als Zeichenfolgen. Ein Anker, der auf einem Kometen liegt, während es Senf regnet – diese Szene sitzt nach zwei Durchgängen. xK7$mQ2p sitzt nie.

Sicheres Passwort erstellen – Schritt für Schritt

1. Entscheide, wofür die Phrase gedacht ist. Passphrasen lohnen sich für die wenigen Passwörter, die du selbst tippst: Passwort-Manager, Festplattenverschlüsselung, E-Mail-Hauptzugang, Router- und WLAN-Zugang, Windows- oder Linux-Anmeldung.
2. Fünf bis sechs Wörter per echtem Zufall ziehen. Bei der Diceware-Methode würfelst du pro Wort fünfmal und schlägst die entstandene fünfstellige Zahl in einer Wortliste nach – die bekannte EFF-Liste enthält 7.776 Einträge, also genau 6⁵ Kombinationen. Ohne Würfel erzeugt jeder gute Passwort-Manager auf Knopfdruck eine zufällige Wortkette.
3. Setz die Wörter zusammen. Mit Leerzeichen oder Bindestrichen: Komet-Anker-Senf-Vulkan-Teppich. Damit landest du fast automatisch bei 20 bis 30 Zeichen. Akzeptiert ein Dienst keine Leerzeichen, nimm Bindestriche – kürzen ist die schlechtere Antwort.
4. Nur wenn nötig: eine Zahl oder ein Sonderzeichen anhängen. Sicherheit bringt das bei fünf zufälligen Wörtern kaum noch, manche Anmeldemasken verlangen es aber technisch. Häng es dann hinten an, statt die Wörter mit Ersatzzeichen zu verstrubbeln – aus Senf ein S3nf zu machen, kennen Angriffswerkzeuge seit Jahren.
5. Pro Dienst eine eigene Phrase – oder ein Manager. Sobald es mehr als eine Handvoll Konten wird, ist Merken keine Lösung mehr. Dann übernimmt der Passwort-Manager alles außer seiner eigenen Passphrase.

Ergebnis so einer Runde: Lawine Brille Pfeffer Quarz Donau. Fünf Wörter, 33 Zeichen, in zwei Minuten eingeprägt – und für einen Angreifer eine Rechenaufgabe astronomischer Größe. Fürs WLAN ist das der bequemste Weg, die BSI-Empfehlung von mindestens 20 Zeichen für den WPA2-/WPA3-Schlüssel zu erfüllen, ohne beim Vorlesen an Gäste zu verzweifeln.

Häufige Fragen

Wie lang muss ein sicheres Passwort 2026 sein?

Das BSI nennt 20 bis 25 Zeichen bei zwei Zeichenarten oder 8 bis 12 Zeichen bei vier Zeichenarten. NIST verlangt seit SP 800-63B-4 mindestens 15 Zeichen, wenn das Passwort der einzige Schutz des Kontos ist.

Ist eine Passphrase wirklich sicherer als ein Passwort mit Sonderzeichen?

Ja, sofern sie aus fünf bis sechs zufällig gezogenen, thematisch unverbundenen Wörtern besteht. Fünf Wörter erreichen rund 65 Bit Entropie, ein zufälliges Acht-Zeichen-Passwort nur etwa 52 Bit.

Darf ich mir die Wörter der Passphrase selbst ausdenken?

Besser nicht. Selbst gewählte Wortketten sind vorhersehbarer, als sie wirken. Nutze echten Zufall per Würfel (Diceware) oder den Generator eines Passwort-Managers und meide Zitate, Liedzeilen und persönliche Bezüge.

Muss ich mein Passwort regelmäßig ändern?

Nein. BSI und NIST raten vom Wechsel nach Kalender ab, weil er zu Varianten wie Sommer2025! und Sommer2026! führt. Ändere es bei konkretem Anlass: Datenleck, Malware-Verdacht oder verlorenes Gerät.

Machen Passkeys sichere Passwörter überflüssig?

Noch nicht. Passkeys sind phishing-resistent und laut FIDO Alliance 2026 rund fünf Milliarden Mal aktiv, aber viele Dienste unterstützen sie nicht, und die Kontowiederherstellung läuft oft weiter über Passwort und E-Mail.

Wenn die Passphrase allein nicht reicht

Ein sicheres Passwort erstellen ist die eine Hälfte der Arbeit – die andere ist der Schutz gegen Angriffe, bei denen Länge überhaupt nichts hilft:

• Infostealer-Malware. Sie liest Zugangsdaten direkt aus dem Browser aus, egal wie lang sie sind. Wie groß das Ausmaß ist, zeigt der Datensatz, den Have I Been Pwned im Juni 2026 aufgenommen hat: 56,3 Millionen E-Mail-Adressen und 124 Millionen einzigartige Passwörter – gesammelt aus Stealer-Logs, nicht aus dem Hack eines einzelnen Anbieters.
• Phishing. Wird die Phrase auf einer nachgebauten Anmeldeseite eingetippt, ist ihre Entropie irrelevant. Dagegen helfen nur ein zweiter Faktor oder Passkeys.
• Datenlecks beim Anbieter. Hier hilft Länge tatsächlich – sie verzögert das Knacken des Hashes –, aber nur, wenn die Phrase nirgends sonst benutzt wird.

