Best Practices für Passwörter in regulierten Branchen: Ein praktischer Sicherheitsleitfaden

Bewährte Vorgehensweisen für Passwörter lassen sich auf eine kurze, fast langweilige Liste reduzieren, die tatsächlich funktioniert: Nutzen Sie einen Passwortmanager, um für jedes Konto lange, einmalige Passwörter zu erzeugen, aktivieren Sie die Multi-Faktor-Authentifizierung (MFA) und verwenden Sie dasselbe Passwort niemals für mehrere Dienste. Für Teams im Gesundheitswesen, in der Rechtsbranche und im Finanzsektor ist das größte Risiko selten ein zu einfaches Passwort, sondern ein Passwort, das mehrfach verwendet oder gestohlen wurde. Die meisten Kontoübernahmen beginnen heute mit Zugangsdaten, die ein Angreifer bereits besitzt, und nicht mit solchen, die er erraten hat. Das eigentliche Ziel ist es daher, die Mehrfachverwendung zu beseitigen und einen zweiten Faktor hinzuzufügen.

‍

Wichtigste Erkenntnisse

• Ein Passwortmanager in Kombination mit MFA blockiert den Großteil automatisierter Angriffe zur Kontoübernahme. Diese Kombination – und nicht das Auswendiglernen raffinierter Zeichenfolgen – bildet den Kern der Passwortsicherheit.
• Die Mehrfachverwendung ist die größte Schwachstelle. Branchenstudien kommen immer wieder zu dem Ergebnis, dass die meisten Menschen Passwörter mehrfach verwenden. Ein einziger Datenvorfall kann sich deshalb auf jedes Konto auswirken, das dasselbe Passwort nutzt.
• Schwache Passwörter sind meist vorhersehbar statt zufällig. Saisonale Wechsel, Namen von Haustieren und Firmennamen sind genau das, was Angreifer zuerst ausprobieren.
• Die Bedrohung hat sich vom Erraten von Passwörtern hin zu deren Diebstahl verlagert. Deshalb sind Einmaligkeit und MFA wichtiger als reine Zeichenkomplexität.
• Berufliche und private Zugangsdaten sollten sich niemals vermischen. Wenn Sie sie getrennt halten, begrenzen Sie den Schaden, falls eine der beiden Seiten kompromittiert wird.

‍

Was sind bewährte Vorgehensweisen für Passwörter?

Bewährte Vorgehensweisen für Passwörter sind die Gesamtheit der Gewohnheiten und Kontrollen, die verhindern, dass Zugangsdaten erraten, geknackt, mehrfach verwendet oder gestohlen werden. Sie betreffen die Erstellung eines Passworts (Länge und Zufälligkeit), die Aufbewahrung (in einem Passwortmanager statt auf einem Klebezettel, in einer Tabelle oder im Browser), den Schutz (MFA) und die Weitergabe (ausschließlich über sichere Kanäle). Aktuelle Empfehlungen von Normungsgremien rücken von komplizierten Zeichenregeln und häufigen Änderungen ab und setzen stattdessen auf Länge, Einmaligkeit und einen starken zweiten Faktor.

‍

Warum Passwortsicherheit wichtiger ist denn je

Die Vorgehensweise der Angreifer hat sich verändert. Vor zehn Jahren bestand die Hauptsorge darin, dass jemand ein schwaches Passwort per Brute-Force knackt, indem er viele Kombinationen durchprobiert. Heute ist der Diebstahl von Zugangsdaten die größere Bedrohung: Angreifer erlangen funktionierende Passwörter durch Datenlecks, Phishing und Infostealer-Malware (Software, die unbemerkt gespeicherte Passwörter und Anmeldesitzungen von einem infizierten Gerät abgreift) und melden sich dann einfach an. Laut dem Verizon Data Breach Investigations Report gehören gestohlene Zugangsdaten zu den häufigsten Wegen, über die Angreifer ihren ersten Zugang erhalten. IBM X-Force berichtet zudem, dass ein großer Teil der Einbrüche gültige, gestohlene Zugangsdaten nutzt und gar keine Sicherheitslücke ausnutzt.

