Wie sicher ist mein Passwort? Test, Zeit & Tipps (BSI)
Jeder kennt das Gefühl: Beim Erstellen eines neuen Kontos soll wieder ein Passwort her – und schnell tippt man die altbewährte Kombination ein. Doch wie sicher diese Zeichenfolge wirklich ist, wird selten hinterfragt – eine aktuelle Untersuchung des BSI zeigt: Selbst Passwortmanager haben oft eklatante Sicherheitslücken.
8 Zeichen (alle Zeichenarten): 7 Jahre Knackzeit (CHIP) ·
16 Zeichen (nur Zahlen): 119 Jahre (CHIP) ·
Passwortmanager mit Sicherheitsmängeln: 7 von 10 (BSI)
Kurzüberblick
- Ein 8‑stelliges Passwort mit allen Zeichenarten wird in 7 Jahren geknackt (CHIP)
- Bei einigen Passwortmanagern werden Metadaten unverschlüsselt abgelegt (Verbraucherzentrale NRW)
- Das BSI sieht bei 7 von 10 Passwortmanagern Verbesserungsbedarf (BSI)
- Die genaue Knackzeit hängt von der Rechenleistung der Angreifer ab.
- Zukünftige Quantencomputer könnten aktuelle Verschlüsselungen schneller brechen.
- Die exakte Knackzeit variiert je nach Angreifer-Hardware.
- Ob alle Passwortmanager ihre Sicherheitslücken zeitnah schließen, ist offen.
- Ein Trend zu längeren und komplexeren Passwörtern ist erkennbar, doch viele Nutzer bleiben bei alten Gewohnheiten.
- Quantenresistente Algorithmen sind in Entwicklung – bis dahin bleiben lange, komplexe Passwörter der beste Schutz.
Die folgende Tabelle fasst die zentralen Kennzahlen zur Passwortsicherheit zusammen.
| Merkmal | Wert | Quelle |
|---|---|---|
| Knackzeit für 8 Zeichen (alle Zeichenarten) | 7 Jahre | CHIP |
| Knackzeit für 16 Zeichen (nur Zahlen) | 119 Jahre | CHIP |
| Passwortmanager mit Sicherheitsmängeln | 7 von 10 | BSI |
| Unverschlüsselte Metadaten bei Passwortmanagern | bei mindestens 3 von 10 | Verbraucherzentrale NRW |
Wie lange braucht mein Passwort, um gehackt zu werden?
Zeitaufwand nach Passwortlänge
- Ein Passwort mit 8 Zeichen und ausschließlich Kleinbuchstaben wird in Sekunden geknackt (CHIP).
- Ein 8‑stelliges Passwort mit Groß‑/Kleinschreibung, Zahlen und Sonderzeichen benötigt dagegen etwa 7 Jahre.
- Ein rein numerisches 16‑stelliges Passwort hält 119 Jahre stand – unter der Annahme heutiger Rechenleistung.
Einfluss von Zeichenvielfalt
Jede zusätzliche Zeichenklasse vervielfacht die möglichen Kombinationen. Während ein 8‑stelliges Passwort aus nur Kleinbuchstaben 268 ≈ 208 Milliarden Varianten bietet, sind es bei Groß‑/Kleinschreibung plus Ziffern und Sonderzeichen bereits 958 ≈ 6,6 Billiarden. Das BSI empfiehlt daher, immer alle vier Zeichenklassen zu nutzen (BSI-Richtlinien).
Rechenleistung heutiger Hacker-Tools
Moderne Grafikkarten und Cloud‑Dienste erlauben Milliarden Hash‑Operationen pro Sekunde. Laut CHIP ist selbst ein 8‑stelliges Passwort mit maximaler Komplexität in wenigen Jahren knackbar – mit spezialisierter Hardware noch schneller. Die BSI weist darauf hin, dass Angreifer ständig leistungsfähigere Systeme einsetzen.
Fazit: Nutzer sollten wissen: Ein 8‑stelliges Passwort – selbst mit Sonderzeichen – ist ohne weitere Schutzmaßnahmen nicht langfristig sicher. Für alltägliche Dienste sollte die Länge mindestens 12 Zeichen betragen.
Ein Hacker mit Zugriff auf eine durchschnittliche Grafikkarte kann ein 8‑stelliges Passwort mit Kleinbuchstaben in weniger als einer Stunde ermitteln. Das BSI testete Passwortmanager und stellte fest: Drei von zehn speichern Daten so, dass Hersteller theoretisch darauf zugreifen könnten. Die Kombination aus kurzen Passwörtern und unsicheren Managern ist ein erhebliches Risiko für Privatnutzer und Unternehmen.
Die Schlussfolgerung: Ohne ausreichende Länge und Komplexität sind selbst moderne Passwortmanager kein hinreichender Schutz.
Welche Passwörter sollte man vermeiden?
Die 25 schlimmsten Passwörter laut SecureSafe
- „123456“ führt seit Jahren die Liste der meistgenutzten schwachen Passwörter an – es wird in Sekunden geknackt.
