Passwörter heute: was sich geändert hat und was wirklich zählt

Länge schlägt Komplexität: die neue Grundregel

Viele Passwortregeln stammen aus einer Zeit, in der acht Zeichen mit Sonderzeichen als sicher galten. Heute probieren Angreifer Passwörter nicht von Hand aus, sondern mit Programmen, die riesige Mengen an Kombinationen durchtesten und bekannte Muster zuerst prüfen. Genau deshalb bringt erzwungene Komplexität wenig: Aus „Passwort“ wird dann „P@ssw0rt!“, und dieses Muster kennen die Werkzeuge der Angreifer längst. Was den Aufwand für Angreifer wirklich erhöht, ist die Länge, denn mit jedem zusätzlichen Zeichen wächst die Zahl der möglichen Kombinationen sprunghaft.

Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, trägt dem Rechnung: Ein Passwort kann lang und dafür weniger komplex sein, etwa 20 bis 25 Zeichen aus zwei Zeichenarten, oder kürzer und komplex, etwa 8 bis 12 Zeichen aus vier Zeichenarten. In der Praxis bewährt sich die lange Variante als Passphrase, also als Folge mehrerer zusammenhangloser Wörter, die sich gut merken, aber schlecht erraten lässt. Wichtiger als jede Komplexitätsregel ist ohnehin ein anderer Punkt: Jedes Konto braucht ein eigenes Passwort, denn ein bei einem Dienst erbeutetes Passwort wird von Angreifern umgehend bei vielen anderen Diensten ausprobiert.

Für Ihre interne Passwortrichtlinie heißt das: Mindestlänge anheben, Sonderzeichen-Pflicht streichen, Wiederverwendung untersagen. Wo Ihre Systeme es unterstützen, lohnt zusätzlich ein Abgleich neuer Passwörter mit Listen von Passwörtern, die bei früheren Datenlecks, also bekannt gewordenen Datendiebstählen, aufgetaucht sind. Dass sich niemand dutzende einzigartige Passwörter merken kann, ist dabei kein Einwand, sondern der Grund für einen der nächsten Bausteine: den Passwort-Manager.

Erzwungener Passwortwechsel: warum die alte Regel ausgedient hat

Jahrelang galt in vielen Unternehmen die Regel, Passwörter alle 90 Tage zu wechseln. Gut gemeint, in der Wirkung aber oft kontraproduktiv, denn wer ständig wechseln muss, wählt vorhersehbare Muster. Aus „Sommer2025!“ wird „Herbst2025!“, oder es wandert schlicht eine Ziffer nach oben. Solche Muster sind für Angreifer leicht zu erraten, und die Passwörter werden mit jedem erzwungenen Wechsel eher schwächer als stärker.

Das BSI empfiehlt den Passwortwechsel deshalb anlassbezogen statt nach Kalender: Gewechselt wird, wenn es einen konkreten Grund gibt. Solche Anlässe sind etwa die Meldung eines Datenlecks beim Anbieter, ein Verdacht auf Phishing, also auf gefälschte Nachrichten oder Anmeldeseiten, die Zugangsdaten abgreifen sollen, eine Infektion mit Schadsoftware oder das Ausscheiden einer Person, die Zugriff auf ein gemeinsames Konto hatte. Der Verzicht auf den Routinewechsel senkt die Sicherheit nicht, wenn im Gegenzug Länge, Einzigartigkeit und Mehrfaktor-Anmeldung stimmen, also ein zweiter Nachweis zusätzlich zum Passwort verlangt wird.

Bevor Sie den Wechselzwang in Ihren Systemen abschalten, ein ehrlicher Hinweis: Manche Verträge, Versicherungsbedingungen oder Branchenvorgaben schreiben regelmäßige Passwortwechsel weiterhin ausdrücklich vor. Prüfen Sie solche externen Anforderungen zuerst und dokumentieren Sie die Umstellung, damit Sie die neue Regelung gegenüber Kunden oder Prüfern begründen können.

