Sichere Passwörter und Anmeldung in zwei Schritten einrichten

Wer ein Konto übernehmen will, braucht meistens nur das Passwort. Täter bekommen es etwa über Phishing oder aus Datenlecks bei Unternehmen, und mit dem Zugang bestellen sie Waren oder schließen Verträge im Namen des Opfers ab ^[9]. Zwei Dinge machen einen Angriff deutlich schwerer: ein starkes Passwort, das es nur einmal gibt, und ein zweiter Faktor, ohne den das Passwort allein nicht reicht. Die Polizei rät zu beidem: starke, individuelle Passwörter und, wo möglich, eine Zwei-Faktor-Authentifizierung ^[9].

Was ein sicheres Passwort ausmacht

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt zwei Wege zu einem guten Passwort. Entweder ist es kurz und komplex, mit mindestens acht Zeichen aus vier Zeichenarten, also Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen. Oder es ist lang und weniger komplex, dann sollte es mindestens 25 Zeichen haben ^[1]. Als Beispiele für ausreichend sichere Passwörter führt das BSI auf:

• 20 bis 25 Zeichen aus zwei Zeichenarten, etwa eine Folge von Wörtern ^[1],
• 8 bis 12 Zeichen aus vier Zeichenarten ^[1],
• 8 Zeichen aus drei Zeichenarten, wenn das Konto zusätzlich mit einem zweiten Faktor gesichert ist ^[1].

Für WLAN-Passwörter empfiehlt das BSI mindestens 20 Zeichen, weil Angreifer hier offline beliebig oft raten können ^[1]. Auf Umlaute und Zeichen wie das Eurozeichen verzichtest du besser, denn auf fremden Tastaturen und Diensten fehlen sie manchmal oder werden anders verarbeitet ^[1].

Merkhilfen und was du vermeiden solltest

Als Merkhilfe schlägt das BSI vor, die Anfangsbuchstaben eines Satzes zu nehmen, einen ganzen Satz oder fünf bis sechs zufällige Wörter, die durch Leerzeichen getrennt sind ^[1]. Ungeeignet sind Namen von Angehörigen, Haustieren oder Stars, Geburtsdaten und Tastaturmuster wie "asdfgh" ^[1]. Eine Ziffer oder eines der üblichen Sonderzeichen am Anfang oder Ende eines ansonsten simplen Passworts anzuhängen, ist laut BSI nicht empfehlenswert ^[1].

Ein Passwort für jedes Konto

Ein Passwort sollte nur für einen einzigen Zugang gelten ^[1]. Gelangt ein Passwort bei einem Dienst in fremde Hände, probieren Täter es auch bei anderen aus ^[2]. Die Verbraucherzentrale rät nach einem Datenleck deshalb, auch bei anderen Diensten mit gleichen oder ähnlichen Passwörtern sofort zu wechseln ^[10].

Feste Wechselintervalle verlangt das BSI nicht. Es nennt konkrete Anlässe, bei denen du ein Passwort auf jeden Fall ändern solltest: wenn der Anbieter dich dazu auffordert, wenn gestohlene Zugangsdaten gemeldet werden oder wenn eine Phishing-Mail deine korrekten persönlichen Daten enthält ^[2]. Ist dein Gerät mit Schadsoftware infiziert, bereinigst du es zuerst und änderst die Passwörter erst danach ^[2]. Voreingestellte oder leere Passwörter, etwa am Router, ersetzt du durch eigene ^[2].

Passwörter gehören nicht unverschlüsselt auf den Rechner und nicht auf einen Zettel am Monitor. Sie sollten unter Verschluss liegen, in einer verschlüsselten Datei oder in einem Passwortmanager ^[2]. Per E-Mail verschickst du sie nicht, und wer ein Passwort an andere weitergibt, verliert nach den Worten des BSI ein Stück weit die Kontrolle darüber ^[2].