- Weitere Klassiker: „password“, „123456789“, „qwertz“ und „12345“.
- Die Verbraucherzentrale NRW warnt, dass persönliche Daten wie Geburtsdatum, Haustiernamen oder der eigene Name besonders leicht zu erraten sind.
Typische Muster
Viele Nutzer verwenden Sequenzen („abcdef“, „123456“), Tastaturmuster („qwertz“) oder einfache Wiederholungen („aaaaaa“). Auch der Name des Partners oder der Kinder gehört zu den ersten Versuchen von Angreifern. Die BSI-Analyse durch Fox Romeo (IT-Sicherheitsblog) zeigt, dass solche Muster selbst bei Passwortmanagern oft die schwächste Stelle sind.
Warum „Passwort“ und „123456“ immer noch gefährlich sind
Trotz jahrelanger Warnungen tauchen diese Einträge in jeder Datenleck‑Statistik auf. Die Bequemlichkeit siegt über die Vernunft – mit der Folge, dass Konten innerhalb von Sekunden kompromittiert werden können. CHIP betont: „123456“ wird in weniger als einer Sekunde geknackt, selbst mit einfacher Hardware.
Wer auf „123456“ setzt, spart 10 Sekunden Gedankenzeit – riskiert aber, dass sein Konto noch am selben Tag gehackt wird. Für einen Angreifer ist dieses Passwort der schnellste Weg ins System.
Das Muster: Kurze, einfache Passwörter sind der häufigste Einfallstor für Angriffe.
Wie erkenne ich ein nicht sicheres Passwort?
Symptome schwacher Passwörter
- Kürzer als 12 Zeichen.
- Enthält Wörterbuchbegriffe, Namen oder Daten.
- Wird für mehrere Dienste gleich verwendet.
- Passt auf eine der „Top‑25‑schlechtesten Passwörter“ (Verbraucherzentrale NRW).
Tools zur Passwortprüfung
Kostenlose Dienste wie „Checkdeinpasswort“ oder die integrierte Prüfung von Passwortmanagern geben sofort Rückmeldung. Die BSI empfiehlt, jedes Passwort vor der Nutzung auf Stärke zu testen.
Kriterien der BSI für sichere Passwörter
- Mindestens 12 Zeichen Länge.
- Enthält Groß‑, Kleinbuchstaben, Ziffern und Sonderzeichen.
- Keine persönlichen Bezüge (Name, Geburtsdatum).
- Kein Wörterbucheintrag.
- Exklusiv für einen Dienst.
Das BSI stellt in seiner Passwortmanager-Testreihe 2025 (Fox Romeo, BSI-Analyse) fest, dass selbst viele Manager diese Kriterien nicht vollständig umsetzen.
Wie häufig werden Passwörter gehackt?
Globale Statistiken zu Datenlecks
- 2025 waren über 300 Millionen Passwörter in Datenlecks enthalten (Huntress-Studie 2026 – Schätzung).
- Laut CHIP werden täglich Millionen neuer Kompromittierungen gemeldet.
- 81 % aller Datenlecks gehen auf schwache oder gestohlene Passwörter zurück (Branchenbericht).
Die meistgehackten Passwörter in Deutschland
Eine Umfrage von Preply (2025) zeigt, dass „123456“, „passwort“ und „hallo“ in deutschen Leaks besonders häufig vorkommen. Die Verbraucherzentrale NRW bestätigt diesen Trend und mahnt zur Vorsicht.
Tägliche Bedrohungslage
Jede Sekunde finden über 1000 automatisierte Angriffe auf Passwort‑Datenbanken statt – ein Großteil zielt auf gängige Kombinationen. Die BSI rät daher zu regelmäßigen Passwortwechseln und der Nutzung eines Passwortmanagers.
Trotz aller Warnungen wiederholen 65 % der Deutschen ihr Passwort auf mehreren Plattformen – ein gefundenes Fressen für Hacker, die ein geleaktes Passwort gleich auf Dutzenden Diensten ausprobieren können.
Der Druck auf die Nutzer steigt: Angreifer nutzen jede Schwachstelle aus, und die Zahl der Angriffe nimmt zu.
Wie kann ich sicherstellen, dass mein Passwort sicher ist?
Schritte zum Erstellen eines sicheren Passworts
- Wähle eine zufällige Zeichenfolge von mindestens 12 Zeichen (Passwortgenerator).
- Mische Groß‑/Kleinbuchstaben, Zahlen und Sonderzeichen.
- Vermeide Wörter, Namen oder Daten.
- Nutze für jeden Dienst ein eigenes Passwort.
CHIP empfiehlt, komplexe Passwörter mit einem Manager zu verwalten – aber achte darauf, dass der Manager selbst die Daten vollständig verschlüsselt.
Nutzung von Passwortmanagern
Ein guter Passwortmanager speichert alle Zugänge verschlüsselt und generiert einzigartige, starke Passwörter. Der Test des BSI zeigt jedoch, dass viele Manager nur einen Teil der Daten verschlüsseln – Metadaten wie Benutzername und URL bleiben oft unverschlüsselt.
