Ein sicheres Passwort muss mindestens 15 Zeichen lang sein (Empfehlung NIST SP 800-63B Rev. 4, 2024), Klein- und Großbuchstaben, Zahlen und Symbole mischen und für jedes Konto einzigartig sein. In Kombination mit der Zwei-Faktor-Authentifizierung (2FA) reduziert es das Risiko einer Kompromittierung drastisch – selbst wenn ein Hacker Ihr Passwort erhält.

Die Bedrohung ist real: Laut dem Verizon Data Breach Investigations Report 2025 (22.000 analysierte Vorfälle) sind kompromittierte Zugangsdaten an 22 % der Verstöße beteiligt, und 88 % der Angriffe auf Webanwendungen verwenden gestohlene Zugangsdaten. In der Schweiz empfiehlt das Bundesamt für Cybersicherheit (BACS) KMU ausdrücklich die Verwendung eines Passwortmanagers und die Zwei-Faktor-Authentifizierung.

Teil 1 – Wie Hacker Ihre Passwörter angreifen

Um eine wirksame Verteidigung aufzubauen, muss man die Methoden des Angreifers kennen.

Die vier wichtigsten Angriffstechniken:

• Der Brute-Force-Angriff: Eine Software testet automatisch alle möglichen Kombinationen. Ein Passwort mit 6 Zeichen kann mit einem modernen Computer in weniger als 6 Sekunden geknackt werden.
• Der Wörterbuchangriff: Die Software testet Millionen von gängigen Wörtern, Daten, Vornamen und Passwörtern, die bereits bei Lecks preisgegeben wurden. Aus diesem Grund gehört «P@ssword1» trotz seiner scheinbaren Komplexität zu den gefährlichsten Passwörtern.
• Der hybride Angriff: Kombiniert das Sammeln persönlicher Informationen (Name, Geburtsdatum, Name Ihrer Kinder oder Tiere) mit Brute Force. Ein Passwort wie «Milo2018!» wird in wenigen Minuten geknackt.
• Das Phishing: Der Hacker verleitet Sie dazu, Ihr Passwort auf einer gefälschten Website einzugeben. Selbst das stärkste Passwort schützt nicht – nur Wachsamkeit und 2FA können dies. Um mehr zu erfahren: PhishTrainer, Plattform zur Simulation von Phishing.

Teil 2 – Die zwei Säulen eines unknackbaren Passworts

Säule Nr. 1 – Die Länge: Ihre beste Waffe

Die Länge ist der entscheidende Faktor für die Stärke eines Passworts. Jedes zusätzliche Zeichen addiert sich nicht zur Schwierigkeit: Es multipliziert sie exponentiell.

Schätzungen: zxcvbn-Rechner, bei 10.000 Versuchen/Sekunde – Annahme eines Servers mit Standardschutz gegen Online-Angriffe.

Offizielle Empfehlungen 2026:

• NIST SP 800-63B Rev. 4 (2024): Mindestens 15 Zeichen empfohlen; Systeme müssen bis zu 64 Zeichen akzeptieren
• BACS (Bundesamt für Cybersicherheit, Schweiz): Mindestens 12 Zeichen, mit Groß-, Kleinbuchstaben, Zahlen und Sonderzeichen
• Unsere Empfehlung: Verwenden Sie 16 Zeichen oder mehr für Ihre sensiblen Konten

Säule Nr. 2 – Intelligente Komplexität

Ein starkes Passwort muss vier Arten von Zeichen mischen: Kleinbuchstaben (a-z), Großbuchstaben (A-Z), Zahlen (0-9) und Symbole (!, @, #, $, %, ^, &, *).

Teil 3 – Zwei professionelle Techniken für einprägsame Passwörter

Technik 1 – Der Kennsatz

• Die Idee: Fünf rosa Schildkröten, die auf einem Regenbogen tanzen
• Der Kennsatz: 5T0rtuesRosesDansentSurUnArc-en-ciel! → geschätzte Widerstandsfähigkeit: Jahrhunderte

Warum diese Methode funktioniert:

• Einprägsam: Das Bild ist originell genug, um nicht vergessen zu werden
• Natürlich lang: Sätze generieren Passwörter mit 20 bis 40 Zeichen ohne Anstrengung
• Komplex: Ersetzen Sie «Fünf» durch 5, das «o» von «Schildkröten» durch eine 0 und fügen Sie die Zeichensetzung hinzu, um Zahlen und Symbole organisch zu integrieren

Technik 2 – Das mnemonische Akrostichon

Nehmen Sie einen persönlichen, einprägsamen Satz und verwenden Sie den ersten Buchstaben jedes Wortes.