‍

Das hat einen praktischen Grund: Wenn ein Angreifer ein bereits funktionierendes Passwort kaufen oder stehlen kann, schützt Sie die Stärke dieses Passworts nicht mehr. Sie schützt vielmehr, dass das Passwort einmalig ist (und somit nichts anderes öffnen kann) und dass ein zweiter Faktor zwischen dem gestohlenen Passwort und dem Konto steht. Für regulierte Teams, die mit sensiblen Unterlagen arbeiten, ist genau diese Verschiebung das Kernargument für die folgenden Vorgehensweisen.

‍

Was macht ein Passwort stark?

Drei Eigenschaften machen ein Passwort stark: Länge, Zufälligkeit und Einmaligkeit. Die Länge ist am wichtigsten. Das US-amerikanische National Institute of Standards and Technology (NIST) empfiehlt in der Special Publication 800-63B-4 eine Mindestlänge von 15 Zeichen für ein Passwort, das als einziger Faktor dient (und unterstützt Längen von mindestens 64 Zeichen), während die Cybersecurity and Infrastructure Security Agency (CISA) empfiehlt, mindestens 16 Zeichen anzustreben. Zufälligkeit bedeutet, Wörter aus dem Wörterbuch und persönliche Angaben zu vermeiden. Einmaligkeit bedeutet, für jedes Konto ein anderes Passwort zu verwenden.

‍

Eine nützliche Alternative zu einer zufälligen Zeichenfolge ist eine Passphrase: vier bis sieben nicht zusammenhängende Wörter, aneinandergereiht. Sie ist lang, schwer zu knacken und viel leichter zu merken. CISA nennt Beispiele, in denen einige unzusammenhängende Wörter zu einer Phrase kombiniert werden.

‍

‍

So sieht der Unterschied in der Praxis aus:

‍

‍

So erstellen Sie ein starkes Passwort

Die schnellste und zuverlässigste Methode ist, ein Passwort von einem Passwortmanager generieren zu lassen. Wenn Sie doch einmal eines von Hand erstellen müssen (zum Beispiel das Master-Passwort, das Ihren Passwortmanager entsperrt), bauen Sie eine Passphrase auf:

‍

1. Wählen Sie vier bis sieben zufällige Wörter, die nichts miteinander zu tun haben. Vermeiden Sie alles, was mit Ihnen, Ihrem Arbeitgeber oder dem Datum zusammenhängt.
2. Fügen Sie sie zu einer einzigen Wortfolge zusammen. Die Leerzeichen können Sie beibehalten oder entfernen.
3. Setzen Sie auf Länge statt auf Komplexität. Eine längere Wortfolge ist besser als eine kurze Zeichenfolge mit Sonderzeichen.
4. Stellen Sie sicher, dass sie an genau einer Stelle und nirgendwo sonst verwendet wird.
5. Speichern Sie sie niemals im Klartext. Merken Sie sich das Master-Passwort und überlassen Sie dem Passwortmanager den Rest.

‍

Vermeiden Sie vorhersehbare Bausteine vollständig. Angreifer führen Wörterbuchangriffe durch (automatisiertes Erraten anhand von Listen gängiger Wörter und bekannter Passwörter) sowie Credential Stuffing (das erneute Verwenden von Kombinationen aus Benutzername und Passwort, die bei anderen Datenpannen abgeflossen sind). Häufig kompromittierte Passwörter wie 123456, admin und password (regelmäßig in Untersuchungen von NordPass aufgeführt) fallen sofort, ebenso Wahlen mit persönlichem Bezug wie der Name eines Haustiers, der Firmenname oder eine Jahreszeit mit Jahreszahl.

