Ein sicheres Passwort entsteht nicht durch möglichst viele Sonderzeichen, sondern durch Länge. Die Passphrasen-Methode reiht fünf bis sechs zufällige, thematisch unverbundene Wörter aneinander – zum Beispiel Komet Anker Senf Vulkan Teppich. Das ergibt über 20 Zeichen, lässt sich merken und ist für Angreifer schwerer zu knacken als ein achtstelliges P@ssw0rt!. Genau diesen Ansatz empfiehlt auch das BSI.
Warum Länge mehr bringt als Sonderzeichen
Die alte Faustregel – groß, klein, Zahl, Sonderzeichen – stammt aus einer Zeit, in der Passwörter kurz waren. Sie führt aber zu Kennwörtern, die sich kein Mensch merkt und Computer trotzdem schnell durchprobieren. Der Grund: Beim sogenannten Brute-Force-Angriff (das automatisierte Durchtesten aller Kombinationen) zählt vor allem, wie viele Möglichkeiten es insgesamt gibt – und die wächst mit jedem zusätzlichen Zeichen exponentiell.
Deshalb gilt: Ein 16 Zeichen langes Passwort ohne Sonderzeichen ist in der Praxis sicherer als ein 8 Zeichen kurzes mit Sonderzeichen. Länge schlägt künstliche Komplexität. Das aktuelle US-Standardwerk NIST SP 800-63B (Revision 4, 2024) zieht daraus eine klare Konsequenz: Es verbietet erzwungene Zeichenart-Regeln ausdrücklich und verlangt stattdessen mindestens 15 Zeichen, wenn das Passwort der einzige Schutz ist.
Anzeige
Was genau ist eine Passphrase?
Eine Passphrase ist ein Passwort aus mehreren echten Wörtern statt aus einem kryptischen Zeichensalat. Statt Tr0ub4dor&3 nimmst du eine Wortkette wie Senf Komet Brille Anker Lawine. Entscheidend ist nicht, dass die Wörter hübsch klingen, sondern dass sie zufällig gewählt und thematisch unverbunden sind. Das BSI nennt als konkreten Richtwert: fünf bis sechs zufällige Wörter aus dem Wörterbuch, durch Leerzeichen getrennt.
Der Charme der Methode: Trotz ihrer Länge bleibt eine Passphrase im Kopf, weil das Gehirn sich Bilder und kleine Geschichten besser merkt als Zeichenfolgen. Ein Anker, der auf einem Komet liegt, während es Senf regnet – das vergisst man nicht so schnell.
Passphrase erstellen – Schritt für Schritt
- Fünf bis sechs Wörter zufällig auswählen. Wichtig ist echter Zufall, nicht ein Satz, den du dir selbst ausdenkst. Wer es ohne Hilfsmittel macht, neigt zu vorhersehbaren Mustern.
- Zufall erzeugen – zum Beispiel per Würfel (Diceware). Bei der Diceware-Methode würfelst du pro Wort fünfmal und schlägst die Zahlenkombination in einer Wortliste nach. Alternativ erzeugt jeder gute Passwort-Manager auf Knopfdruck eine zufällige Wortkette.
- Wörter zusammensetzen. Verbinde sie mit Leerzeichen oder Bindestrichen: Komet-Anker-Senf-Vulkan-Teppich. Du landest damit fast automatisch bei 20 bis 30 Zeichen.
- Optional eine Zahl oder ein Sonderzeichen ergänzen. Nötig ist das bei fünf bis sechs Wörtern nicht, aber manche Webseiten verlangen es technisch. Dann häng eines hinten an, statt deine Wörter zu verstrubbeln.
- Für jeden Dienst eine eigene Passphrase. Das ist die wichtigste Regel überhaupt – dazu gleich mehr.
Ein Beispiel für das Ergebnis: Lawine Brille Pfeffer Quarz Donau. Fünf Wörter, 29 Zeichen, in zwei Minuten im Kopf – und für einen Angreifer eine Rechenaufgabe von astronomischer Größe.
Die häufigsten Fehler bei Passphrasen
Eine Passphrase ist nur so stark wie der Zufall dahinter. Das erste, was bei einem schwachen Passwort meist schiefgeht, ist die Wortwahl – hier die typischen Stolperfallen:
- Bekannte Zitate oder Liedzeilen. „DerFrüheVogelFängtDenWurm“ sieht lang aus, steht aber in jeder Angreifer-Liste. Songtexte, Sprichwörter und Bibelverse werden gezielt durchprobiert.