Passwort-Manager im Unternehmen einführen

Ein Passwort-Manager ist ein Programm, das alle Zugangsdaten verschlüsselt speichert, starke Passwörter erzeugt und sie beim Anmelden automatisch einträgt. Die Nutzer merken sich nur noch ein einziges, gutes Master-Passwort, also das Hauptpasswort, das den Zugriff auf den Manager öffnet. Erst damit wird die Regel, dass jedes Konto ein eigenes, langes Passwort bekommt, im Alltag überhaupt umsetzbar.

Für den Einsatz im Unternehmen zählt mehr als die reine Speicherfunktion. Achten Sie auf eine zentrale Benutzerverwaltung, auf Team-Tresore, also gemeinsame Ablagen mit abgestuften Zugriffsrechten, auf ein geregeltes Verfahren für den Entzug von Zugriffen, wenn Beschäftigte das Unternehmen verlassen, und auf eine Wiederherstellungsmöglichkeit für vergessene Master-Passwörter. Der Zugang zum Manager selbst gehört zwingend mit Mehrfaktor-Anmeldung abgesichert, denn er bündelt die Schlüssel zum gesamten Unternehmen.

Bei der Einführung hat sich ein gestufter Start bewährt: zuerst IT und Geschäftsführung, dann Abteilung für Abteilung. Vorhandene Passwörter aus Browser-Speichern und Tabellen werden übernommen, die alten Ablagen anschließend gelöscht. Für ein kleines Team ist das in Eigenregie machbar. Sobald der Manager an eine zentrale Benutzerverwaltung angebunden werden soll, etwa an Microsoft Entra ID, den zentralen Anmeldedienst der Microsoft-Cloud, ist Unterstützung durch einen Dienstleister meist der schnellere Weg.

Mehrfaktor-Anmeldung: der zweite Riegel

Mehrfaktor-Anmeldung, oft als MFA oder Zwei-Faktor-Authentisierung bezeichnet, verlangt neben dem Passwort einen zweiten, unabhängigen Nachweis, zum Beispiel einen Zahlencode vom Smartphone oder einen Fingerabdruck. Der Nutzen ist erheblich: Ein gestohlenes Passwort allein reicht dann für die Anmeldung nicht mehr aus.

Die Varianten unterscheiden sich in ihrer Robustheit. Einmalcodes aus einer Authentifizierungs-App, also zeitlich begrenzte Zahlencodes, die eine App auf dem Smartphone erzeugt, sind ein guter Standard. Hardware-Sicherheitsschlüssel, kleine Geräte für den USB-Anschluss oder zum Anhalten an das Gerät, gelten als besonders widerstandsfähig gegen Phishing. Codes per SMS sind die schwächste Variante, aber immer noch deutlich besser als gar kein zweiter Faktor. Bei Bestätigungen per Fingertipp, sogenannten Push-Meldungen, sollten Sie eine Einstellung wählen, bei der eine angezeigte Zahl abgeglichen werden muss. Sonst genehmigen genervte Nutzer irgendwann auch fremde Anmeldeversuche.

Wenn Sie priorisieren müssen: zuerst die E-Mail-Konten, denn über sie lassen sich fast alle anderen Passwörter zurücksetzen. Danach folgen Administratorkonten, Fernzugänge wie VPN, also verschlüsselte Verbindungen ins Firmennetz, und zentrale Cloud-Dienste. Bei den meisten Diensten ist die Funktion bereits enthalten und muss nur eingeschaltet werden.

Passkeys: Anmelden ohne Passwort, einfach erklärt

Ein Passkey ist ein Anmeldeverfahren, das ohne Passwort auskommt. Beim Einrichten erzeugt Ihr Gerät ein Schlüsselpaar: Der geheime Teil bleibt auf dem Gerät und wird per Fingerabdruck, Gesichtserkennung oder PIN freigegeben, der Onlinedienst erhält nur den öffentlichen Teil. Bei der Anmeldung bestätigen Sie kurz Ihre Identität am Gerät, den Rest erledigt die Technik im Hintergrund. Es gibt nichts einzutippen, nichts zu vergessen und vor allem nichts, das sich per Phishing abgreifen oder aus einer gestohlenen Datenbank wiederverwenden ließe.