Passwortmanager: welche Arten es gibt

Für viele verschiedene Passwörter empfiehlt das BSI einen Passwortmanager. Du musst dir dann nur noch das Masterpasswort merken, das selbst stark sein sollte ^[1]. Ein solches Programm speichert Benutzernamen und Passwörter verschlüsselt, erzeugt auf Wunsch neue Passwörter und weist auf schwache oder doppelt genutzte hin ^[3]. Das BSI unterscheidet nach dem Speicherort lokale Programme und solche mit Synchronisation über den Anbieter, dazu eigenständige Programme und im Browser integrierte Manager ^[3]:

• Lokale Programme speichern die Daten nur auf deinem Gerät.
• Programme mit Synchronisation legen die Daten beim Anbieter ab, oft in einer Cloud, damit sie auf mehreren Geräten verfügbar sind.
• Viele Browser haben einen eingebauten Passwortmanager. Er ist schnell eingerichtet, doch laut BSI können Schadprogramme die Zugangsdaten relativ einfach aus dem Browser auslesen ^[3].

Jede Lösung hat einen Haken. Vergisst du das Masterpasswort, können im schlechtesten Fall alle Daten verloren sein. Gelingt ein Angriff auf den Manager, sind auf einen Schlag alle Passwörter weg ^[3]. Bei Cloud-Diensten vertraust du einem Unternehmen deine Zugangsdaten an; das BSI rät, vorher Geschäftsbedingungen, Datenschutzerklärung und Serverstandort zu prüfen ^[3]. Halte das Gerät mit dem Manager auf dem neuesten Stand und sichere es mit einer Bildschirmsperre ^[3]. Für besonders sensible Inhalte empfiehlt das BSI, den Manager selbst zusätzlich mit einem zweiten Faktor zu schützen ^[3].

Anmeldung in zwei Schritten

Bei der Zwei-Faktor-Authentisierung (2FA) weist du dich zusätzlich zum Passwort ein zweites Mal aus ^[4]. Wichtig ist, dass die beiden Faktoren aus verschiedenen Kategorien stammen ^[4]:

• Wissen, etwa ein Passwort oder eine PIN,
• Besitz, etwa eine Chipkarte, ein TAN-Generator oder ein Smartphone mit einer App,
• Biometrie, etwa der Fingerabdruck.

Das BSI rät, die Zwei-Faktor-Authentisierung einzuschalten, sobald ein Online-Dienst sie anbietet. Besonders gilt das für Online-Banking, Online-Shopping und Konten mit weitreichenden Rechten wie E-Mail und soziale Netzwerke ^[4]. Viele Dienste haben die Funktion ab Werk ausgeschaltet; ein Blick in die Anmelde- oder Sicherheitseinstellungen lohnt sich also ^[4]. Die Option, auf vertrauenswürdigen Geräten auf den zweiten Faktor zu verzichten, ist bequem, verringert laut BSI aber die Sicherheit ^[4].

Das E-Mail-Konto verdient besondere Aufmerksamkeit. Wer es kontrolliert, kann über die Funktion "Passwort vergessen" die Passwörter vieler anderer Dienste zurücksetzen ^[3]. Auch Messenger lassen sich mit einer zusätzlichen PIN schützen. Den Bestätigungscode, den ein Messenger bei der Anmeldung per SMS schickt, gibst du niemals weiter, sonst können Betrüger dein Konto übernehmen ^[7].

Welche Verfahren wie gut schützen

Zweite Faktoren gibt es in vielen Varianten, und sie schützen unterschiedlich gut. Das BSI hat gängige Verfahren verglichen. Die folgende Übersicht gibt seine Einschätzung zu Phishing wieder; sie gilt unter den Annahmen des BSI, unter anderem mit starken, einmaligen Passwörtern ^[5].

Phishing in Echtzeit heißt: Die Täter leiten den Code, den du auf ihrer gefälschten Seite eingibst, sofort an den echten Dienst weiter. Ein Code per SMS oder aus einer App hilft dann nicht. Trotzdem ist jeder zweite Faktor besser als keiner, denn ein gestohlenes Passwort allein reicht dann nicht mehr. Für SMS-Codes gibt das BSI einen weiteren Rat: Empfange sie nicht auf demselben Gerät, mit dem du dich anmeldest, sonst sind die beiden Faktoren nicht getrennt ^[4]. Hardwaregestützte Verfahren wie ein USB- oder NFC-Schlüssel nach dem FIDO-Standard bieten laut BSI ein hohes Maß an Sicherheit ^[4].

