Passwörter und ein Passwort-Manager

Viele Einbrüche in kleinen Verwaltungen brauchen keinen raffinierten Angreifer. Sie brauchen nur ein Passwort, das erraten wurde, das von einer gehackten Website wiederverwendet wurde oder das auf einem Zettel neben dem Bildschirm steht.

Diese Lektion behandelt, was heute ein starkes Passwort ist, welches Passwort am wichtigsten ist und welches Werkzeug gute Passwörter praktikabel macht: einen Passwort-Manager.

Was ein starkes Passwort ist

Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (Cybersecurity and Infrastructure Security Agency, CISA) verwendet in ihren öffentlichen Empfehlungen drei Wörter: lang, zufällig und einmalig.

• Lang: mindestens 16 Zeichen. Länger ist stärker.
• Zufällig: eine zufällige Folge aus Buchstaben, Zahlen und Sonderzeichen oder eine Passphrase aus mehreren Wörtern, die nichts miteinander zu tun haben.
• Einmalig: ein eigenes Passwort für jedes Konto.

Einmalig ist die Regel, gegen die am häufigsten verstoßen wird. Wenn eine Website ihre Passwörter verliert, probieren Kriminelle dieselbe E-Mail-Adresse und dasselbe Passwort bei Banken, E-Mail-Diensten und Lohnabrechnungsportalen aus. Wenn Sie es wiederverwendet haben, fallen all diese Konten mit dem ersten.

Was sich an den Regeln geändert hat

Vielleicht haben Sie gelernt, Ihr Passwort alle 90 Tage zu ändern und einen Großbuchstaben, eine Zahl und ein Sonderzeichen einzumischen. Der US-Bundesstandard sagt das nicht mehr.

Das National Institute of Standards and Technology (NIST) hat seine aktuellen Richtlinien zur digitalen Identität, SP 800-63B, im August 2025 veröffentlicht. Sie verlangen von Systemen, keine regelmäßigen Passwortänderungen zu erzwingen und keine Regeln zur Zusammensetzung vorzuschreiben. Sie verlangen aber, neue Passwörter mit Listen gängiger und geleakter Passwörter abzugleichen.

Ein Passwort sollte geändert werden, wenn es Hinweise gibt, dass es offengelegt wurde: eine Meldung über ein Datenleck, ein Klick auf eine Phishing-Nachricht, ein ehemaliger Mitarbeitender, der es kannte. Erzwungene Zeitpläne führen meist zu „Spring2025!“ und danach „Summer2025!“, und das hilft niemandem.

Wenn Ihre Einrichtung noch planmäßige Änderungen verlangt, halten Sie sich an die Vorgabe und weisen Sie die zuständige Person auf die NIST-Richtlinien hin. Über Änderungen der Vorgabe entscheidet sie; das ist kein Grund, die Regel zu umgehen.

Das wichtigste Passwort

Ihr E-Mail-Passwort schützt alles andere. Fast jeder Dienst schickt seinen Link „Passwort zurücksetzen“ per E-Mail. Wer Ihr Postfach kontrolliert, kann Ihre Anmeldung zur Lohnabrechnung, Ihr Website-Konto und Ihre Social-Media-Seiten zurücksetzen.

Merken Sie sich: Ihr E-Mail-Passwort schützt alles andere. Geben Sie ihm das stärkste Passwort, das Sie haben, nirgendwo sonst verwendet, mit Anmeldung in zwei Schritten.

Ihr E-Mail-Konto bekommt also das stärkste Passwort, das Sie haben, nirgendwo sonst verwendet und mit eingeschalteter Anmeldung in zwei Schritten. Lektion 2 behandelt die Anmeldung in zwei Schritten.

Warum ein Passwort-Manager

Niemand kann sich 40 zufällige Passwörter mit je 16 Zeichen merken. Ein Passwort-Manager erledigt das für Sie. Die CISA beschreibt ihn als Programm, das Ihre Passwörter erzeugt, speichert und ausfüllt.

Sie merken sich ein Hauptpasswort, eine lange Passphrase. Der Manager erzeugt für jedes Konto ein neues zufälliges Passwort und füllt es bei der Anmeldung aus. Gute Manager warnen Sie außerdem vor schwachen oder wiederverwendeten Passwörtern und vor Websites, die gehackt wurden.

Optionen, denen Sie begegnen werden:

• Der Manager, den Ihre Einrichtung bereitstellt. Nutzen Sie ihn, wenn es einen gibt. Fragen Sie Ihre IT-Ansprechperson oder die Verwaltungsleitung.
• Der Manager, der in Ihren Browser oder Ihr Telefon eingebaut ist. Chrome, Edge, Firefox und Safari enthalten alle einen. Er ist weit besser als Wiederverwendung.
• Ein eigenständiges Produkt, das auf allen Geräten funktioniert und Passwörter mit einem Team teilen kann. Lektion 4 behandelt das Teilen.

Bewahren Sie dienstliche Passwörter in einem dienstlichen Konto auf, nicht in einem privaten Browserprofil auf einem Computer zu Hause.

Gewohnheiten, die Sie ablegen sollten

• Ein Notizbuch oder Klebezettel mit Passwörtern am Arbeitsplatz.
• Eine Tabelle namens „Passwörter“ auf dem gemeinsamen Laufwerk.
• Ein Grundpasswort mit einer anderen Zahl am Ende für jede Website.
• Ein Passwort per E-Mail oder SMS zu senden. Teilen Sie es über den Manager, oder sagen Sie es in einem Telefonat und ändern Sie es danach.

Den Manager selbst schützen

Das Hauptpasswort des Managers verdient dieselbe Sorgfalt wie Ihr E-Mail-Konto: lang, nirgendwo sonst verwendet, mit Anmeldung in zwei Schritten. Die meisten Manager bieten ein Wiederherstellungsset oder einen Notfallcode an. Drucken Sie ihn aus und bewahren Sie ihn dort auf, wo Ihre Dienststelle andere vertrauliche Originale aufbewahrt, etwa in einem abschließbaren Schrank.