🔐 10 Fehler bei der Passworterstellung, die 2026 zu Kontoverlust führen

Eine E-Mail, eine Bank, ein Dutzend Dienste und überall dasselbe Passwort. Allenfalls mit einer Ziffer am Ende. So ist es bequemer: nichts, was man sich merken muss.

Bequemer ist das nicht nur für Sie. Ein Leak bei einem kleinen Forum genügt, und Ihre Universalkombination liegt in fremden Datenbanken. Als Nächstes wird sie automatisch bei Ihrer E-Mail, Ihrer Bank, Ihrem Hosting ausprobiert. Tausende Versuche pro Sekunde, ganz ohne menschliches Zutun.

Die gute Nachricht: Nahezu alle Angriffe nutzen dieselben Gewohnheiten aus, und jede davon lässt sich in einer halben Stunde abstellen. Im Folgenden zehn solcher Fehler und die konkreten Schritte, mit denen Sie das Risiko beseitigen, ohne unnötige Paranoia.

💡 Schnelle Übersicht:

• Wiederholungen eliminieren: Jeder Dienst bekommt ein eigenes Login-Passwort-Paar
• Prüfen, ob Ihre Passwörter persönliche Daten aus sozialen Medien enthalten
• Zwei-Faktor-Authentifizierung für E-Mail und Banking einschalten
• Passwörter aus Notizen und dem Browser in einen Passwortmanager überführen

Dasselbe Passwort für alle Konten

Der häufigste Fehler und zugleich der teuerste. Ein Passwort wandert von der E-Mail zu den sozialen Medien und von dort in geschäftliche Tabellen. Leicht zu merken. Der Haken: Es bricht alles auf einmal zusammen.

Der Mechanismus ist einfach. Ein Angreifer nimmt eine geleakte Datenbank einer kleinen Website, entnimmt die E-Mail-Passwort-Paare und probiert sie bei großen Diensten aus. Das ist Credential Stuffing. Eine einzige schwache Stelle genügt.

Laut dem Verizon DBIR 2025 waren kompromittierte Zugangsdaten bei 22% der bestätigten Sicherheitsvorfälle der Einstiegspunkt. Bei Angriffen auf Webanwendungen tauchen gestohlene Passwörter in bis zu 88% der Fälle auf.

So beheben Sie es:

• Ein eigenes Passwort für jeden Dienst, ohne Ausnahme
• Richten Sie einen Passwortmanager ein; er merkt sich alles für Sie
• Beginnen Sie beim Kritischen: E-Mail, Bank, Hosting, geschäftliche Konten

Kurze und simple Passwörter

123456, password und qwerty belegen seit Jahren die Spitzenplätze im jährlichen NordPass-Ranking. Die meisten Passwörter aus dieser Liste sind in unter einer Sekunde geknackt. Nicht in einer Minute. In einer Sekunde.

Moderne Grafikkarten testen Millionen Kombinationen pro Sekunde. Ein Passwort mit 6-8 Zeichen ist eine Frage der Zeit, nicht des Glücks. Jedes zusätzliche Zeichen vervielfacht die Variantenzahl um ein Vielfaches.

Und eine Passphrase aus vier zufälligen Wörtern ist stärker als P@ssw0rd! mit Sonderzeichen. Sie lässt sich zudem leichter im Kopf behalten.

Was hilft:

• Mindestens 12 Zeichen, idealerweise 16 oder mehr
• Eine Passphrase aus 4-5 zufälligen Wörtern statt ILoveDogs2024!
• Ein Passwortmanager generiert und merkt sich eine lange Zeichenkette für Sie

Persönliche Daten in Passwörtern

Name, Geburtsjahr, Name der Katze, Telefonnummer. Genau das probiert ein Angreifer zuerst. Denn all das ist längst öffentlich verfügbar.

Soziale Medien, öffentliche Profile, alte Leaks. Ein Dossier über eine Person ist in Minuten zusammengestellt. Wenn Ihr Passwort Misha1989 oder Tommy123 lautet, braucht es gar kein Brute-Forcing. Ein Blick auf Ihr Profil genügt.

