Sichere Passwörter, Passwortmanager und MFA

Montagmorgen, ein Mitarbeitender kann sich plötzlich nicht mehr am E Mail Postfach anmelden. Das Passwort wurde angeblich geändert, und kurz darauf gehen betrügerische Nachrichten an Kontakte und interne Verteiler. Solche Kontoübernahmen beginnen oft nicht mit einer spektakulären Sicherheitslücke, sondern mit einem wiederverwendeten Passwort, einer überzeugenden Phishing Nachricht oder einer fehlenden zusätzlichen Anmeldungssicherung. Die gute Nachricht: Mit wenigen klaren Regeln lässt sich dieses Risiko deutlich senken.

Warum Passwörter weiterhin wichtig sind

Passwörter sind für viele Dienste noch immer die erste Zugangshürde. Sie schützen E Mail Konten, Cloud Speicher, Quellcode Plattformen, Kundenportale und administrative Systeme. Wird ein Passwort bekannt, kann es Angreifenden den direkten Weg in ein Konto öffnen.

Besonders kritisch ist Passwortwiederverwendung. Wird dasselbe Passwort bei mehreren Diensten genutzt und einer davon wird kompromittiert, testen Kriminelle die Kombination aus E Mail Adresse und Passwort oft automatisiert bei weiteren bekannten Diensten. Dieses Vorgehen wird als Credential Stuffing bezeichnet. Es funktioniert deshalb so häufig, weil Menschen Passwörter aus Bequemlichkeit mehrfach verwenden.

Für jedes Konto mit eigener Bedeutung gilt deshalb eine zentrale Regel:

• Jedes Passwort ist einzigartig.
• Besonders schützenswerte Konten erhalten zusätzlich MFA.
• Passwörter werden nicht per E Mail, Chat oder Ticket ungeschützt weitergegeben.
• Zugangsdaten gehören nicht in Notizbücher, Tabellen oder unverschlüsselte Dateien.

Das wichtigste Konto ist in vielen Fällen das E Mail Postfach. Darüber lassen sich Passwortzurücksetzungen für zahlreiche andere Dienste anfordern. Schütze dieses Konto deshalb besonders konsequent mit einem starken, einzigartigen Passwort und Mehrfaktor Authentifizierung.

Länge schlägt erzwungene Komplexität

Viele ältere Passwortregeln verlangen mindestens einen Großbuchstaben, eine Zahl und ein Sonderzeichen. Das führt oft zu vorhersehbaren Mustern: Ein Wort erhält am Ende eine Ziffer und ein Ausrufezeichen. Solche Varianten sind zwar formal komplex, aber nicht zwingend stark.

Entscheidender als eine künstliche Mischung von Zeichentypen ist die Länge. Ein langes Passwort oder eine lange Passphrase bietet mehr mögliche Kombinationen und ist zugleich leichter zu merken. Eine Passphrase besteht aus mehreren zufällig gewählten Wörtern oder einem persönlichen, aber nicht öffentlich ableitbaren Satz.

Ein gutes Passwort erfüllt diese Anforderungen:

Merkmal	Warum es wichtig ist
Ausreichende Länge	Lange Passwörter sind deutlich schwerer zu erraten oder technisch zu knacken.
Einzigartigkeit	Ein Vorfall bei einem Dienst gefährdet nicht automatisch andere Konten.
Keine persönlichen Daten	Namen, Geburtstage, Firmenname oder Haustiernamen sind oft öffentlich oder leicht recherchierbar.
Keine bekannten Muster	Varianten wie „Passwort123!“ oder Tastaturfolgen sind schnell erraten.
Sichere Speicherung	Ein Passwortmanager verhindert, dass du Passwörter vereinfachst oder wiederverwendest.

Wenn du ein Passwort selbst merken musst, etwa für den Passwortmanager, nutze eine lange Passphrase. Verwende keine bekannten Zitate, Songtexte oder Sätze, die in sozialen Netzwerken zu dir passen könnten. Auch eine Passphrase sollte nicht bei mehreren Diensten eingesetzt werden.