Passkeys: anmelden ohne Passwort

Ein Passkey ersetzt das Passwort. Du richtest ihn einmal in den Sicherheitseinstellungen eines Dienstes ein. Dabei legt dein Gerät einen geheimen Schlüssel in seinem Speicher ab, der Dienst erhält den passenden öffentlichen Schlüssel ^[6]. Bei der Anmeldung wählst du dein Konto aus und bestätigst etwa mit Fingerabdruck oder Gesichtsscan; den Rest erledigen Gerät und Dienst im Hintergrund ^[6]. Passkeys sind eine offene, herstellerunabhängige Technik der FIDO-Allianz ^[6].

Der Vorteil gegenüber Phishing: Auf einer gefälschten Seite gibt dein Gerät den geheimen Schlüssel nicht heraus, die Anmeldung scheitert, und die Täter erfahren nichts ^[6]. Einen Passkey kannst du außerdem nicht vergessen, er ist nie zu simpel und gilt immer nur für ein Konto ^[6]. Bietet ein vertrauenswürdiger Dienst Passkeys an, kannst du sie laut BSI bedenkenlos nutzen und damit das Passwort ersetzen ^[6].

Vorsorgen, falls der zweite Faktor verloren geht

Ein verlorenes Smartphone kann dich aus deinen eigenen Konten aussperren ^[4]. Das BSI rät deshalb, wenn möglich mehrere zweite Faktoren zu hinterlegen, etwa ein weiteres Token, eine zweite App oder eine weitere Mobilfunknummer ^[4]. Wer mit FIDO2-Sticks arbeitet, sollte einen zweiten Stick für den Notfall haben, denn Sticks lassen sich nicht kopieren ^[6]. Passkeys lassen sich nach einem Geräteverlust wiederherstellen, wenn es ein Backup oder eine Synchronisierung über eine Cloud gibt ^[6].

Bei der Wiederherstellung liegt allerdings auch eine Schwachstelle. Ersetzt ein Dienst die Zwei-Faktor-Anmeldung im Notfall durch ein einstufiges Verfahren, kann das den ganzen Schutz aushebeln; das BSI rät zu Wiederherstellungswegen, die ebenfalls zwei Stufen haben ^[5]. Bewahre Wiederherstellungscodes, die ein Dienst dir anbietet, deshalb so sicher auf wie ein Passwort.

Wenn ein Passwort in fremde Hände geraten ist

Hast du ein Passwort auf einer Phishing-Seite eingegeben oder taucht es in einem Datenleck auf, änderst du es sofort, und zwar überall, wo du es verwendet hast ^{[2, 10]}. Der Dienst Have I Been Pwned zeigt dir, ob ein Passwort schon in einem Datenleck aufgetaucht ist; ein dort gefundenes Passwort solltest du nicht mehr verwenden ^[8]. Wie du prüfst, ob deine E-Mail-Adresse betroffen ist, erklärt der Ratgeber Prüfen, ob deine Daten in einem Datenleck stecken. Was nach einem Klick auf einen Phishing-Link zu tun ist, steht unter Auf einen Phishing-Link geklickt.

Für das Bankkonto gelten eigene Regeln, etwa beim TAN-Verfahren und beim Überweisungslimit. Sie stehen im Ratgeber Online-Banking sicher nutzen. Wie Täter Menschen dazu bringen, Zugangsdaten selbst herauszugeben, beschreibt Social Engineering.

1. Behörde Sichere Passwörter erstellen. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
2. Behörde Umgang mit Passwörtern. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
3. Behörde Passwort-Manager. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
4. Behörde Zwei-Faktor-Authentisierung. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
5. Behörde Wie sicher und einfach sind Verfahren der Zwei-Faktor-Authentisierung?. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
6. Behörde Passkeys: anmelden ohne Passwort. Bundesamt für Sicherheit in der Informationstechnik. Stand ohne Datum. abgerufen am 29.10.2026
7. Behörde Messenger-Betrug. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
8. FAQs. Have I Been Pwned. Stand ohne Datum. abgerufen am 29.10.2026
9. Behörde Identitätsdiebstahl. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
10. Organisation Datenlecks: Prüfen Sie schnell und kostenlos Ihre Ansprüche. Verbraucherzentrale Bundesverband. Stand 12.12.2024. abgerufen am 29.10.2026

Zuletzt geprüft am 30.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.