Laut einer Umfrage von 1Password aus 2025 kennen 91% der Beschäftigten das Risiko der Passwortwiederverwendung. Und 66% verwenden sie trotzdem wieder. Bei persönlichen Daten ist das Bild dasselbe: Fast jeder weiß es, nur wenige halten sich daran.

Was zu tun ist:

• Keine Namen, Daten, Tiernamen oder Telefonnummern im Passwort
• Zufällige Wörter oder eine generierte Zeichenkette; andere verlässliche Optionen gibt es nicht
• Wenn Sie Angst vor dem Vergessen haben, übernimmt das ein Passwortmanager

Minimale Abwandlungen eines alten Passworts

Erst MyPass2023, ein Jahr später MyPass2024, dann MyPass2025. Erkennen Sie sich wieder? Angreifer kennen diese Logik ebenfalls.

Wenn eine Datenbank geleakt wird, probiert man das Passwort nicht nur im Original. Hunderte Varianten werden automatisch erzeugt: die Jahreszahl anhängen, ein Ausrufezeichen, die Groß-/Kleinschreibung des ersten Buchstabens ändern. Eine Sache von Sekunden.

Die Ziffer am Ende zu tauschen macht aus einem Passwort kein neues. Es bleibt vorhersagbar.

Die Lösung:

• Jedes neue Passwort ist vollständig neu, ohne Bezug zum vorherigen
• Vergessen Sie das Schema „Grundwort plus Jahreszahl"
• Ein Passwortmanager nimmt Ihnen die Aufgabe des Erfindens und Merkens ab

Verzicht auf Zwei-Faktor-Authentifizierung

Ein Passwort ist ein Faktor. Wird es gestohlen, ist der Zugang offen. Die Zwei-Faktor-Authentifizierung setzt eine zweite Barriere davor: einen Einmalcode aus einer App oder einen Hardware-Schlüssel.

Laut dem Microsoft Digital Defense Report 2025 nutzen über 97% der Kontoangriffe Passwörter. Phishing-resistentes MFA blockiert hingegen mehr als 99% solcher Versuche. Der Abstand zwischen „ohne zweiten Faktor" und „mit zweitem Faktor" ist enorm.

SMS-Codes sind besser als nichts, aber schlechter als eine App. SMS lassen sich per SIM-Swapping abfangen. Google Authenticator, Microsoft Authenticator oder Authy arbeiten offline und sind nicht an eine Telefonnummer gebunden.

So schalten Sie es ein:

• Aktivieren Sie die Zwei-Faktor-Authentifizierung in den Kontoeinstellungen
• Wählen Sie eine Authenticator-App, nicht SMS
• Beginnen Sie mit E-Mail, Bank und sozialen Medien; bewahren Sie die Backup-Codes auf

Passwörter in Notizen und Textdateien ablegen

Notizen auf dem Handy, passwords.txt auf dem Desktop, eine Excel-Tabelle, ein Screenshot in der Galerie. Das wirkt harmlos: Die Datei liegt ja auf meinem Gerät.

Jeder, der an das Gerät gelangt, sieht sie. Malware durchsucht die Festplatte und sammelt Textdateien mit Logins ein. Cloud-Notizen synchronisieren, und ein Cloud-Breach legt alles auf einmal offen. Ein Screenshot mit Passwörtern wird von jedem gefunden, der das Handy in die Hand nimmt.

Keine dieser Methoden verschlüsselt die Daten. Es ist Klartext, der offen herumliegt.

So schließen Sie die Lücke:

• Überführen Sie Passwörter in einen Passwortmanager; das ist ein verschlüsselter Tresor
• Löschen Sie nach der Übertragung die Textdateien und Screenshots mit Passwörtern
• Richten Sie eine Bildschirmsperre und Festplattenverschlüsselung auf dem Gerät ein

Passwörter in Messengern und per E-Mail versenden

„Schick mal das Zugangspasswort in den Chat", „Login und Passwort per DM." Eine übliche Geschichte bei Familienkonten, geteilten Projekten und Freelancer-Teams.

