Sicheres Passwort erstellen: So baust du dir Passwörter, die stark sind und im Kopf bleiben

Ein sicheres Passwort erstellen, das klingt nach lästiger Pflichtübung: irgendein Kauderwelsch aus Buchstaben, Ziffern und Sonderzeichen tippen, das man sich fünf Minuten später schon nicht mehr merken kann. Kein Wunder, dass die meisten Menschen dann doch wieder bei Sommer2026! oder dem Namen des Haustiers landen. Dabei geht es auch anders. Dieser Artikel zeigt dir, was ein Passwort 2026 tatsächlich sicher macht, welche Fehler am häufigsten passieren und wie du dir mit einer einfachen Methode Passwörter baust, die stark sind und trotzdem im Kopf bleiben.

Was ein Passwort 2026 wirklich sicher macht

Lange galt die Regel: viele verschiedene Zeichentypen, am besten noch mit Sonderzeichen-Ersetzungen wie a zu @ oder o zu 0. Diese Regel ist überholt, und selbst offizielle Stellen wie das amerikanische NIST oder das deutsche BSI haben ihre Empfehlungen längst angepasst. Der Grund: Ersetzungen wie P@ssw0rt! sind keine Sicherheit, sondern ein bekanntes Muster. Genau solche Tricks stehen in jeder Angriffsliste, die Kriminelle beim Passwort-Knacken durchprobieren.

Was tatsächlich zählt, lässt sich auf drei Begriffe reduzieren:

Länge. Jedes zusätzliche Zeichen vervielfacht die Anzahl der Möglichkeiten, die ein Angreifer durchprobieren müsste. Ein Passwort mit 16 bis 20 Zeichen ist mit heutiger Rechenleistung praktisch nicht zu knacken, egal ob es nur aus Buchstaben und Ziffern besteht. Ein kurzes Passwort mit acht kryptischen Sonderzeichen ist dagegen rechnerisch deutlich schwächer, als es aussieht.

Zufall. Ein Passwort ist nur so sicher wie sein Zufallsanteil. Menschen sind schlechte Zufallsgeneratoren: Wir wählen unbewusst Muster, die wir kennen, Namen, Jahreszahlen, Tastaturreihen. Ein wirklich zufälliges Passwort lässt sich nicht erraten, weil es keinem erkennbaren System folgt, auch nicht dem eigenen.

Einzigartigkeit. Jeder Dienst braucht sein eigenes Passwort. Sobald du ein Passwort mehrfach verwendest, reicht ein einziges Datenleck bei irgendeinem Anbieter, damit Kriminelle es bei all deinen anderen Konten automatisiert durchprobieren, ein Vorgehen, das als Credential Stuffing bekannt ist und millionenfach täglich passiert.

Wer diese drei Regeln einhält, hat das Passwort-Problem im Kern gelöst. Die eigentliche Herausforderung ist eine andere: Wie merkt man sich etwas, das lang und zufällig ist?

Die 5 häufigsten Passwort-Fehler

Bevor es um die Lösung geht, lohnt sich der Blick auf das, was in der Praxis am häufigsten schiefgeht. Diese fünf Muster tauchen in praktisch jeder Passwort-Leck-Statistik ganz oben auf:

1. Tastaturmuster. qwertz, 123456 oder asdfgh sehen für das eigene Auge nach Zufall aus, stehen aber ganz oben auf jeder Liste, die Angreifer zuerst durchprobieren. Sie zählen zu den ersten Kandidaten in jedem automatisierten Angriff, weil sie so verbreitet sind.

2. Name plus Jahreszahl. Anna1987 oder Mueller2026 wirken persönlich und damit sicher, sind aber genau deshalb leicht zu erraten. Geburtsjahre, Namen von Kindern oder Haustieren und das aktuelle Jahr lassen sich oft schon aus Social-Media-Profilen ableiten, ganz ohne Hacking-Kenntnisse.

3. Wiederverwendung desselben Passworts. Der wohl teuerste Fehler: ein Passwort für E-Mail, Online-Shop und soziale Netzwerke gleichzeitig. Ein einziges Leck bei irgendeinem dieser Anbieter öffnet dann alle Türen auf einmal.

4. Reine Wörterbuch-Wörter. Einzelne Wörter wie Sonnenschein oder Passwort123 lassen sich mit Wörterbuch-Angriffen in Sekunden durchprobieren, egal wie lang sie sind, solange sie aus vorhersehbaren Sprachbausteinen bestehen.

5. Vorhersehbare Ersetzungsregeln. Wer aus Sommer konsequent S0mm3r! macht, denkt an Sicherheit, folgt aber einem Muster, das längst in jeder Angriffssoftware hinterlegt ist. Ein Zeichen zu ersetzen macht ein schwaches Passwort nicht stark, es macht es nur ein kleines bisschen länger zu knacken.