Das BSI empfiehlt, Passkeys zu nutzen, wo Dienste sie anbieten. Praktisch verfügbar sind sie heute vor allem bei den großen Plattformen, etwa bei Google-, Microsoft- und Apple-Konten, sowie bei vielen verbreiteten Onlinediensten. Über das Betriebssystem-Konto oder einen Passwort-Manager lassen sich Passkeys auf mehrere Geräte übertragen, für fremde Geräte gibt es die Anmeldung per QR-Code.

Im Unternehmensalltag lohnt ein nüchterner Blick: Wo die Anmeldung über eine große Plattform läuft, etwa bei Microsoft 365, sind Passkeys schon heute gut nutzbar. Viele Branchenanwendungen unterstützen sie dagegen noch nicht, und fast überall bleibt das Passwort als Rückfallebene bestehen. Passkeys ersetzen Ihre Passwortregeln und die Mehrfaktor-Anmeldung deshalb vorerst nicht, sie ergänzen sie. Ein sinnvoller Einstieg ist ein Pilotversuch mit einer kleinen Gruppe, verbunden mit einer klaren Regelung für den Geräteverlust, etwa über mehrere hinterlegte Geräte pro Person.

Geteilte Konten: ungeliebt, aber Alltag

In fast jedem Betrieb gibt es Konten, die mehrere Personen nutzen: das zentrale info-Postfach, Social-Media-Auftritte, Lieferanten- und Behördenportale oder Kassensysteme. Solche Konten sind aus Sicherheitssicht unbequem. Es ist nicht nachvollziehbar, wer wann was getan hat. Wer das Unternehmen verlässt, kennt das Passwort weiterhin. Und die Mehrfaktor-Anmeldung hängt oft an der privaten Handynummer einer einzelnen Person.

Die erste Frage lautet deshalb: Muss das Konto wirklich geteilt werden? Viele Dienste bieten persönliche Zugänge mit Rollen und Freigaben, und E-Mail-Systeme kennen gemeinsame Postfächer, auf die jede Person mit ihrem eigenen Login zugreift. Wo das möglich ist, ist es die sauberere Lösung.

Für die verbleibenden Fälle gilt: Das Passwort gehört in einen Team-Tresor des Passwort-Managers, nicht auf Zettel oder in Tabellen. Benennen Sie pro Konto eine verantwortliche Person, wechseln Sie das Passwort, sobald jemand mit Zugriff ausscheidet, und hinterlegen Sie den zweiten Faktor nicht auf einem Privatgerät, sondern als Einmalcode im Passwort-Manager oder auf einem gemeinsam verwahrten Hardware-Schlüssel. Eine einfache Inventarliste aller geteilten Konten macht das Thema überhaupt erst steuerbar.

Womit Sie anfangen: eine machbare Reihenfolge

Wenn Sie das Thema strukturiert angehen wollen, hat sich diese Reihenfolge bewährt. Erstens: Mehrfaktor-Anmeldung für E-Mail, Administratorkonten und Fernzugänge aktivieren. Zweitens: einen Passwort-Manager einführen und Browser-Speicher sowie Passwortlisten ablösen. Drittens: die Passwortrichtlinie modernisieren, also Mindestlänge anheben sowie Sonderzeichen-Pflicht und Routinewechsel streichen, soweit keine externen Vorgaben entgegenstehen. Viertens: geteilte Konten inventarisieren und in Team-Tresore überführen. Fünftens: Passkeys dort aktivieren, wo Ihre Dienste sie anbieten, beginnend mit einer Pilotgruppe.

Ehrlich eingeordnet: Die ersten Schritte kann ein kleines Unternehmen gut in Eigenregie gehen. MFA einschalten und einen Passwort-Manager für ein überschaubares Team einrichten sind keine Großprojekte. Aufwendiger wird es, wenn Richtlinien zentral durchgesetzt, viele Altkonten migriert oder zentrale Anmeldedienste angebunden werden sollen. Dafür externe Unterstützung hinzuzuziehen spart Zeit und vermeidet Lücken, die im Alltag niemandem auffallen. Planen Sie insgesamt eher in Wochen als in Tagen, und nehmen Sie die Belegschaft früh mit: Die beste Regel nützt nichts, wenn sie im Alltag umgangen wird.