Sicheres Passwort 2026: was das BSI wirklich empfiehlt

Die meisten Passwortregeln, die man im Kopf hat, stammen aus den Nullerjahren — und einige davon hat das BSI inzwischen selbst kassiert. Wer sie trotzdem befolgt, macht seine Konten nicht sicherer, sondern oft unsicherer.

Hier steht, was heute gilt, warum es sich geändert hat, und was tatsächlich den Unterschied macht.

Der erzwungene Wechsel ist gestrichen

Die bekannteste Regel — Passwort alle 90 Tage ändern — hat das BSI 2020 aus dem IT-Grundschutz entfernt. Nicht aus Bequemlichkeit, sondern weil sie messbar schadet.

Wer alle drei Monate ein neues Passwort erfinden muss, erfindet keins. Er zählt hoch: Sommer2025! wird Herbst2025! wird Winter2026!. Das Muster ist für einen Angreifer trivial, sobald er ein einziges altes Passwort kennt — und alte Passwörter aus Datenlecks kennt er reichlich.

Was stattdessen gilt: Ändern, wenn es einen Anlass gibt. Ein Datenleck bei dem Dienst, ein Verdacht, ein geteiltes Gerät. Nicht nach Kalender.

Länge schlägt Sonderzeichen — mit Zahlen

Die zweite Regel, die sich hartnäckig hält: möglichst viele Zeichenarten. Sie ist nicht falsch, aber deutlich weniger wichtig als angenommen. Der Grund steckt in der Mathematik: Zeichenarten vergrößern den Zeichenvorrat linear, Länge wirkt exponentiell.

Passwort	Zeichenvorrat	Länge	Suchraum
xkcdtroubador	26	13	~61 Bit
Tr0ub4d&3	95	9	~59 Bit
korrektpferdbatteriehalter	26	26	~122 Bit

Das mittlere Passwort ist schwerer zu merken, schwerer zu tippen und trotzdem nicht stärker als das erste. Das dritte ist um Größenordnungen stärker als beide — und man kann es sich vorstellen.

Als grobe Einordnung: unter 60 Bit ist ein Passwort gegen einen entschlossenen Angreifer angreifbar, ab etwa 80 Bit wird Durchprobieren wirtschaftlich sinnlos, ab 100 Bit spielt Rechenleistung keine Rolle mehr.

Die Regel, die wirklich zählt: nie zweimal dasselbe

Der häufigste erfolgreiche Angriff auf Privatkonten ist kein Knacken. Es ist Credential Stuffing: Zugangsdaten aus einem Datenleck werden automatisiert bei hundert anderen Diensten durchprobiert. Wenn dieselbe Kombination irgendwo noch einmal passt, ist das Konto offen — unabhängig davon, wie lang und kompliziert das Passwort war.

Gegen diesen Angriff hilft Länge überhaupt nicht. Nur Einzigartigkeit hilft. Und ein eigenes Passwort für jedes Konto lässt sich nicht merken, also braucht es einen Passwortmanager. Das ist der eine Schritt, der wirklich etwas ändert.

Zwei Sorten Passwörter

Die, die du nie tippen musst — also fast alle. Die erzeugt der Passwort-Generator zufällig, mit 16 bis 20 Zeichen, und der Manager merkt sie sich. Wie hässlich sie aussehen, ist egal.

Die, die im Kopf bleiben müssen — der Hauptschlüssel des Managers, die Gerätesperre, vielleicht die Anmeldung am Arbeitsrechner. Dafür ist eine Passphrase aus mehreren zufälligen Wörtern besser: gleich stark, aber sprechbar und tippbar. Wichtig ist dabei nur, dass die Wörter wirklich zufällig gewählt sind und nicht aus einem Zitat oder Liedtext stammen.

Was noch dazugehört

• Zwei-Faktor überall, wo es geht. Er schützt genau in dem Fall, der wirklich eintritt: Das Passwort ist trotzdem abhandengekommen — durch Phishing, ein Datenleck oder Schadsoftware. Eine App ist dabei besser als SMS, weil sich Mobilfunknummern übernehmen lassen.
• Sicherheitsfragen sind zweite Passwörter. „Mädchenname der Mutter" ist oft öffentlich recherchierbar. Trag dort Zufallszeichen ein und leg sie zum Passwort in den Manager.
• Umlaute vermeiden. Sie funktionieren nicht überall zuverlässig, weil Tastaturlayouts und ältere Systeme sie unterschiedlich kodieren. Ein Passwort, das man am Urlaubsrechner nicht eingeben kann, ist ein Problem.
• Passwörter nicht per Chat weitergeben. Ein starkes Passwort in einem Messenger-Verlauf ist so sicher wie der Verlauf. Wenn es sein muss, danach ändern.

Die Kurzfassung

1. Einen Passwortmanager nutzen. Das ist der Schritt, der zählt.
2. Für jedes Konto ein eigenes, zufälliges Passwort mit 16 oder mehr Zeichen — hier erzeugen.
3. Für die zwei, drei Passwörter im Kopf: eine Passphrase aus zufälligen Wörtern.
4. Zwei-Faktor aktivieren, wo es angeboten wird.
5. Wechseln bei Anlass, nicht nach Kalender.

Bezug: BSI IT-Grundschutz, Baustein ORP.4 (Identitäts- und Berechtigungsmanagement), Stand 2026. Keine Sicherheitsberatung — in Unternehmen gelten die internen Richtlinien.