• Satz: Diesen Winter werde ich 3 Mal mit 2 Freunden in Les Diablerets Ski fahren!
• Passwort: Dw,iw3miLDa2f! → geschätzte Widerstandsfähigkeit: Jahrhunderte

Detaillierte Konstruktion: erster Buchstabe jedes Wortes unter Beachtung der Großschreibung, Zahlen an ihrer Position eingefügt, «mit» durch & ersetzt, Zeichensetzung beibehalten. Das Ergebnis scheint völlig zufällig, aber Sie können es in wenigen Sekunden rekonstruieren.

Teil 4 – Die Zwei-Faktor-Authentifizierung (2FA): die wirksamste Maßnahme

Die Zwei-Faktor-Authentifizierung ist die Sicherheitsmaßnahme mit dem besten Aufwand/Schutz-Verhältnis, die im Jahr 2026 verfügbar ist.

Teil 5 – Der Passwortmanager: die endgültige Lösung für Schweizer KMU

Ein Passwortmanager ist das effektivste Tool, um alle Ihre Konten zu sichern, da er das grundlegende Problem löst: Es ist für den Menschen unmöglich, sich Dutzende von eindeutigen und komplexen Passwörtern zu merken.

1. Generiert automatisch zufällige und unknackbare Passwörter für jede Website
2. Speichert alle Ihre Zugangsdaten unter AES-256-Verschlüsselung (Militärstandard)
3. Füllt automatisch die Anmeldeformulare auf Websites und in Anwendungen aus

Empfohlene Lösungen für KMU in der Westschweiz, Lausanne, Genf und Bern:

Proton Pass, entwickelt von Proton AG (Genf, Schweiz), unterliegt dem Schweizer Datenschutzrecht – besonders relevant für Unternehmen, die im Rahmen des revDSG Daten von Schweizer Kunden verarbeiten.

Teil 6 – Die digitale Hygiene: vier nicht verhandelbare Regeln

Digitale Sicherheit ist keine einmalige Handlung, sondern eine Routine. Hier sind die vier Grundregeln:

• Verwenden Sie NIEMALS ein Passwort wieder – wenn eine Website kompromittiert wird, werden alle Ihre Konten, die dasselbe Passwort verwenden, anfällig
• Erneuern Sie Ihre wichtigen Passwörter alle 6 bis 12 Monate oder sofort nach einem gemeldeten Leck
• Überprüfen Sie, ob Ihre Konten auf Have I Been Pwned kompromittiert wurden – Milliarden von offengelegten Zugangsdaten
• Hüten Sie sich vor Phishing: Überprüfen Sie immer die URL, bevor Sie Ihre Zugangsdaten eingeben. Das BACS hat 2024 einen besorgniserregenden Anstieg des Phishings in der Schweiz gemeldet

Fazit: drei Aktionen, die Sie noch heute ausführen sollten

Der Schutz Ihres digitalen Lebens lässt sich auf konkrete und zugängliche Aktionen reduzieren. Warten Sie nicht, bis ein Vorfall eintritt, um zu handeln.

1. Wählen Sie ein kritisches Konto aus (Ihre primäre E-Mail) und erstellen Sie ein neues Passwort mit 16+ Zeichen, indem Sie die Kennsatzmethode anwenden.
2. Aktivieren Sie noch heute die Zwei-Faktor-Authentifizierung für dieses Konto.
3. Testen Sie Ihre E-Mail-Adresse auf Have I Been Pwned, um herauszufinden, ob sie in bekannten Lecks enthalten ist.

Diese drei Schritte bedeuten weniger als 15 Minuten Aufwand für einen radikal besseren Schutz.

Häufig gestellte Fragen zu sicheren Passwörtern