Passwortsicherheit hängt weniger davon ab, Symbole in kurze Zeichenfolgen zu zwingen, sondern vor allem von Länge, Einzigartigkeit und sicherer Verarbeitung.
LeitfadenBewährte MethodenAnfänger
Passwörter: Erzeugung, Stärke und sinnvolle Richtlinien
Verstehe Länge und Einzigartigkeit, Passwortmanager, MFA und Passkeys sowie die sichere serverseitige Speicherung.
Inhalt anzeigen
Lange und einzigartige Passwörter bevorzugen
Wiederverwendete Passwörter machen ein Leck bei einem Dienst zum Risiko für weitere Konten. Passwort-Manager erleichtern einzigartige Zugangsdaten. Der Passwort-Generator erzeugt zufällige Werte; die Passwortstärke-Prüfung kann typische Schwächen erklären, ist aber keine Sicherheitsgarantie.
Richtlinien sollen Nutzer unterstützen
Nach NIST SP 800-63B-4 gelten mindestens 15 Zeichen, wenn ein Passwort allein als Authentifizierungsfaktor verwendet wird; bei verpflichtendem zweiten Faktor sind mindestens 8 zulässig. Starre Zeichenklassenregeln und routinemäßige periodische Passwortwechsel werden nicht empfohlen. Wichtiger sind ausreichende Länge und das Ablehnen häufig verwendeter, kompromittierter oder kontextbezogener Passwörter.
Der Passwortrichtlinien-Generator bildet diese Prinzipien ab und lässt zusätzliche Kompatibilitätsregeln nur bei Bedarf zu.
MFA und Passkeys ergänzen Passwörter
Mehrfaktor-Authentifizierung reduziert die Folgen eines gestohlenen Passworts. Passkeys können das gemeinsame Passwortgeheimnis in geeigneten Anmeldungen ganz ersetzen. Recovery-Prozesse und Autorisierung bleiben trotzdem eigene Sicherheitsfragen.
Server speichern keine Klartextpasswörter
Passwörter sollten mit einer dafür vorgesehenen, absichtlich teuren Ableitungsfunktion und einem eindeutigen Salt verarbeitet werden. Schnelle allgemeine Hashfunktionen wie SHA-256 sind allein kein Passwortspeicherverfahren. Das PBKDF2-Tool zeigt Salt, Iterationen und abgeleiteten Wert; Verschlüsselung, Hashing und HMAC erklärt die Unterschiede zu anderen kryptografischen Verfahren.
Kontosicherheit endet nicht beim Passwort
Schütze Reset-Flows, Session-Cookies und privilegierte Aktionen. Rate Limiting und Monitoring erschweren Online-Raten, während nach erfolgreicher Anmeldung weiterhin eine korrekte Autorisierungsprüfung nötig ist.