In Unternehmensumgebungen sollten Passwortvorgaben nicht dazu verleiten, schwache Muster zu erzeugen. Sinnvoller sind Mindestlänge, Schutz vor häufig verwendeten Passwörtern, MFA und eine klare Regel gegen Wiederverwendung. Regelmäßige Passwortwechsel ohne konkreten Anlass bringen dagegen oft wenig: Sie führen häufig nur dazu, dass Menschen ein altes Passwort minimal verändern. Ein Wechsel ist besonders wichtig, wenn ein Passwort bekannt geworden sein könnte, ein Dienst einen Vorfall meldet oder Anzeichen für eine Kontoübernahme bestehen.

Passwortmanager richtig einsetzen

Ein Passwortmanager erzeugt und speichert für jedes Konto lange, zufällige und einzigartige Zugangsdaten. Du musst dir dann nicht mehr Dutzende Passwörter merken, sondern schützt einen zentralen Tresor besonders sorgfältig. Das ist im Alltag meistens sicherer als selbst ausgedachte Passwörter.

Wichtig ist: Ein Passwortmanager ist kein Freifahrtschein. Er muss korrekt eingerichtet und geschützt werden.

Den Tresor absichern

Für den Passwortmanager benötigst du ein starkes Hauptpasswort. Es sollte lang, einzigartig und nur für diesen Zweck verwendet werden. Aktiviere zusätzlich MFA für das Konto beim Passwortmanager, sofern verfügbar. Bewahre Wiederherstellungscodes sicher auf, getrennt vom Alltagssystem und nicht im selben Passworttresor, auf den sie Zugriff ermöglichen sollen.

Prüfe außerdem diese Punkte:

• Nutze einen etablierten Passwortmanager, der für private oder geschäftliche Anforderungen geeignet ist.
• Aktiviere eine automatische Sperre bei Inaktivität.
• Halte Betriebssystem, Browser und Passwortmanager aktuell.
• Prüfe neue Geräte und aktive Sitzungen regelmäßig.
• Lösche Zugänge ehemaliger Mitarbeitender aus gemeinsam genutzten Bereichen zeitnah.
• Teile Teamzugänge über dafür vorgesehene Freigabefunktionen, niemals durch Kopieren von Passwörtern in Nachrichten.

Für Organisationen ist entscheidend, dass geteilte Konten möglichst vermieden werden. Besser sind persönliche Benutzerkonten mit nachvollziehbaren Berechtigungen nach dem Prinzip Least Privilege. Wo technische oder organisatorische Gründe gemeinsame Zugänge erfordern, braucht es geregelte Freigaben, dokumentierte Verantwortlichkeiten und einen Prozess für Änderungen.

Vorsicht bei automatisch ausgefüllten Zugangsdaten

Die automatische Eingabe spart Zeit, kann aber bei täuschend echten Phishing Seiten problematisch sein. Ein gut konfigurierter Passwortmanager erkennt normalerweise die gespeicherte Internetadresse und füllt Zugangsdaten nicht auf einer abweichenden Domain aus. Das ist ein zusätzlicher Schutz, ersetzt aber keine Aufmerksamkeit.

Kontrolliere vor der Anmeldung:

• Stimmt die Domain exakt?
• Kam der Link unerwartet per E Mail, Chat oder SMS?
• Fordert die Seite plötzlich sensible Daten oder einen MFA Code an?
• Meldet sich der Browser oder Passwortmanager mit einer Warnung?

Rufe wichtige Dienste im Zweifel über ein gespeichertes Lesezeichen oder die bekannte Adresse auf. Gib niemals einen MFA Code ein, weil dich jemand am Telefon, im Chat oder in einer E Mail dazu auffordert. Seriöse interne Supportprozesse benötigen dein Passwort oder deinen zweiten Faktor nicht.

MFA: Ein Passwort allein reicht nicht

Mehrfaktor Authentifizierung, kurz MFA, verlangt zusätzlich zum Passwort einen weiteren unabhängigen Nachweis. Das kann etwas sein, das du besitzt, etwa ein Sicherheitsschlüssel oder eine Authenticator App. Möglich ist auch etwas, das dich identifiziert, etwa ein biometrisches Merkmal auf deinem Gerät.

