Kurz gesagt: Länge zählt mehr als Komplexität — die aktuellen NIST-Passwort-Richtlinien (SP 800-63B) favorisieren explizit lange Passphrasen gegenüber erzwungenen Symbol-/Zahlenkombinationen, und empfehlen den Abgleich mit Listen bekannter kompromittierter Passwörter statt Passwörter nach Zeitplan ablaufen zu lassen. Kombiniere diesen Guide mit Character Counter, Text Encryption, Duplicate Finder und AI Hidden Characters.
Passwortstärke dreht sich grundlegend um Entropie — wie viele Rateversuche ein Angreifer im Durchschnitt braucht — und Länge erhöht die Entropie exponentiell, während das Hinzufügen eines obligatorischen Symbols sie nur linear erhöht.
Warum Länge Komplexitätsregeln schlägt
Der Suchraum eines Passworts wächst mit der Größe des Zeichensatzes potenziert mit seiner Länge: Ein 8-Zeichen-Passwort nur mit Kleinbuchstaben hat etwa 26⁸ (~2×10¹¹) mögliche Kombinationen, aber eine 16-Zeichen-Passphrase nur mit Kleinbuchstaben hat 26¹⁶ — viele Größenordnungen mehr — trotz Verwendung eines kleineren, einfacheren Zeichensatzes. Das ist der Hauptgrund, warum NIST SP 800-63B lange Passphrasen gegenüber kurzen, komplexen Zeichenketten empfiehlt: vier zufällige unzusammenhängende Wörter sind sowohl leichter zu merken als auch schwerer zu erraten als "P@ssw0rd1!".
Was NIST tatsächlich nicht mehr empfiehlt
Zwei langjährige "Best Practices" werden in den aktuellen NIST-Richtlinien nun explizit abgeraten: obligatorischer periodischer Passwort-Ablauf (der dazu neigt, Menschen schwächere, vorhersehbarere Passwörter wählen zu lassen, wenn sie oft wechseln müssen — ein häufiges Muster ist das Hochzählen einer Zahl am Ende), und erzwungene Komplexitätsregeln, die bestimmte Zeichenklassen verlangen, die zu vorhersehbaren Ersetzungen führen (@ für a, 0 für o), die Angreifer-Wörterbücher bereits berücksichtigen. Die aktuelle Empfehlung ist stattdessen: lange Passwörter erlauben (64+ Zeichen), keine willkürliche Komplexität erzwingen, und neue Passwörter gegen Listen bekannter kompromittierter Zugangsdaten prüfen.
Warum der Abgleich mit Leck-Listen mehr zählt als ein Stärke-Anzeiger
Ein Passwort kann hohe theoretische Entropie haben — lang, zufällig aussehend, gemischte Groß-/Kleinschreibung — und trotzdem gefährlich sein, wenn es in einem bekannten Datenleck auftaucht, denn Angreifer nutzen diese geleakten Listen als ersten Versuch, nicht Brute Force. Deshalb existieren Dienste wie die Passwort-API von Have I Been Pwned: Ein neues Passwort gegen bekannte Leck-Listen zu prüfen erfasst ein reales Risiko, das ein generischer Stärke-Schätzer, der nur theoretische Zufälligkeit misst, nicht sehen kann.
Ein praktischer Ansatz
- Verwende eine Passphrase aus 4+ unzusammenhängenden Wörtern, oder eine zufällige Zeichenkette aus 16+ Zeichen, statt einer kurzen komplexen.
- Verwende ein Passwort nie über mehrere Seiten hinweg wieder — ein Leck bei einem Dienst wird zum Angriff auf jedes Konto, das dasselbe Passwort verwendet.
- Prüfe neue Passwörter gegen bekannte Leck-Listen, statt nur einem visuellen "Stärke"-Anzeiger zu vertrauen.
- Verwende einen Passwortmanager, um eindeutige Passwörter pro Seite zu generieren und zu speichern — Länge und Einzigartigkeit hören auf, eine Gedächtnisbelastung zu sein, sobald du sie nicht mehr auswendig lernst.
- Wechsle ein Passwort nur bei einem konkreten Grund (ein vermutetes Leck), nicht nach einem willkürlichen Zeitplan.
Häufige Fehler, die du vermeiden solltest
- Symbol-/Zahlenkomplexität über rohe Länge priorisieren — Länge trägt weit mehr Entropie pro hinzugefügtem Zeichen bei.
- Ein starkes Passwort über mehrere Konten wiederverwenden, was den Zweck genau in dem Moment zunichtemacht, in dem eine Seite kompromittiert wird.
- Einem Passwort vertrauen, weil es "zufällig aussieht", ohne zu prüfen, ob es in einem bekannten Leck auftaucht.
- Passwörter aus Gewohnheit nach festem Zeitplan wechseln — die aktuellen NIST-Richtlinien raten explizit von dieser Praxis ab.
Ein starkes Passwort ist heute ein langes, einzigartiges — geprüft gegen bekannte Lecks, keine Zeichenkette, die durch willkürliche Komplexitätsregeln gezwungen wurde, die es meist nur schwerer zu merken und nicht schwerer zu erraten machen.