‍

Hören Sie auf, Passwörter mehrfach zu verwenden: die wichtigste Maßnahme

Wenn Sie nur eine Gewohnheit ändern, dann diese. Umfragen aus der Sicherheitsforschung zeigen, dass die meisten Menschen Passwörter für mehrere Konten wiederverwenden (Forbes Advisor nannte Werte von rund 78 Prozent), und die Analysen von SpyCloud zu Datenpannen haben ergeben, dass ein großer Teil der von Datenpannen betroffenen Personen ein bereits zuvor offengelegtes Passwort erneut verwendet hatte. Die Mehrfachverwendung macht aus einem einzelnen Datenleck eine Kettenreaktion: Ein kompromittierter Dienst gibt Angreifern den Schlüssel zu Ihrem E-Mail-Konto, und Ihr E-Mail-Konto ist der Weg zum Zurücksetzen aller anderen Zugänge.

‍

Daraus ergeben sich direkt zwei Regeln. Erstens: ein Passwort pro Dienst, ohne Ausnahme. Zweitens: Halten Sie berufliche und private Zugangsdaten vollständig getrennt. Das Passwort Ihres Streamingdienstes hat in der Nähe von Unternehmenssystemen nichts verloren, und ein Unternehmenspasswort sollte niemals ein privates Konto schützen. Betrachten Sie die Trennung als Sicherheitsmaßnahme, nicht als Etikette: Sie begrenzt den Schadensradius, sodass eine Kompromittierung auf der einen Seite nicht auf die andere übergreifen kann.

‍

Was ist ein Passwortmanager, und sollten Sie einen verwenden?

Ein Passwortmanager ist eine Anwendung, die Ihre Passwörter in einem verschlüsselten Tresor generiert, speichert und automatisch einfügt. Sie merken sich ein einziges starkes Master-Passwort, und der Passwortmanager merkt sich alles andere, auch lange Zufallspasswörter, die Sie sich nie merken könnten. Außerdem weist er auf schwache oder doppelt verwendete Passwörter hin, damit Sie diese beheben können. CISA und die meisten Sicherheitsteams betrachten einen Passwortmanager als den einfachsten Weg, starke und einzigartige Passwörter für jedes Konto praktikabel zu machen.

‍

Es gibt zwei grundlegende Kategorien. Persönliche Passwortmanager richten sich an einzelne Nutzende und kleine Teams. Unternehmenslösungen, oft Teil von Privileged Access Management (PAM, die Absicherung und Überwachung hochprivilegierter administrativer Zugangsdaten), bieten zusätzlich zentrale Steuerung, Zugriffsbeschränkungen, Auditing und Single Sign-on (SSO, womit sich Nutzende einmal authentifizieren und dann auf mehrere freigegebene Anwendungen zugreifen können). Eine Warnung: Verlassen Sie sich bei wichtigen Zugangsdaten nicht auf den integrierten Speicher Ihres Browsers, da im Browser gespeicherte Passwörter von einem kompromittierten oder gestohlenen Gerät leichter ausgelesen werden können als Passwörter aus einem eigens dafür vorgesehenen, verschlüsselten Passwortmanager.

‍

Aktivieren Sie die Multi-Faktor-Authentifizierung (MFA)

Die Multi-Faktor-Authentifizierung (MFA) verlangt zusätzlich zu Ihrem Passwort einen zweiten Identitätsnachweis, etwa einen Code aus einer Authenticator-App, einen Hardware-Schlüssel oder eine biometrische Prüfung. Da ein gestohlenes oder erratenes Passwort allein nicht für den Zugang ausreicht, blockiert MFA den Großteil automatisierter Massenangriffe, und sowohl CISA als auch Microsoft empfehlen sie als grundlegende Schutzmaßnahme.