Praktischer Gegenzug: Aktiviere überall Zwei-Faktor-Authentisierung, am besten per App oder Hardware-Schlüssel statt per SMS. Und prüfe verdächtige Passwörter bei Pwned Passwords. Der Dienst arbeitet mit k-Anonymität: Dein Passwort wird lokal gehasht, an den Server gehen nur die ersten fünf Zeichen des Hashes, der Abgleich passiert im Browser. Taucht die Phrase dort auf, ist sie verbrannt – unabhängig davon, wie stark sie rechnerisch wäre.

Wann ein Passwort-Manager die bessere Wahl ist

Die Passphrasen-Methode löst ein Problem sehr gut: das eine wichtige Passwort, das du selbst tippen musst. Für die 50 bis 200 weiteren Konten im Alltag wird auch das Merken von Wortketten unpraktisch – und führt zur Wiederverwendung, dem schlimmsten aller Fehler.

Hier übernimmt ein Passwort-Manager: Er erzeugt für jeden Dienst ein eigenes, langes Zufallspasswort, speichert es verschlüsselt und füllt es automatisch aus. Du musst dann nur noch ein einziges sicheres Passwort erstellen und behalten – das für den Manager selbst, idealerweise sechs zufällige Wörter. Genau diese Kombination empfiehlt auch das BSI: Manager für die Masse, dazu Mehr-Faktor-Authentisierung, wo immer sie angeboten wird.

Und der alte Rat, Passwörter alle drei Monate zu wechseln? Den haben BSI und NIST kassiert. Erzwungener Wechsel führt zu vorhersehbaren Varianten – aus Sommer2025! wird Sommer2026!. Ändere ein Passwort bei konkretem Anlass: Datenleck beim Anbieter, Verdacht auf Schadsoftware, ein Gerät verloren.

Passkeys 2026: Braucht man Passwörter überhaupt noch?

Passkeys ersetzen das Passwort durch ein Schlüsselpaar: Der private Schlüssel bleibt auf deinem Gerät und wird per Fingerabdruck, Gesicht oder Geräte-PIN freigegeben, der Dienst kennt nur den öffentlichen Teil. Es gibt also nichts, was sich abphishen oder aus einer Datenbank stehlen ließe. Laut dem Bericht „State of Passkeys 2026“ der FIDO Alliance vom 7. Mai 2026 sind weltweit rund fünf Milliarden Passkeys aktiv, 90 Prozent der Befragten kennen die Technik, 75 Prozent haben mindestens einen Passkey aktiviert, 49 Prozent nutzen sie regelmäßig, wenn ein Dienst sie anbietet.

Trotzdem verschwindet das Passwort nicht so schnell: Viele Dienste bieten noch keine Passkeys, und selbst dort, wo es sie gibt, läuft die Wiederherstellung eines Kontos oft über E-Mail-Adresse plus Passwort. Die Reihenfolge für 2026 lautet deshalb: Passkey nutzen, wo es ihn gibt – sonst lange Passphrase plus zweiter Faktor. Und das E-Mail-Konto, an dem alle Wiederherstellungen hängen, bekommt die stärkste Absicherung von allen.

Hintergrund: Wie viel Sicherheit steckt in fünf Wörtern?

Sicherheit lässt sich als Entropie messen – vereinfacht: in der Zahl der Bits, die einen Zufallswert beschreiben. Jedes zusätzliche Bit verdoppelt den Aufwand zum Erraten. Bei einer Wortliste mit 7.776 Einträgen steuert jedes zufällig gezogene Wort rund 12,9 Bit bei:

• 3 Wörter ≈ 39 Bit – zu wenig für Offline-Angriffe
• 4 Wörter ≈ 52 Bit – in etwa auf dem Niveau eines zufälligen 8-Zeichen-Passworts
• 5 Wörter ≈ 65 Bit – solide Basis für Alltagskonten
• 6 Wörter ≈ 78 Bit – für Passwort-Manager, Verschlüsselung, E-Mail-Hauptkonto

Wichtig an dieser Rechnung: Sie gilt nur bei echtem Zufall. Die Entropie steckt im Ziehungsverfahren, nicht in den Wörtern selbst. Wer sich Lawine Brille Pfeffer Quarz Donau selbst ausdenkt statt zu würfeln, hat dieselbe Zeichenkette bei deutlich weniger tatsächlicher Sicherheit – und das ist der Unterschied zwischen einer starken Passphrase und einer, die nur lang aussieht.

Quellen

• BSI: Sichere Passwörter erstellen – Längenempfehlungen, Passphrasen- und Merksatz-Methode
• NIST SP 800-63B-4 (2025) – Mindestlängen, Verbot von Zeichenart-Regeln, Leak-Abgleich
• Have I Been Pwned: June 2026 Stealer Logs – 56,3 Mio. Adressen, 124 Mio. Passwörter
• FIDO Alliance: State of Passkeys 2026 – Verbreitungszahlen zu Passkeys (7. Mai 2026)