Das Problem: Die Nachricht bleibt für immer im Verlauf. Sie wird weitergeleitet, kopiert, über die Schulter mitgelesen, wenn man den Bildschirm zeigt. Wird die E-Mail eines Beteiligten gehackt, wandert das Passwort weiter. Die Kontrolle darüber, wer es sieht, geht im Moment des Absendens verloren.

In Arbeitsteams ist das doppelt gefährlich: Ein ausgeschiedener Mitarbeiter behält über den alten Chatverlauf Zugriff auf ein gemeinsam genutztes Konto. Das kommt regelmäßig vor.

Was Sie stattdessen tun sollten:

• Nutzen Sie für Familienabos die eingebaute Freigabefunktion
• Legen Sie in Teams für jede Person ein eigenes Konto an
• Verwenden Sie für eine einmalige Übergabe die sichere Freigabe im Manager und ändern Sie das Passwort anschließend

Ignorieren von Benachrichtigungen über Sicherheitsvorfälle

Eine E-Mail kommt: „Ihre Daten könnten kompromittiert worden sein." Die meisten scrollen darüber hinweg: Das Konto funktioniert, also wird alles in Ordnung sein.

Zwischen einem Leak und einem tatsächlichen Angriff liegen oft Monate, manchmal Jahre. Gestohlene Datenbanken werden weiterverkauft, zusammengeführt, angereichert. Wer den Datensatz heute kauft, probiert Ihr Passwort morgen aus. Oder in einem Jahr.

Das Ausmaß wächst, nicht umgekehrt. Laut einer Schätzung im Cybercrime-Bericht 2026 sind im Jahr 2025 rund 2,86 Milliarden Zugangsdaten in Leaks und Malware-Logs aufgetaucht. Eine solche E-Mail zu ignorieren bedeutet, dem Angreifer ein Geschenk zu machen.

Wie Sie reagieren sollten:

• Wenn Sie eine Benachrichtigung erhalten, ändern Sie das Passwort sofort
• Prüfen Sie, ob dasselbe Passwort bei anderen Diensten verwendet wurde, und ändern Sie es auch dort
• Schalten Sie die Überwachung auf Sicherheitsvorfälle in Ihrem Manager oder über den Dienst Have I Been Pwned ein

Sich ausschließlich auf die integrierte Speicherung des Browsers verlassen

Der Browser bietet beim Login an, das Passwort zu speichern, und füllt die Felder selbst aus. Millionen bleiben genau dabei stehen.

Doch der Browserspeicher ist kein Safe. An einem gemeinsam genutzten Rechner sind gespeicherte Passwörter für die nächste Person zugänglich, die sich davorsetzt. Malware kann Passwörter direkt aus dem Browser auslesen. Wird das Notebook gestohlen, bekommt der Dieb alles, was gespeichert war.

Der Browser-Tresor ist ein bequemer Notizblock. Er verschlüsselt Passwörter nicht mit einem Masterschlüssel und generiert keine starken Kombinationen.

So beheben Sie es:

• Verwenden Sie einen vollwertigen Passwortmanager statt des Browsers
• Melden Sie sich an gemeinsam genutzten Geräten stets von Konten ab
• Schalten Sie Festplattenverschlüsselung und eine Bildschirmsperre am Notebook ein

Passwörter, die seit Jahren nicht geändert wurden

Sie haben bei der Registrierung ein Passwort vergeben und es vergessen. Das Konto funktioniert, wieso sollte man daran rühren.

Über die Jahre kann das Passwort in mehreren Leaks aufgetaucht sein, von denen Sie nichts wissen. Datenbanken zu Sicherheitsvorfällen akkumulieren. Selbst wenn heute alles sauber ist, sieht das Bild ein halbes Jahr später anders aus. E-Mail, Bank und Cloud sind kritische Punkte, an denen ein altes Passwort besonders gefährlich ist.

Der aktuelle IBM-Bericht Cost of a Data Breach 2025 beziffert den durchschnittlichen Schaden eines Angriffs über kompromittierte Zugangsdaten auf 4,67 Millionen US-Dollar und die durchschnittliche Zeit bis zur Erkennung und Eindämmung auf 246 Tage. Nahezu ein Jahr vom Eindringen bis zur Reaktion. Die ganze Zeit arbeitet das unveränderte Passwort gegen Sie.