‍

Nicht alle Faktoren sind gleichwertig. Wo es unterstützt wird, bevorzugen Sie Phishing-resistente Verfahren auf Basis der Standards FIDO2 und WebAuthn, einschließlich Passkeys (kryptografische Schlüssel, die an Ihr Gerät gebunden sind, das Passwort vollständig ersetzen und als eigenständige Anmeldemethode funktionieren, nicht nur als zweiter Faktor). Per SMS gesendete Einmalcodes sind der schwächste gängige Faktor, da sie anfällig für SIM-Swapping und Angriffe auf das SS7-Protokoll sind, mit denen SMS-Nachrichten auf Netzwerkebene abgefangen werden können. NIST und CISA raten beide davon ab, sich darauf zu verlassen, wenn stärkere Optionen verfügbar sind.

‍

Sollten Sie Ihre Passwörter regelmäßig ändern?

Nein, zumindest nicht nach einem festen Zeitplan und nicht bei gewöhnlichen Benutzerkonten. NIST rät inzwischen von verpflichtenden regelmäßigen Passwortänderungen für Benutzerpasswörter ab, weil erzwungene Wechsel Menschen zu vorhersehbaren Mustern verleiten (aus Summer2025 wird Summer2026) und dazu, Passwörter aufzuschreiben. Ändern Sie ein Passwort stattdessen dann, wenn es einen Anlass gibt: eine bekannte oder vermutete Kompromittierung, eine Benachrichtigung über eine Datenpanne oder Zugangsdaten, die Sie nicht mehr nachvollziehen können. Selbst wenn Sie „ziemlich sicher sind, dass alles in Ordnung ist“, ist eine bestätigte Offenlegung Grund genug, das Passwort zu ändern. (Hochprivilegierte administrative Zugangsdaten sind eine Ausnahme und werden häufig routinemäßig geändert.)

‍

So teilen Sie Passwörter sicher

Manchmal muss ein Zugang tatsächlich geteilt werden. Dann ist der Übertragungsweg genauso wichtig wie das Passwort. Senden Sie ein Passwort niemals über Slack, E-Mail oder SMS, wo es im durchsuchbaren Verlauf verbleiben, weitergeleitet oder offengelegt werden kann, falls eines der Konten kompromittiert wird. Teilen Sie es stattdessen über die sichere Freigabefunktion eines Passwortmanagers, die die Zugangsdaten verschlüsselt hält und es Ihnen erlaubt, den Zugriff später zu widerrufen. Wenn ein Passwort jemals über Chat oder E-Mail übertragen wurde, behandeln Sie es als offengelegt und ändern Sie es.

‍

Bewährte Vorgehensweisen für Passwörter in regulierten Branchen

Organisationen im Gesundheitswesen, im Rechtswesen und im Finanzsektor tragen eine zusätzliche Verantwortung, da die betreffenden Konten häufig regulierte Daten schützen. Im Gesundheitswesen zählen dazu geschützte Gesundheitsinformationen (PHI, individuell identifizierbare Gesundheitsdaten). Regelwerke legen Erwartungen fest – ein sorgfältiger Umgang mit Zugangsdaten trägt dazu bei, diese zu erfüllen. So verlangt die HIPAA Security Rule beispielsweise Zugriffskontrollen und Authentifizierungsmaßnahmen für Systeme, die PHI verarbeiten – eindeutige Zugangsdaten und MFA sind praktische Wege, diese Anforderungen zu unterstützen. (HIPAA regelt zudem die Beziehungen zu Dienstleistern über ein Business Associate Agreement, kurz BAA – den Vertrag, der einen Dienstleister für den Schutz von PHI in die Verantwortung nimmt.)

‍

Ein Gedanke ist besonders wichtig: Compliance und Sicherheit hängen zusammen, sind aber nicht dasselbe. Eine Passwortrichtlinie kann eine veraltete Checkliste formal erfüllen und dennoch echte Risiken bestehen lassen. Eine Richtlinie, die streng wirkt (häufige erzwungene Änderungen, komplexe Zeichenregeln), kann in der Praxis schwächer sein als eine einfachere, die auf Länge, Einmaligkeit, einem Passwortmanager und MFA aufbaut. Das Ziel eines regulierten Teams ist eine Richtlinie, die sowohl gegenüber Auditoren vertretbar als auch tatsächlich wirksam gegen die heutigen Angriffsmethoden ist. Starke, einzigartige Zugangsdaten, MFA, sicheres Teilen und ein verschlüsselter Tresor unterstützen anerkannte Kontrollen nach Regelwerken wie HIPAA, SOC 2 und ISO 27001, ohne die Benutzerfreundlichkeit zu opfern.

