Starke Passwörter kannst du dir mit einer langen, ungewöhnlichen Passphrase oder einem persönlichen Merksatz merken. Das eignet sich vor allem für wenige häufig genutzte Zugänge. Sobald viele oder selten verwendete Konten dazukommen, ist ein Passwortmanager die bessere Gedächtnisstütze: Du behältst nur sein starkes Master-Passwort im Kopf.
Ein Passwort darf nie bei mehreren Konten wiederverwendet werden – auch nicht mit einem vorhersehbaren Kürzel für den jeweiligen Dienst.
Zuerst den Bestand prüfen: Was musst du überhaupt merken?
Schau nicht zuerst auf einzelne Sonderzeichen, sondern auf die Art deiner Zugänge. Ein häufig verwendetes Gerätepasswort stellt eine andere Aufgabe als der Zugang zu einem Kundenkonto, das du zweimal im Jahr öffnest. Das BSI empfiehlt für jedes Konto ein eigenes Passwort und nennt Passwortmanager als Hilfsmittel, um viele individuelle Zugangsdaten zu verwalten.[1]
Für die Wahl der Methode reichen drei Gruppen:
- Ein oder zwei zentrale Geheimnisse, die du häufig eingibst, kannst du als lange Passphrase lernen.
- Viele unterschiedliche oder selten benötigte Passwörter gehören in einen Passwortmanager.
- Ein Passkey kann das Passwort ganz ersetzen, wenn der betreffende Dienst und deine Geräte diese Anmeldeart unterstützen.
Diese Aufteilung nimmt deinem Gedächtnis Arbeit ab, ohne alle Zugänge an ein einziges wiederverwendetes Passwort zu hängen. Gerade seltene Logins sind der Haken. Was alle paar Monate abgefragt wird, bleibt meist nicht zuverlässig abrufbar – selbst wenn die Zeichenfolge beim Anlegen noch einprägsam wirkte.
Ein Passwortmanager speichert Zugangsdaten verschlüsselt und kann für jedes Konto eine eigene zufällige Zeichenfolge erzeugen. Je nach Programm liegt der Tresor nur auf einem Gerät oder wird über mehrere Geräte synchronisiert. Bedienung, Wiederherstellung und Notfallzugriff unterscheiden sich allerdings von Produkt zu Produkt.[2]
Eine merkbare Passphrase statt kurzer Zeichenakrobatik
Eine Passphrase besteht aus mehreren Wörtern oder aus einer längeren Folge, die sich als inneres Bild merken lässt. Der praktische Vorteil ist sofort fühlbar: Beim Tippen rufst du eine Wortfolge ab und nicht acht zusammenhanglose Zeichen. Länge ist dabei wichtiger als die möglichst bunte Mischung aus Großbuchstaben, Ziffern und Sonderzeichen. Die technische NIST-Leitlinie setzt ebenfalls auf lange Passwörter und warnt Dienste davor, unnötige starre Zeichenvorgaben zu erzwingen.[3]
Die konkrete Mindestlänge und die erlaubten Zeichen bestimmt trotzdem der jeweilige Anbieter. Manche Eingabefelder nehmen Leerzeichen an, andere nicht. Eine Passphrase muss daher zum Feld passen, in dem sie später eingegeben wird.
Wörter wählen, die nicht öffentlich zu dir führen
Geeignet ist eine ungewöhnliche, private Kombination mehrerer Wörter, die zusammen ein eigenes Bild ergibt. Die Wörter müssen keine grammatisch schöne Aussage bilden. Im Gegenteil: Eine etwas schräge Verbindung bleibt oft besser hängen und ist weniger vorhersehbar als ein geläufiger Satz.
Ungeeignet sind Liedzeilen, Filmzitate, Sprichwörter und persönliche Angaben, die in Profilen oder öffentlichen Verzeichnissen stehen. Auch der Name des Dienstes, ein Geburtsjahr oder das aktuelle Jahr machen aus einer schwachen Grundlage keine starke Passphrase. Ein Ausrufezeichen am Ende repariert „Sommer2026“ nicht. Es macht die Eingabe nur einen Tastendruck länger.
Ein Merksatz kann ebenfalls helfen. Dabei merkst du dir einen selbst erdachten Satz und leitest daraus eine Zeichenfolge ab, etwa über Anfangsbuchstaben und Satzzeichen. Die Verbraucherzentrale beschreibt diese Eselsbrücke als mögliche Methode. Der Satz sollte weder bekannt noch öffentlich mit dir verbunden sein.[4]
Die Passphrase im Gedächtnis verankern
Eine gute Wortfolge sitzt nicht automatisch nach dem ersten Tippen. Leite sie zunächst bewusst aus ihrem inneren Bild oder deinem Merksatz her. Gib sie anschließend mehrmals aus dem Gedächtnis ein, ohne sie währenddessen in einer Notiz-App, einer ungeschützten Textdatei oder im Browser-Suchfeld zwischenzulagern.
Wichtig ist der Unterschied zwischen Erinnern und bloßem Wiedererkennen. Wenn die Passphrase noch sichtbar vor dir steht, fühlt sie sich vertraut an. Erst die Eingabe aus dem Kopf zeigt, ob du sie abrufen kannst. Wiederhole diesen Abruf später mit etwas Abstand. Kommt die Wortfolge nur mit mehreren Anläufen zurück, eignet sie sich nicht als einziges Master-Passwort für einen Tresor voller Zugänge.
Prüfe außerdem die tatsächliche Eingabe auf deinen Geräten. Umlaute und bestimmte Sonderzeichen können auf einer anderen Tastaturbelegung lästig werden. Auf dem Smartphone fallen lange Wechsel zwischen Buchstaben-, Zahlen- und Symbolansicht ebenfalls stärker auf als am Rechner. Sicherheit und Bedienbarkeit müssen hier zusammenpassen; sonst wächst nur die Gefahr eines Tippfehlers.
