Passwörter: drei Regeln, die genügen

Lang und einfach ist besser als kurz und kompliziert, jedes Passwort wird nur einmal verwendet, und der Passwortverwalter nimmt die Arbeit ab. Das sind Empfehlungen des BSI — Artikel 32 nennt das Ziel, nicht das Mittel.

Warum das wichtig ist

Fast jeder fremde Zugriff auf ein Konto beginnt beim Passwort. Der Angreifer probiert durch, nutzt Wörterbücher und spielt Listen aus früheren Datenlecks ein. Gegen alle drei hilft Länge mehr als Sonderzeichen.

Der zweite Punkt ist der wichtigste und der unbeliebteste: nie dasselbe Passwort zweimal. Sonst öffnet ein einziges Datenleck alle Zugänge auf einmal — und das Passwort war vielleicht gut.

Ein Passwortverwalter löst das Mengenproblem und sonst nichts. Er ersetzt keine Vorsicht, und sein Hauptpasswort ist der eine Punkt, an dem alles hängt.

Der zweite Faktor ist eine Empfehlung des BSI, keine Pflicht aus der Verordnung. Wir sagen das so deutlich, weil der Markt das regelmäßig anders behauptet.

Was das Gesetz sagt

Art. 32 Abs. 1 lit. b DSGVO

„die Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;"

So macht man es richtig

1. Lange Passwörter aus mehreren Wörtern bilden — Länge schlägt Komplexität.
2. Jeden Zugang mit einem eigenen Passwort versehen, ohne Ausnahme.
3. Passwörter nicht an den Bildschirm heften und nicht per Mail verschicken.
4. Einen Passwortverwalter nutzen und dessen Hauptpasswort besonders schützen.
5. Ein Passwort wechseln, wenn es bekannt geworden sein könnte — nicht nach Kalender.

Stand: 25.10.2026