Sichere Passwörter und Passwortmanager: So schützt du alle Konten, ohne dir hundert Passwörter zu merken

E-Mail, Online-Banking, Krankenkasse, Paketdienst, Streaming, soziale Netzwerke, Online-Shops: Wer heute im Internet unterwegs ist, hat schnell fünfzig, hundert oder noch mehr Konten. Kein Mensch kann sich so viele unterschiedliche, starke Passwörter merken. Deshalb nutzen viele dasselbe Passwort überall oder kleine Abwandlungen davon. Genau das machen sich Kriminelle zunutze. Diese Anleitung erklärt, was ein sicheres Passwort ausmacht, warum ein Passwortmanager die beste Lösung für fast alle ist, wie du ihn einrichtest und was es mit den neuen Passkeys auf sich hat.

Warum dasselbe Passwort überall so gefährlich ist

Immer wieder werden Online-Dienste gehackt, und dabei geraten Millionen von Zugangsdaten in die Hände von Kriminellen. Diese Listen mit E-Mail-Adressen und Passwörtern werden gehandelt und automatisch an anderen Diensten ausprobiert. Fachleute nennen das Credential Stuffing.

Wenn du für deinen kleinen Lieblings-Onlineshop dasselbe Passwort verwendest wie für dein E-Mail-Postfach, reicht ein Datenleck bei diesem Shop, und Angreifer haben Zugriff auf deine E-Mails. Über das E-Mail-Postfach können sie dann bei vielen anderen Diensten „Passwort vergessen“ klicken und sich Zugang verschaffen. Ein einziges wiederverwendetes Passwort kann so eine ganze Kette von Konten öffnen.

Die wichtigste Regel lautet deshalb: Jedes Konto bekommt ein eigenes Passwort.

Was ein sicheres Passwort ausmacht

Ein sicheres Passwort ist vor allem lang und einzigartig. Die Länge ist dabei wichtiger als komplizierte Sonderzeichen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt zum Beispiel:

• Mindestens 8 Zeichen, wenn das Passwort aus allen vier Zeichenarten besteht: Großbuchstaben, Kleinbuchstaben, Ziffern und Sonderzeichen.
• Oder deutlich länger, etwa 20 bis 25 Zeichen, wenn es nur aus zwei Zeichenarten besteht, etwa eine Folge von Wörtern.

Für Konten, die du dir selbst merken musst, ist ein Passwortsatz aus mehreren zufälligen Wörtern ideal. Zum Beispiel: Wolke-Tinte-Fahrrad-Kompass-73. So etwas ist lang, schwer zu erraten und trotzdem merkbar.

Was du vermeiden solltest

• Namen von Kindern, Haustieren oder Partnern, Geburtstage, Hochzeitstage
• Wörter aus dem Wörterbuch allein, auch mit angehängter Zahl wie „Sommer2026!“
• Tastaturmuster wie „qwertz“ oder „123456“
• Bekannte Ersetzungen wie „P@ssw0rt“, die jeder Angreifer kennt
• Dasselbe Passwort mit einer kleinen Änderung für verschiedene Dienste, etwa „Hund2024Amazon“ und „Hund2024Ebay“

Ein Mythos: Passwörter regelmäßig ändern

Früher galt die Regel, Passwörter alle paar Monate zu ändern. Das BSI und andere Fachstellen empfehlen das heute nicht mehr. Wer ständig ändern muss, wählt meist schwächere Passwörter oder zählt nur eine Zahl hoch. Ändere ein Passwort stattdessen sofort, wenn es den Verdacht gibt, dass es in falsche Hände geraten ist, etwa nach einem Datenleck oder einer Phishing-Mail, auf die du hereingefallen bist.

Der Passwortmanager: ein Tresor für alle Passwörter

Ein Passwortmanager ist ein Programm, das alle deine Passwörter verschlüsselt speichert. Du musst dir nur noch ein einziges, starkes Hauptpasswort merken. Der Manager:

• erzeugt für jedes Konto ein langes, zufälliges Passwort,
• füllt Anmeldeformulare auf Websites und in Apps automatisch aus,
• synchronisiert deine Passwörter zwischen Smartphone, Computer und Tablet,
• warnt dich, wenn ein Passwort schwach ist, mehrfach verwendet wird oder in einem bekannten Datenleck auftaucht.

Weil der Passwortmanager die Adresse der Website prüft, bevor er ein Passwort ausfüllt, schützt er dich nebenbei vor Phishing: Auf einer gefälschten Bankseite füllt er nichts aus, weil die Adresse nicht stimmt.

Ist es nicht riskant, alles an einem Ort zu haben?