Warum ein persönliches Konten-System nicht trägt
Naheliegend klingt dieses Verfahren: eine feste Passwortbasis, dazu pro Dienst ein Kürzel und vielleicht noch eine Jahreszahl. Damit entstehen unterschiedliche Zeichenfolgen, aber das Muster bleibt gleich. Wird ein einziges Passwort bekannt, kann die Bauweise der übrigen Varianten erkennbar werden.
Auch minimale Änderungen nach dem Schema „altes Passwort plus neue Ziffer“ lösen das Problem nicht. Ein Passwortmanager erzeugt stattdessen unabhängige Zugangsdaten. Du musst weder den Namen des Dienstes verschlüsseln noch überlegen, an welcher Stelle diesmal das Sonderzeichen sitzt.
Master-Passwort und Passwortmanager passend absichern
Das Master-Passwort schützt den gesamten Tresor. Dafür eignet sich eine eigenständige Passphrase, die du nirgendwo sonst verwendest. Sie sollte nicht aus dem Namen des Programms, einer bekannten Redewendung oder leicht auffindbaren persönlichen Angaben bestehen. Für die übrigen Konten darf der Manager lange zufällige Passwörter erzeugen; diese musst du nicht auswendig lernen.
Richte die angebotene Zwei-Faktor-Authentisierung für besonders wichtige Konten ein. Dabei reicht das Passwort allein nicht für die Anmeldung, weil ein weiterer Faktor verlangt wird. Das BSI führt diese zusätzliche Absicherung ausdrücklich neben individuellen Passwörtern und Passwortmanagern auf.[1]
Ein Passwortmanager ist allerdings kein Freifahrtschein. Halte Programm und Betriebssystem auf dem vorgesehenen Stand, sperre deine Geräte und prüfe, welche Wiederherstellungsoptionen der gewählte Manager bietet. Wenn du den Tresor auf mehreren Geräten nutzt, sollte dir auch bewusst sein, über welches Konto die Synchronisierung läuft.
Ein Notfallzugriff kann bei manchen Programmen sinnvoll sein, wenn andere Personen im Ernstfall an bestimmte Zugänge gelangen müssen. Die Ausgestaltung hängt vom jeweiligen Produkt ab. Der Punkt gehört deshalb zur Auswahl eines Managers und nicht in ein selbst erdachtes Passwortschema.
Passkeys nehmen das Merken aus der Anmeldung
Wo ein Dienst Passkeys anbietet, brauchst du für diesen Zugang kein klassisches Passwort mehr. Die Anmeldung wird an einen gespeicherten kryptografischen Schlüssel gebunden und auf deinem Gerät etwa durch die Gerätesperre freigegeben. Die Verbraucherzentrale nennt Passkeys als Alternative zu Passwörtern, weist aber auch darauf hin, dass sie noch nicht überall verfügbar sind.[4]
Prüfe bei der Einrichtung, auf welchen Geräten der Passkey nutzbar ist und wie du nach einem Gerätewechsel wieder an dein Konto gelangst. Die sichtbare Anmeldung kann dadurch sehr bequem werden. Die Wiederherstellung des Geräte- oder Plattformkontos bleibt trotzdem ein eigener Zugang, den du schützen musst.
Für den Alltag entsteht damit eine einfache Verteilung: wenige zentrale Geheimnisse als gelernte Passphrase, viele normale Konten im Passwortmanager und Passkeys dort, wo der Dienst sie anbietet. Das ist weniger spektakulär als ein angeblich genialer Merksatz für vierzig Konten. Dafür hält es die Zugänge voneinander getrennt.
Passwörter nur aus einem Anlass ändern
Ein starkes, einzigartiges Passwort muss nicht allein wegen eines Kalendereintrags ersetzt werden. Die NIST-Leitlinie rät von erzwungenen regelmäßigen Wechseln ohne Hinweis auf eine Kompromittierung ab. Ändern solltest du es dagegen, wenn der Anbieter ein Datenleck meldet, du es auf einer gefälschten Seite eingegeben hast, eine fremde Anmeldung bemerkst oder das Passwort versehentlich weitergegeben wurde.[3]
War dasselbe Passwort entgegen der Empfehlung bei mehreren Konten im Einsatz, müssen alle betroffenen Zugänge jeweils ein neues, eigenes Passwort bekommen. Beginne mit dem zugehörigen E-Mail-Konto, weil darüber häufig Rücksetzungen anderer Konten laufen. Aktive Sitzungen lassen sich bei vielen Diensten in den Sicherheitseinstellungen abmelden; die genaue Bezeichnung hängt vom Anbieter ab.
Nach einem solchen Vorfall ist auch der richtige Zeitpunkt, die bisherige Methode zu wechseln. Ein einziges vergessenes Passwort lässt sich zurücksetzen. Ein erkennbares Grundmuster über viele Konten ist dagegen ein Problem des gesamten Systems – und gehört beendet.
Quellen
- Wie kann ich meine IT zuhause absichern? – Basistipps zur IT-Sicherheit (Bundesamt für Sicherheit in der Informationstechnik, abgerufen am 28.07.2026)
- Sind Passwort-Manager sinnvoll? (Verbraucherzentrale, abgerufen am 28.07.2026)
- NIST Special Publication 800-63B – Digital Identity Guidelines (National Institute of Standards and Technology, abgerufen am 28.07.2026)
- Starke Passwörter erstellen: So schützen Sie Ihre Online-Konten effektiv (Verbraucherzentrale, abgerufen am 28.07.2026)