Was zu tun ist:

• Ändern Sie Passwörter für kritische Konten einmal jährlich
• Nach einem Leak sofort, ohne auf den geplanten Termin zu warten
• Wenn Sie eine Warnung über einen verdächtigen Login erhalten, ändern Sie das Passwort umgehend

Ein kurzes Video zum Thema untermauert den Kerngedanken: wie man starke Passwörter bildet und sie nicht nur im Kopf behält.

⁉️🤔 Häufige Fragen

Ist ein Passwortmanager sicher? Ist es nicht riskant, alle Passwörter an einem Ort aufzubewahren?

Es ist sicher, wenn der Manager eine Zero-Knowledge-Architektur verwendet: Bitwarden, 1Password oder die integrierten Tresore von Apple und Google. Passwörter werden direkt auf dem Gerät verschlüsselt, und selbst der Entwickler kann sie nicht einsehen. Es gibt einen Schlüssel: Ihre Master-Passphrase. Wenn Sie sie verlieren, sind die Passwörter nicht wiederherstellbar. Das ist der Preis für den Schutz.

Stimmt es, dass eine Passphrase aus zufälligen Wörtern stärker ist als P@ssw0rd! mit Sonderzeichen?

Ja, Länge schlägt Komplexität. ведро крыша синий мост hat 22 Zeichen und einen gewaltigen Suchraum. Sonderzeichen in einem kurzen Passwort fügen im Vergleich zu einem weiteren Wort nur minimale Entropie hinzu. Das NIST-Institut rät in seinem Standard SP 800-63B seit 2024, gezielt auf Länge zu setzen.

Ist SMS für die Zwei-Faktor-Authentifizierung schlecht?

Nicht schlecht, aber unzureichend. Ein SMS-Code ist besser als gar kein zweiter Faktor. Aber eine SIM-Karte kann durch Social Engineering neu ausgegeben werden, und der Code selbst lässt sich über Schwachstellen im SS7-Protokoll abfangen. Eine Authenticator-App oder ein Hardware-Schlüssel wie YubiKey ist deutlich stärker.

Wie prüfe ich, ob mein Passwort in einem Leak enthalten war?

Öffnen Sie Have I Been Pwned und geben Sie Ihre E-Mail-Adresse ein. Der Dienst zeigt, in welchen Sicherheitsvorfällen sie aufgetaucht ist. Für die Prüfung eines bestimmten Passworts gibt es den Bereich Pwned Passwords: Dort wird ein Hash-Abgleich unter Milliarden von Datensätzen durchgeführt, ohne das Passwort selbst preiszugeben. Viele Manager haben diese Prüfung integriert.

Ich bin noch nicht bereit, einen Passwortmanager einzurichten; womit fange ich an?

Fangen Sie klein an. Ändern Sie Ihr E-Mail-Passwort in eine Passphrase aus vier zufälligen Wörtern. Schalten Sie die Zwei-Faktor-Authentifizierung für E-Mail und Banking ein. Löschen Sie die Datei passwords.txt von Ihrem Desktop. Diese drei Schritte dauern etwa 15 Minuten und schließen die Hauptrisiken. Den Manager können Sie später einrichten.

Gewohnheiten heute ändern oder „irgendwann später"?

Schwache Passwörter sind keine Gruselgeschichte aus Hacker-News. Es ist eine konkrete Kaskade: Ein geleaktes Passwort führt zur E-Mail, die E-Mail zu Passwort-Resets bei allen verknüpften Diensten und dann zu Geld, Dokumenten und Projekten. Eine halbe Stunde Prävention kostet ungleich weniger als die Wiedererlangung des Zugriffs.

Gehen Sie heute drei Schritte: ein eigenes Passwort für die E-Mail, Zwei-Faktor-Authentifizierung, ein Passwortmanager. Wenn Sie für einen Manager noch nicht bereit sind, beseitigen Sie zumindest Wiederholungen und schalten Sie den zweiten Faktor für kritische Konten ein. Das ist bereits mehr, als die meisten tun. Mit welchem Schritt beginnen Sie jetzt?