Diese Frage stellen viele. Die ehrliche Antwort: Ein gut gemachter Passwortmanager mit starkem Hauptpasswort und Zwei-Faktor-Schutz ist deutlich sicherer als wiederverwendete oder aufgeschriebene Passwörter. Seriöse Passwortmanager verschlüsseln die Daten auf deinem Gerät, bevor sie synchronisiert werden. Selbst der Anbieter kann deine Passwörter nicht lesen. Das Risiko liegt vor allem in einem schwachen Hauptpasswort, deshalb ist dieses besonders wichtig.

Welche Arten von Passwortmanagern es gibt

Eingebaut in System und Browser

• Apple Passwörter (früher iCloud-Schlüsselbund) auf iPhone, iPad und Mac, inzwischen mit eigener App und auch unter Windows über iCloud nutzbar.
• Google Passwortmanager in Android und im Chrome-Browser.
• Microsoft Edge und Firefox haben ebenfalls eingebaute Passwortspeicher.

Sie sind kostenlos, bereits vorhanden und für viele Menschen eine gute Wahl, solange sie im selben „Ökosystem“ bleiben. Schwieriger wird es, wenn du zum Beispiel ein iPhone und einen Windows-PC mit Chrome nutzt.

Eigenständige Passwortmanager

Programme wie Bitwarden, 1Password, KeePassXC, Proton Pass oder Dashlane funktionieren auf allen Systemen und in allen Browsern. Sie bieten oft zusätzliche Funktionen wie das sichere Teilen von Passwörtern mit der Familie, einen Notfallzugang für Angehörige und die Speicherung von Zwei-Faktor-Codes.

• Bitwarden und Proton Pass haben gute kostenlose Versionen und sind quelloffen.
• 1Password ist besonders komfortabel, kostet aber ein Abo.
• KeePassXC speichert die Datenbank als Datei auf deinem Rechner, ohne Cloud-Konto. Die Synchronisierung musst du selbst organisieren. Das ist etwas für Menschen, die volle Kontrolle wollen.

Einen Passwortmanager einrichten: Schritt für Schritt

1. Wähle einen Passwortmanager, der zu deinen Geräten passt.
2. Lege ein starkes Hauptpasswort fest. Nutze einen Passwortsatz aus fünf bis sechs zufälligen Wörtern. Schreib ihn auf Papier und bewahre den Zettel an einem sicheren Ort zu Hause auf, etwa bei wichtigen Dokumenten, nicht am Bildschirm.
3. Aktiviere die Zwei-Faktor-Anmeldung für den Passwortmanager selbst.
4. Installiere die App auf dem Smartphone und die Browser-Erweiterung auf dem Computer.
5. Importiere vorhandene Passwörter aus dem Browser. Die meisten Manager bieten eine Import-Funktion. Lösche danach die alten Passwörter im Browser, damit sie nicht doppelt liegen.
6. Erlaube das automatische Ausfüllen: auf dem iPhone unter Einstellungen > Allgemein > Automatisch ausfüllen & Passwörter, auf Android unter Einstellungen > Passwörter, Passkeys und Konten oder Autofill-Dienst.

Schritt für Schritt umstellen

Du musst nicht an einem Abend alle hundert Passwörter ändern. Gehe nach Wichtigkeit vor:

1. E-Mail-Postfach – der Generalschlüssel zu fast allem anderen.
2. Apple-ID oder Google-Konto und Microsoft-Konto.
3. Online-Banking und Bezahldienste wie PayPal.
4. Passwortmanager selbst (Hauptpasswort).
5. Soziale Netzwerke und Messenger.
6. Online-Shops mit hinterlegten Zahlungsdaten.
7. Alle anderen, nach und nach, immer wenn du dich ohnehin anmeldest.

Der Passwortmanager hilft dabei mit einem Sicherheitsbericht, der schwache und doppelte Passwörter auflistet.

Passkeys: die Zukunft ohne Passwort

Immer mehr Dienste bieten Passkeys an, darunter Google, Apple, Microsoft, Amazon, PayPal und viele andere. Ein Passkey ersetzt das Passwort durch ein Schlüsselpaar, das auf deinem Gerät erzeugt wird. Zur Anmeldung bestätigst du nur mit Fingerabdruck, Gesichtserkennung oder der PIN deines Geräts.

Die Vorteile:

• Es gibt nichts, was gestohlen oder erraten werden kann. Der geheime Teil des Schlüssels verlässt dein Gerät nicht.
• Passkeys sind phishing-sicher, weil sie nur auf der echten Website funktionieren.
• Die Anmeldung ist schneller als mit Passwort und Code.