MFA erschwert Kontoübernahmen erheblich. Selbst wenn ein Passwort durch Phishing oder einen Datenabfluss bekannt wird, fehlt Angreifenden im Idealfall der zweite Faktor. Besonders für E Mail, Administratorzugänge, Cloud Dienste, Fernzugriffe und Systeme mit vertraulichen Daten sollte MFA verbindlich sein.

Verfahren	Einordnung für den Alltag
SMS Code	Besser als kein zweiter Faktor, aber anfälliger für Umleitungen und Angriffe auf Mobilfunkkonten.
Authenticator App	Meist eine gute, praxistaugliche Lösung mit zeitbasierten Einmalcodes.
Push Bestätigung	Komfortabel, aber nur bestätigen, wenn du die Anmeldung selbst ausgelöst hast.
Hardware Sicherheitsschlüssel	Sehr starker Schutz, insbesondere gegen Phishing, wenn der Dienst ihn unterstützt.
Passkey	Moderne, sehr phishingresistente Methode, die Passwort und zweiten Faktor teilweise ersetzt.

Auch MFA kann umgangen werden, wenn Menschen unachtsam bestätigen. Bei sogenanntem MFA Fatigue senden Angreifende viele Anfragen und hoffen auf eine versehentliche Freigabe. Deshalb gilt: Eine unerwartete Push Anfrage ablehnen und dem IT Team melden. Wiederholte Anfragen sind kein technischer Fehler, den du durch Bestätigen lösen solltest.

Was Passkeys besser machen

Passkeys sind eine moderne Anmeldemethode, die auf kryptografischen Schlüsseln basiert. Vereinfacht gesagt liegt ein geheimer Schlüssel sicher auf deinem Gerät oder in einem geschützten Gerätespeicher. Der Dienst erhält nur einen passenden öffentlichen Anteil. Anders als ein Passwort wird dabei kein Geheimnis eingegeben, das auf einer gefälschten Website abgegriffen werden könnte.

Du bestätigst die Anmeldung meist mit Geräte PIN, Fingerabdruck oder Gesichtserkennung. Diese biometrischen Daten verlassen dabei in der Regel nicht dein Gerät. Passkeys sind besonders wirksam gegen Phishing, weil sie an die echte Website gebunden sind.

Wenn ein Dienst Passkeys anbietet, sind sie für viele Konten eine sehr gute Wahl. Berücksichtige jedoch die Wiederherstellung: Prüfe, wie du bei Geräteverlust wieder Zugang erhältst, ob Passkeys sicher zwischen deinen Geräten synchronisiert werden und ob es alternative Wiederherstellungswege gibt. Diese Wege müssen genauso sorgfältig geschützt sein wie der eigentliche Zugang.

Konkrete Routine für dich und dein Team

Sicheres Anmelden ist keine einmalige Einrichtung. Es braucht eine einfache, wiederholbare Routine:

1. Lege alle wichtigen Konten im Passwortmanager an und ersetze wiederverwendete Passwörter zuerst bei E Mail, Cloud Diensten und geschäftlichen Zugängen.
2. Aktiviere MFA überall, wo sie verfügbar ist, mit besonderer Priorität für administrative und zentrale Konten.
3. Sichere Wiederherstellungscodes getrennt und kontrolliert.
4. Prüfe verdächtige Anmeldebenachrichtigungen sofort und ändere bei begründetem Verdacht das Passwort.
5. Entferne nicht mehr benötigte Konten, Geräte und Zugriffsrechte.
6. Sprich im Team offen über Phishing Versuche und vermeide Schuldzuweisungen. Schnelles Melden begrenzt Schäden.

Passende IT Security Seminare und Termine findest du bei uns auf cmt.de.

Wenn du einen Sicherheitsvorfall vermutest, handle zügig: Sitzung beenden, Passwort über einen vertrauenswürdigen Weg ändern, MFA Einstellungen prüfen, unbekannte Geräte entfernen und die zuständige IT Stelle informieren. Sicherheitstests an Systemen dürfen ausschließlich mit ausdrücklicher schriftlicher Beauftragung und klar definiertem Scope erfolgen. Ohne Auftrag können sie strafbar sein.