Regelmäßige Aktualisierung und Einzigartigkeit
Selbst das stärkste Passwort wird unsicher, wenn es für mehrere Dienste verwendet wird oder wenn der Dienst selbst gehackt wird. Die Verbraucherzentrale NRW rät, jedes Passwort mindestens einmal im Jahr zu ändern und sich nicht auf das Gedächtnis zu verlassen – ein Manager ist hier Gold wert.
„Die Nutzung eines Passwortmanagers entbindet nicht von der Verantwortung, selbst ein sicheres Master-Passwort zu wählen. Wer hier spart, macht die ganze Kette unsicher.“
Fox Romeo, IT-Sicherheitsblog, in der Analyse der BSI-Studie
Bestätigte Fakten
- Ein 8‑stelliges Passwort mit allen Zeichenarten wird in 7 Jahren geknackt.
- 7 von 10 Passwortmanagern haben Sicherheitsmängel.
- Metadaten werden bei vielen Managern unverschlüsselt gespeichert.
- BSI empfiehlt 12 Zeichen mit Sonderzeichen als Minimum.
Was noch unsicher ist
- Quantencomputer könnten aktuelle Verschlüsselungen in Zukunft brechen.
„Drei von zehn untersuchten Passwortmanagern speichern Passwörter in einer Weise, die Herstellern theoretisch den Zugriff ermöglicht.“
BSI, Pressemitteilung Dezember 2025
„Lediglich drei der zehn untersuchten Passwortmanager verschlüsseln den kompletten Inhalt – alle anderen legen zumindest Benutzername und Webseite unverschlüsselt ab.“
Verbraucherzentrale NRW, nach BSI-Test
Die Frage „Wie sicher ist mein Passwort?“ lässt sich mit konkreten Zahlen beantworten: Ein kurzes, einfaches Passwort ist innerhalb von Sekunden geknackt, ein 12‑stelliges mit Sonderzeichen hält Jahre. Das BSI hat jedoch gezeigt, dass auch Passwortmanager nicht immer sicher sind. Für den deutschen Nutzer heißt das: Ein langes, einzigartiges Passwort pro Dienst – verwaltet in einem voll verschlüsselten Manager – ist der derzeit beste Schutz. Wer darauf verzichtet, spielt mit offenen Karten gegenüber Angreifern.
Häufig gestellte Fragen
Was ist die Mindestlänge für ein sicheres Passwort?
Das BSI empfiehlt mindestens 12 Zeichen. Sollen Sonderzeichen, Zahlen und Großbuchstaben enthalten sein, ist selbst diese Länge je nach Zeichenvielfalt sicher.
Wie oft sollte ich mein Passwort ändern?
Einmal pro Jahr oder unmittelbar nach einem bekannt gewordenen Datenleck. Bei einem guten Passwort ist ein häufigerer Wechsel nicht nötig.
Ist ein Passwortmanager sicher?
Die meisten Passwortmanager sind sicher, aber der BSI-Test 2025 zeigt, dass nur drei von zehn den kompletten Inhalt verschlüsseln. Achte auf vollständige Ende-zu-Ende-Verschlüsselung.
Welche Zeichen sollte ich in einem Passwort verwenden?
Groß‑ und Kleinbuchstaben, Zahlen und Sonderzeichen. Je mehr Zeichenklassen, desto mehr Kombinationen und desto länger die Knackzeit.
Kann ich mein altes Passwort wiederverwenden?
Nein – insbesondere nicht auf anderen Plattformen. Die Wiederverwendung ist die Hauptursache für Account-Übernahmen nach Datenlecks.
Was ist Zwei-Faktor-Authentifizierung?
Ein zweiter Schutzfaktor (z. B. ein Code auf dem Smartphone) wird zusätzlich zum Passwort verlangt. Selbst wenn das Passwort geknackt wird, bleibt das Konto geschützt.
Wie überprüfe ich, ob mein Passwort in einem Datenleck war?
Dienste wie „Have I Been Pwned“ prüfen E-Mail-Adressen und Passwörter gegen öffentliche Leaks. Kostenlose Passwort-Checker bieten zudem eine Echtzeit-Analyse der Stärke.
Weitere verwandte Artikel
Nord-West-Media News Heute: Unfall Osnabrück Aktuell
Ina Scharrenbach: Karriere, Familie und Krebsdiagnose
Katharina Dröge: Biografie, Privatleben und Karriere
Schweinfurt 05 – SV Waldhof – Dramatischer 3-2-Sieg für Mannheim
Blut im Urin bei Frauen: Ursachen, Symptome & Behandlung
Sweet Child O’ Mine: Entstehung, Bedeutung und Vater-Tochter-Lied
West Ham – Liverpool: Wichtige Fragen und Antworten
Brooklyn Bridge in New York: Fakten, Geschichte & Sicherheit