- Selbst ausgedachte Sätze. Menschen wählen unbewusst zusammenhängende, grammatisch sinnvolle Wörter – und genau das schränkt die Möglichkeiten stark ein. Echter Zufall ist sperriger, aber sicherer.
- Persönliche Bezüge. Namen, Geburtsjahre, Haustiere oder der Lieblingsverein gehören nicht in die Passphrase.
- Dieselbe Passphrase für mehrere Dienste. Taucht ein Anbieter in einem Datenleck auf, probieren Angreifer die erbeuteten Zugangsdaten automatisch bei anderen Diensten durch (Credential Stuffing). Eine geknackte Passphrase darf nie mehr als ein Konto kosten.
Hintergrund: Wie viel Sicherheit steckt in fünf Wörtern?
Sicherheit lässt sich in Entropie messen – vereinfacht gesagt in der Zahl der Bits, die einen Zufallswert beschreiben. Pro zusätzlichem Bit verdoppelt sich der Aufwand zum Erraten.
Eine gängige Wortliste (etwa die EFF-Diceware-Liste) enthält 7.776 Wörter. Jedes zufällig gezogene Wort steuert rund 12,9 Bit bei:
- 5 Wörter ≈ 64 Bit Entropie
- 6 Wörter ≈ 77 Bit Entropie
Zum Vergleich: Ein achtstelliges Passwort aus dem vollen Zeichensatz kommt auf rund 52 Bit – und das nur, wenn es wirklich zufällig ist. Schon fünf zufällige Wörter liegen also deutlich darüber, und mit sechs Wörtern landest du in einem Bereich, der auch leistungsstarke Rechner ins Schwitzen bringt. Das ist die Mathematik hinter dem Rat „Länge statt Sonderzeichen“.
Wann ein Passwort-Manager die bessere Wahl ist
Die Passphrasen-Methode löst ein Problem perfekt: das eine wichtige Passwort, das du selbst tippst – etwa für den Passwort-Manager, die Festplattenverschlüsselung oder den E-Mail-Hauptzugang. Für die 50 bis 200 weiteren Konten im Alltag wird selbst das Merken von Passphrasen unpraktisch.
Hier übernimmt ein Passwort-Manager: Er erzeugt für jeden Dienst ein eigenes, langes Zufallspasswort, speichert es verschlüsselt und füllt es automatisch aus. Du musst dir dann nur noch eine starke Passphrase merken – nämlich die für den Manager selbst. Genau diese Kombination empfiehlt auch das BSI: ein Passwort-Manager für die Masse, dazu wo immer möglich Zwei-Faktor-Authentisierung als zweite Hürde.
Und der oft gehörte Rat, Passwörter alle paar Monate zu wechseln? Den haben BSI und NIST kassiert. Ein erzwungener Wechsel führt nur zu vorhersehbaren Varianten wie Sommer2025! → Sommer2026!. Ändere ein Passwort, wenn es einen konkreten Anlass gibt – etwa ein Datenleck beim Anbieter – aber nicht nach Kalender.
Häufige Fragen
Ist eine Passphrase wirklich sicherer als ein Passwort mit Sonderzeichen?
Ja, sofern sie aus fünf bis sechs zufälligen, unverbundenen Wörtern besteht. Durch ihre Länge erreicht sie mehr Entropie als ein kurzes Passwort mit Sonderzeichen und ist trotzdem leichter zu merken.
Wie viele Wörter sollte eine sichere Passphrase haben?
Das BSI empfiehlt fünf bis sechs zufällig gewählte Wörter. Fünf Wörter ergeben rund 64 Bit Entropie, sechs etwa 77 Bit. Für besonders wichtige Konten sind sechs oder mehr Wörter sinnvoll.
Darf ich mir die Wörter selbst ausdenken?
Besser nicht. Selbst gewählte Sätze sind vorhersehbarer, als man denkt. Nutze echten Zufall – etwa Würfel (Diceware) oder den Generator eines Passwort-Managers – und vermeide Zitate, Liedzeilen und persönliche Bezüge.
Brauche ich pro Konto eine eigene Passphrase?
Ja. Wird ein Dienst gehackt, probieren Angreifer die Zugangsdaten automatisch bei anderen Konten durch. Eine eigene Passphrase je Dienst sorgt dafür, dass ein Leck nur ein einziges Konto betrifft.
Muss ich mein Passwort regelmäßig ändern?
Nein. BSI und NIST raten von einem erzwungenen Wechsel nach Kalender ab, weil er zu schwachen Varianten führt. Ändere ein Passwort nur bei einem konkreten Anlass, etwa nach einem bekannt gewordenen Datenleck.
