Passwörter und Passkeys

Seit Juli 2025 sagt der US-Standard NIST SP 800-63B-4, dass ein allein verwendetes Passwort mindestens 15 Zeichen lang sein muss und dass Dienste dich nicht zwingen dürfen, es nach Zeitplan zu ändern.

„Summer2024!“ erfüllt jede Regel. Warum ist es trotzdem schwach?

Viele glauben noch, ein starkes Passwort brauche einen Großbuchstaben, eine Ziffer und ein Sonderzeichen, und es bleibe sicher, wenn man es alle 90 Tage ändert. Genau das haben Anmeldeformulare jahrelang beigebracht. Sieh dir an, was diese Regeln hervorgebracht haben. „Summer2024!“ erfüllt sie alle. Neunzig Tage später wird daraus „Autumn2024!“, und wer das erste kannte, kann das zweite erraten. Die Regeln machten Passwörter schwerer zu merken, ohne sie viel schwerer zu erraten.

Was der US-Standard von 2025 stattdessen verlangt

Die aktuelle US-Richtlinie, NIST Special Publication 800-63B-4, im Juli 2025 fertiggestellt, kehrt diese Gewohnheiten um. Ein allein verwendetes Passwort muss mindestens 15 Zeichen lang sein. Ist es nur ein Teil einer Mehr-Faktor-Anmeldung, liegt das Minimum bei 8. Dienste sollen mindestens 64 Zeichen zulassen und Leerzeichen sowie alle druckbaren Zeichen akzeptieren, und sie dürfen keine weiteren Zusammensetzungsregeln wie „ein Sonderzeichen“ vorschreiben. Auch regelmäßige Änderungen dürfen sie nicht erzwingen. Eine Änderung ist nur nötig, wenn es Hinweise gibt, dass das Passwort durchgesickert ist. Außerdem verlangt NIST, dass Dienste jedes neue Passwort mit einer Sperrliste häufiger, naheliegender oder bereits geleakter Passwörter vergleichen, denn ein Passwort, das in einem Datenleck aufgetaucht ist, ist nicht mehr geheim, egal wie lang es ist.

Zählen, was ein Ratender durchprobieren muss

Warum gewinnt die Länge? Jedes zusätzliche Zeichen vervielfacht die Zahl der möglichen Passwörter. Acht Kleinbuchstaben ergeben 26 hoch 8, etwa 209 Milliarden Kombinationen. Ein Computer, der eine gestohlene Passwortdatei durchprobiert, arbeitet sich da schnell durch. Vier zufällig aus einer Liste von 7776 gewählte Wörter ergeben etwa 3.66 × 10¹⁵. Die Tabelle zeigt, wie schnell die Anzahlen wachsen, und mit der Code-Übung weiter unten kannst du zwei davon selbst berechnen.

Warum sich ein Leck auf andere Konten ausbreitet

Die CISA, die US-Behörde für Cybersicherheit, fasst ein starkes Passwort in drei Wörtern zusammen: lang (mindestens 16 Zeichen), zufällig und für jedes Konto einzigartig. Zufällig kann eine Folge gemischter Zeichen bedeuten oder eine Passphrase aus vier bis sieben Wörtern, die nichts miteinander zu tun haben. Einzigartig ist am wichtigsten. Wenn eine Website ein Datenleck hat, probieren Kriminelle dieselbe E-Mail-Adresse und dasselbe Passwort auf anderen Websites aus, ein wiederverwendetes Passwort macht also aus einem Leck viele. Niemand kann sich Dutzende langer zufälliger Passwörter merken. Deshalb unterstützen CISA und NIST beide Passwortmanager, Programme, die Passwörter erzeugen, speichern und eintragen, sodass du dir nur eines merken musst. NIST sagt, Dienste müssen Passwortmanager und automatisches Ausfüllen zulassen und sollten Einfügen erlauben.

Ein Passkey lässt nichts zum Eintippen und nichts zum Stehlen übrig

Ein Passkey ersetzt das gemeinsame Geheimnis durch Public-Key-Kryptografie. MDN beschreibt ihn als Schlüsselpaar, das an dein Konto bei einer Website gebunden ist. Der private Schlüssel bleibt in einem Authentifikator auf deinem Gerät oder daran angeschlossen, und du entsperrst ihn mit der PIN, dem Fingerabdruck oder dem Gesicht. Der öffentliche Schlüssel liegt auf dem Server der Website. Zum Anmelden schickt die Website eine Aufgabe (Challenge), und dein Gerät signiert sie. Nichts Geheimes wird eingetippt. Auch auf dem Server wird nichts Geheimes gespeichert, deshalb gibt ein Einbruch beim Server nichts Wiederverwendbares preis. Jeder Passkey ist außerdem an die Domain der Website gebunden, eine nachgemachte Phishing-Seite kann ihn also nicht benutzen. NIST zählt diese Art kryptografischer Anmeldung als phishingresistent, Passwörter dagegen nicht, und lässt Passkeys zu, die zwischen deinen Geräten synchronisiert werden.

Wo anfangen? Gib zuerst deinem E-Mail-Konto eine lange Passphrase, denn über das E-Mail-Konto lassen sich die anderen zurücksetzen. Wenn du einen Passwortmanager benutzt, wird diese Passphrase das eine Passwort, das du dir merkst. Ändere dann jedes Passwort, von dem du weißt, dass du es mehrfach benutzt hast, angefangen bei Bank- und Shopping-Konten. Wenn eine Website anbietet, einen Passkey zu erstellen, ist Ja meist das schnellste Upgrade. Das Passwort kannst du als Ausweichmöglichkeit behalten.