Kurzfassung
Lang schlägt kompliziert. Ein Satz aus vier Wörtern ist sicherer und leichter zu merken als Sommer2026!.
- Länge schlägt Sonderzeichen – ab 12 Zeichen aufwärts.
- Wechsel nur bei Verdacht, nicht nach Kalender.
- Zwei-Faktor-Anmeldung wirkt stärker als jede Passwortregel.
Was sich geändert hat
Jahrelang galt: alle 90 Tage wechseln. Das Ergebnis war vorhersehbar – aus Sommer2024! wurde Sommer2025!, notiert auf einem Zettel unter der Tastatur. Das BSI empfiehlt den Zwangswechsel deshalb nicht mehr; gewechselt wird, wenn es einen Anlass gibt.
Stattdessen zählt Länge. Ein Passwort aus vier zufälligen Wörtern ist rechnerisch stärker als acht Zeichen mit Sonderzeichen – und man kann es sich merken.
Der Passwortmanager
Er ist die einzige Lösung, die im Alltag hält. Ein Mensch kann sich nicht dreißig verschiedene starke Passwörter merken, und genau deshalb benutzt er dasselbe dreißigmal.
Im kleinen Team lohnt eine gemeinsame Ablage für geteilte Zugänge – das Konto beim Lieferanten, der Zugang zur Website. Wichtig ist, dass beim Ausscheiden eines Mitarbeiters klar ist, was geändert werden muss.
- Ein Passwort je Dienst, nie doppelt
- Mindestens 12 Zeichen, besser mehr
- Geteilte Zugänge in einem gemeinsamen Tresor, nicht per Mail
- Beim Ausscheiden: Liste durchgehen, nicht raten
Zwei Faktoren
Ein zweiter Faktor macht ein gestohlenes Passwort weitgehend wertlos. Für E-Mail, Buchhaltung und Website ist er kein Luxus, sondern die wirksamste einzelne Maßnahme, die es gibt.
Nicht alle Verfahren sind gleich gut: Eine App auf dem Telefon ist sicherer als eine SMS, weil Rufnummern übernommen werden können.