Passwortsicherheit im Jahr 2026: Leaks, Überprüfung und Kontoschutz
Die meisten Konto-Hacks sind keine brillanten Angriffe – es ist ein altes Passwort aus einem anderen Datenleck, das zufällig funktioniert hat. Hier ist Passwortsicherheit ohne die Paranoia: wie Passwörter geleakt werden, was ein starkes Passwort ausmacht, wie man seines sicher überprüft und wie man Passwörter auf dem Server speichert, damit ein Datenleck keine Katastrophe ist.
Warum das Passwort immer noch das schwächste Glied ist
Sie können einen Server nach Vorschrift absichern, Websicherheit einrichten und trotzdem das Konto durch ein schwaches Passwort verlieren. Der Grund ist einfach: Menschen verwenden Passwörter mehrfach. Das gleiche Passwort schützt E-Mail, einen Shop und ein Forum — und wenn das Forum gehackt wird, öffnet dieses Passwort die E-Mail, und die E-Mail öffnet alles andere.
Der Angriff wird Credential Stuffing genannt: Jemand nimmt Millionen von Login-Passwort-Paaren aus alten Sicherheitsverletzungen und spielt sie automatisch auf anderen Seiten ab. Sie müssen Sie nicht hacken — das wurde bereits für sie erledigt. Daher geht es bei der Passwortstärke nicht darum, schwer zu merken zu sein; es kommt auf zwei Regeln an: Ein Passwort muss lang und einzigartig für jede Seite.
Wie Passwörter geleakt werden
Ein Passwort wird selten 'erraten'. Viel häufiger gelangt es in ganzen Datenbanken ins Netz:
- Dienstverletzung — die Benutzerdatenbank mit Passwörtern landet online. Wenn die Passwörter schlecht gespeichert wurden, werden sie schnell geknackt.
- Phishing — Sie geben das Passwort selbst auf einer gefälschten Seite ein, die von der echten nicht zu unterscheiden ist.
- Malware — Stealer ernten im Browser gespeicherte Passwörter direkt von einem infizierten Gerät.
- Wiederverwendung — ein Leak auf einer Seite gefährdet automatisch jede andere, auf der dasselbe Passwort verwendet wird.
Das Ergebnis ist immer dasselbe: Das Passwort landet in öffentlichen Datenbanken, die bereits Hunderte von Millionen von Datensätzen enthalten. Die gute Nachricht — Sie können diese Datenbanken überprüfen, um zu sehen, ob Ihr Passwort aufgetaucht ist, und das sicher tun.
Was macht ein Passwort stark
Stärke wird nicht durch ein 'Sonderzeichen' gemessen, sondern durch Entropie — die Anzahl der Optionen, die ein Angreifer ausprobieren müsste. Die Länge erhöht sie viel mehr als exotische Symbole: vier zufällige Wörter schlagen ein kurzes 'P@ss1!'.
- Länge — mindestens 12–16 Zeichen, mehr für wichtige Konten.
- Zufälligkeit — kein Name, Datum oder Wörterbuchwort, sondern wirklich zufällig.
- Einzigartigkeit — ein anderes Passwort pro Seite, sodass ein Leak nicht die anderen öffnet.
Das im Kopf zu erfinden ist sinnlos. Generiere es stattdessen: unser Passwortgenerator erstellt ein langes, zufälliges Passwort direkt im Browser, kryptographisch stark, ohne es irgendwohin zu senden.
Wie man ein Passwort auf Sicherheitsverletzungen überprüft
Du kannst überprüfen, ob ein Passwort in bekannten Leaks enthalten ist, ohne es preiszugeben. Es funktioniert durch k-Anonymität: das Passwort wird in deinem Browser gehasht, nur die ersten fünf Zeichen des Hashes gehen an den Server, eine Liste von Übereinstimmungen für dieses Präfix kommt zurück, und die Übereinstimmung wird lokal gefunden. Der Server sieht niemals das Passwort oder seinen vollständigen Hash.
Genau so funktioniert unser Passwort-Leck-Check: Es vergleicht das Passwort mit der Have I Been Pwned-Datenbank und speichert nichts. Wenn das Passwort in Datenpannen auftaucht, behandeln Sie es als kompromittiert und ändern Sie es überall dort, wo Sie es verwendet haben. Der gleiche Check ist es wert, in Ihre Anmelde- und Passwortänderungsformulare integriert zu werden, um Benutzer vor einem schwachen Passwort zu warnen, bevor sie es festlegen.