‍

FAQ

‍

Was ist die sicherste Art von Passwort?

Das sicherste Passwort ist ein langes, zufälliges Passwort, das ein Passwortmanager erzeugt und speichert, denn Sie müssen es sich weder merken noch eintippen. Für das eine Passwort, das Sie sich merken müssen, bietet eine Passphrase aus vier bis sieben unzusammenhängenden Wörtern zugleich Länge und Merkbarkeit. In beiden Fällen sollte das Passwort nur für ein einziges Konto verwendet werden.

‍

Welche häufigen Passwörter sollten Sie vermeiden?

Untersuchungen zu kompromittierten Zugangsdaten, etwa die jährliche Analyse von NordPass, stoßen immer wieder auf dieselben Spitzenreiter: 123456, admin und password. In dieselbe Falle tappen einzelne Wörter aus dem Wörterbuch, Namen von Personen oder Haustieren, Firmennamen oder eine Jahreszeit mit anschließender Jahreszahl. Das sind die ersten Versuche eines automatisierten Angriffs, vermeiden Sie sie daher konsequent.

‍

Sind Passwortmanager sicher?

Ja, für nahezu alle ist ein seriöser Passwortmanager deutlich sicherer als die Alternativen: Mehrfachverwendung, schwache Passwörter und Haftnotizen. Der Tresor ist verschlüsselt, und Sie müssen nur ein einziges starkes Master-Passwort (idealerweise eine Passphrase) mit aktivierter MFA schützen. Der Komfort macht es außerdem erst realistisch, für Dutzende Konten starke, einzigartige Passwörter zu verwenden.

‍

Wie lang sollte ein Passwort sein?

Länger ist stärker. NIST empfiehlt für ein Ein-Faktor-Passwort mindestens 15 Zeichen und unterstützt Längen von mindestens 64 Zeichen, während die CISA mindestens 16 Zeichen vorschlägt. Eine Passphrase ist ein einfacher Weg, diese Länge zu erreichen, ohne etwas zu schaffen, das man sich unmöglich merken kann.

‍

Sollten Sie Ihre Passwörter regelmäßig ändern?

Bei normalen Konten nicht nach einem festen Zeitplan. NIST rät von verpflichtenden regelmäßigen Änderungen ab, weil sie vorhersehbare Muster begünstigen. Ändern Sie ein Passwort, wenn es einen konkreten Anlass gibt, etwa eine Benachrichtigung über einen Datenvorfall oder irgendein Anzeichen einer Kompromittierung.

‍

Ist es sicher, Passwörter im Browser zu speichern?

Für wichtige Konten ist ein spezieller Passwortmanager sicherer als der integrierte Speicher Ihres Browsers. Im Browser gespeicherte Passwörter lassen sich von einem verlorenen, gestohlenen oder mit Malware infizierten Gerät unter Umständen leichter auslesen. Nutzen Sie das Angebot des Browsers, Anmeldedaten zu speichern, nur für Konten mit geringem Wert, wenn überhaupt.

‍

Wie sollten Sie ein Passwort mit einer Kollegin oder einem Kollegen teilen?

Nutzen Sie die Funktion zum sicheren Teilen in einem Passwortmanager. Sie hält die Zugangsdaten verschlüsselt und ermöglicht es Ihnen, den Zugriff später zu widerrufen. Senden Sie Passwörter nicht über Slack, E-Mail oder SMS. Wenn ein Passwort jemals über einen dieser Kanäle übermittelt wurde, ändern Sie es.