Allen fünf Fehlern ist eines gemeinsam: Sie entstehen, weil Menschen sich Passwörter ausdenken, statt sie würfeln zu lassen. Genau da setzt die folgende Methode an.

Die Merksatz-Methode Schritt für Schritt

Unser Gehirn ist schlecht darin, sich Zeichenketten zu merken, aber hervorragend darin, sich Bilder und Geschichten zu merken, vor allem, wenn sie absurd sind. Psychologen nennen das den Bildüberlegenheitseffekt. Die Merksatz-Methode nutzt genau das aus: Statt dir eine Zeichenfolge einzuprägen, merkst du dir ein schräges Bild, und aus diesem Bild wird nach einem festen, einfachen Rezept ein starkes Passwort abgeleitet.

Ein Beispiel macht es greifbar. Die Bildergeschichte 😢🦄💡🛁, „Das traurige Einhorn hat eine Idee in der Badewanne", wird nach dem Rezept zu:

Tr4ur1g=E1nh0rn!Id33%B4d3w4nn3-2284A1C1379617

So funktioniert die Ableitung: Die vier Schlüsselwörter der Geschichte (Stimmung, Figur, Handlung, Ort) werden übernommen, einzelne Buchstaben durch ähnlich aussehende Ziffern ersetzt (a wird 4, e wird 3, i wird 1, o wird 0), die Wörter durch Sonderzeichen getrennt und am Ende eine zufällige Zahlenfolge angehängt. Das Ergebnis ist lang, wirkt zufällig, weil es zufällig ist, und lässt sich trotzdem aus dem einprägsamen Bild zurückrekonstruieren.

Der Haken an selbst ausgedachten Merksätzen: Menschen denken sich vorhersehbare Geschichten aus, das Lieblingstier, das Hobby, der letzte Urlaub. Damit ist der Zufall wieder weg, und mit ihm die Sicherheit. Die Geschichte muss also gewürfelt werden, nicht gewählt. Genau dafür haben wir ein kostenloses Werkzeug gebaut.

Die Merksatz-Methode ist bewusst für die wenigen Passwörter gedacht, die du wirklich im Kopf haben musst, allen voran das Master-Passwort deines Passwort-Managers. Für alles andere gibt es eine bessere Lösung.

Passwort-Manager für alle übrigen Konten

Ein Mensch hat im Schnitt weit über hundert Online-Konten, von der E-Mail über den Streaming-Dienst bis zum Online-Shop. Für all diese Konten sich jeweils eine eigene Bildergeschichte auszudenken, ist weder nötig noch praktikabel. Hier übernimmt ein Passwort-Manager die Arbeit: Er generiert für jeden Dienst ein langes, zufälliges, einzigartiges Passwort und merkt es sich für dich, sodass du selbst nur noch ein einziges Master-Passwort brauchst.

Drei bewährte, empfehlenswerte Optionen:

Bitwarden ist kostenlos, Open Source und lässt sich unabhängig prüfen, ein wichtiger Vertrauensfaktor bei einem Werkzeug, das all deine Passwörter verwaltet. Für die meisten privaten Zwecke reicht die kostenlose Version vollständig aus.

Proton Pass kommt vom Anbieter hinter Proton Mail und legt besonderen Wert auf Datenschutz und Ende-zu-Ende-Verschlüsselung, mit gutem Gratis-Einstieg und enger Verzahnung ins übrige Proton-Ökosystem.

1Password ist kostenpflichtig, dafür besonders komfortabel in der Bedienung und ein Klassiker, vor allem für Familien und Teams, die Passwörter sicher teilen wollen.

Die Arbeitsteilung ist damit klar: Ein per Merksatz-Methode gebautes, starkes Master-Passwort schützt den Passwort-Manager, der Passwort-Manager schützt alles andere. Wo immer möglich, kommt zusätzlich die Zwei-Faktor-Authentifizierung dazu, sie macht ein gestohlenes Passwort allein wertlos. Betreibst du selbst eine WordPress-Seite, lohnt sich außerdem ein Blick in unseren Artikel zur WordPress Passwort-Sicherheit, dort geht es um Brute-Force-Schutz, Passwort-Policies für alle Nutzerrollen und Zwei-Faktor-Authentifizierung aus Betreiber-Sicht.

Checkliste zum Abschluss

• Mindestens 16 Zeichen, echte Zufälligkeit statt ausgedachter Muster.
• Für jeden Dienst ein eigenes, einzigartiges Passwort.
• Die wenigen Passwörter, die im Kopf bleiben müssen, per Merksatz-Methode bauen, zum Beispiel mit dem Emoji-Passwort-Generator.
• Alle übrigen Konten einem Passwort-Manager anvertrauen.
• Wo verfügbar: Zwei-Faktor-Authentifizierung zusätzlich aktivieren.

Häufige Fragen