Passwortmanager und Zwei-Faktor-Authentifizierung
Lange, einzigartige Passwörter können Sie sich nicht merken — und das müssen Sie auch nicht. Ein Passwortmanager generiert, speichert und füllt sie für Sie aus; Sie merken sich nur ein Master-Passwort. Es ist der einzige praktische Weg, um auf jeder Seite ein anderes starkes Passwort zu haben.
Die zweite Ebene ist Zwei-Faktor-Authentifizierung (2FA). Selbst wenn das Passwort geleakt wird, blockiert der zweite Faktor den Login. In der Reihenfolge der Stärke: Ein Hardware-Schlüssel oder eine Authenticator-App schlägt SMS-Codes, die durch SIM-Swapping abgefangen werden. Aktivieren Sie 2FA mindestens für E-Mail und Banking — das sind die Konten, die alle anderen wiederherstellen.
Wie man Passwörter im Backend speichert (für Entwickler)
Wenn Sie einen Dienst mit Anmeldung erstellen, liegt die Verantwortung für die Passwörter der Benutzer bei Ihnen. Die grundlegenden Regeln sind nicht zur Debatte:
- Speichern Sie niemals Passwörter im Klartext und verschlüsseln Sie sie niemals umkehrbar — nur mit einem irreversiblen Hash.
- Verwenden Sie langsame adaptive Funktionen — bcrypt, scrypt oder argon2 — mit einem salt pro Passwort. Einfaches SHA-256 reicht nicht aus: es ist zu schnell und fällt einem GPU zum Opfer.
- Überprüfen Sie neue Passwörter auf Verstöße bei der Anmeldung und Änderung — über die gleiche k-Anonymität, ohne das Passwort zu senden.
- Begrenzen Sie die Anzahl der Anmeldeversuche und fügen Sie 2FA hinzu, damit ein Datenbankleck nicht sofortigen Zugriff gewährt.
Wir integrieren dies in die Architektur, wenn wir bauen Webanwendungen und SaaS: Authentifizierung und geheime Speicherung sind von Anfang an konzipiert, nicht später hinzugefügt.
Checkliste zur Passwortsicherheit
- Ein langes (12+), zufälliges, einzigartiges Passwort für jede Seite.
- Ein Passwort-Manager anstelle von Auswendiglernen und Wiederverwenden.
- Zwei-Faktor-Authentifizierung, wo immer sie existiert – mindestens bei E-Mail und Banking.
- Überprüfen Sie wichtige Passwörter auf Sicherheitsverletzungen; bei Übereinstimmung sofort ändern.
- Für Entwickler: argon2/bcrypt mit Salt, Versuchslimits, eine Überprüfung bei der Anmeldung.
Häufig gestellte Fragen
Ist es sicher, ein Passwort auf der Website eines anderen zu überprüfen?
Es hängt davon ab, wie die Überprüfung funktioniert. Eine ordnungsgemäße Überprüfung verwendet k-Anonymität: Das Passwort wird in Ihrem Browser gehasht und nur die ersten fünf Zeichen des Hashs verlassen ihn, sodass der Server das Passwort niemals sieht. Geben Sie niemals ein Passwort in ein Formular ein, das es vollständig sendet.
Was zählt 2026 als ein starkes Passwort?
Lang, zufällig und einzigartig. Ein praktisches Minimum sind 12–16 Zeichen ohne Wörter aus dem Wörterbuch oder persönliche Daten, unterschiedlich für jede Seite. Die Länge ist wichtiger als 'Sonderzeichen': Ein Satz aus ein paar zufälligen Wörtern schlägt eine kurze Zeichenfolge von Symbolen.
Brauche ich einen Passwortmanager?
Ja — es ist der praktischste Weg, überall ein anderes starkes Passwort zu haben. Du erinnerst dich an ein Master-Passwort und der Manager erstellt und füllt den Rest aus. Das Risiko, dass der Manager selbst kompromittiert wird, ist weit geringer als das Risiko, Passwörter wiederzuverwenden.
Sind SMS-Codes eine zuverlässige Zwei-Faktor-Authentifizierung?
Besser als nichts, aber schwächer als die anderen: SMS-Codes werden durch SIM-Swapping abgefangen. Eine Authenticator-App oder ein Hardware-Schlüssel ist stärker. Dennoch ist jede 2FA weit besser als keine.
Wie sollte ich Benutzerpasswörter auf dem Server speichern?
Nur als irreversibler Hash über argon2, scrypt oder bcrypt mit einem einzigartigen salt pro Passwort — niemals im Klartext oder mit umkehrbarer Verschlüsselung. Plain SHA ist zu schnell und ungeeignet. Begrenze auch die Anmeldeversuche und biete 2FA an.