Passkeys werden im Passwortmanager deines Systems oder in einem eigenständigen Passwortmanager gespeichert und zwischen deinen Geräten synchronisiert. Wenn ein Dienst dir anbietet, einen Passkey zu erstellen, kannst du das in den meisten Fällen bedenkenlos annehmen. Behalte für den Notfall eine zweite Anmeldemöglichkeit, etwa ein Passwort im Passwortmanager oder Wiederherstellungscodes.

Prüfen, ob deine Daten in einem Leck auftauchen

Ob deine E-Mail-Adresse in bekannten Datenlecks vorkommt, kannst du bei seriösen Diensten prüfen:

• Have I Been Pwned (haveibeenpwned.com), ein international bekannter Dienst.
• Der HPI Identity Leak Checker des Hasso-Plattner-Instituts, der dir das Ergebnis per E-Mail schickt.
• Viele Passwortmanager prüfen das automatisch.

Taucht deine Adresse auf, ändere das Passwort des betroffenen Dienstes und überall dort, wo du dasselbe Passwort verwendet hast.

Für den Notfall vorsorgen

Was passiert mit deinen Konten, wenn dir etwas zustößt? Viele Passwortmanager bieten einen Notfallzugang: Eine Vertrauensperson kann Zugriff beantragen, und wenn du nicht innerhalb einer festgelegten Frist widersprichst, erhält sie ihn. Alternativ legst du das Hauptpasswort in einem verschlossenen Umschlag zu deinen wichtigen Unterlagen. Mehr dazu in unserer Anleitung zum digitalen Nachlass.

Passwörter in der Familie teilen

In vielen Haushalten gibt es Konten, die mehrere Menschen nutzen: das WLAN, den Streamingdienst, das Konto beim Stromanbieter oder die Zugangsdaten für das Schulportal der Kinder. Statt solche Passwörter per Messenger zu verschicken oder auf einen Zettel am Kühlschrank zu schreiben, kannst du sie sicher teilen:

• Apple Passwörter erlaubt geteilte Gruppen, etwa „Familie“, in denen ausgewählte Passwörter für alle Mitglieder sichtbar sind.
• Google Passwortmanager kann einzelne Passwörter mit Mitgliedern deiner Google-Familiengruppe teilen.
• Eigenständige Passwortmanager wie Bitwarden oder 1Password bieten Familienpläne mit gemeinsamen Tresoren.

Der Vorteil: Wenn du ein geteiltes Passwort änderst, haben alle sofort das neue. Und wenn jemand die Familie verlässt, etwa ein erwachsenes Kind auszieht, entziehst du den Zugriff mit einem Klick.

Das WLAN-Passwort nicht vergessen

Ein besonderer Fall ist das Passwort deines WLANs. Es steht oft auf der Rückseite des Routers und ist ab Werk meist schon lang und zufällig. Wenn du es änderst, wähle wieder ein langes Passwort, mindestens 20 Zeichen. Gäste bekommen am besten ein eigenes Gäste-WLAN mit separatem Passwort. Wie das geht, erklären wir in unserer Anleitung zum Absichern des Routers.

Häufige Fragen

Darf ich Passwörter auf Papier aufschreiben? Ein Notizbuch zu Hause ist sicherer als dasselbe Passwort überall. Besser ist ein Passwortmanager, aber das Hauptpasswort und Wiederherstellungscodes auf Papier sicher zu Hause aufzubewahren ist sinnvoll.

Was, wenn ich das Hauptpasswort vergesse? Bei vielen Passwortmanagern ist das Hauptpasswort nicht wiederherstellbar, weil der Anbieter es nicht kennt. Deshalb ist die Papierkopie an einem sicheren Ort so wichtig. Einige Manager bieten Wiederherstellungsschlüssel oder Notfallkontakte an, richte sie direkt bei der Einrichtung ein.

Ist der Passwortspeicher im Browser sicher genug? Für viele Menschen ja, vor allem wenn das Gerät mit einer sicheren Sperre geschützt und das Konto mit Zwei-Faktor gesichert ist. Eigenständige Passwortmanager bieten mehr Funktionen und funktionieren über alle Systeme hinweg.

Fazit

Das wichtigste Prinzip für sichere Konten lautet: für jedes Konto ein eigenes, langes Passwort. Weil sich niemand so viele merken kann, ist ein Passwortmanager die beste Lösung. Du merkst dir nur noch ein starkes Hauptpasswort, den Rest erledigt der Manager, inklusive Warnung bei Datenlecks und Schutz vor gefälschten Websites. Wo Passkeys angeboten werden, nimm sie an. Und stelle Schritt für Schritt um, angefangen beim E-Mail-Postfach.