Sichere Passwörter erstellen und sich gut merken

Ein gutes Passwort muss nicht kryptisch sein: Nach den Empfehlungen des BSI (öffnet in neuem Fenster) entscheiden Länge und Komplexität, und es lässt sich mit einfachen Strategien merken.

Schritt für Schritt

1. Das Ziel kennen: Angreifer nutzen laut BSI (öffnet in neuem Fenster) Werkzeuge, die automatisch Zeichenkombinationen, Wörterbücher samt gängiger Wort-Zahl-Kombinationen und bereits veröffentlichte Zugangsdaten durchprobieren. Deshalb sollte ein Passwort laut BSI bestimmte Qualitätsanforderungen erfüllen und nur für einen Zugang genutzt werden.
2. Eine Merkstrategie wählen: Das BSI nennt mehrere Wege: die Anfangsbuchstaben der Wörter eines Satzes nehmen (optional einzelne Buchstaben durch Zahlen oder Sonderzeichen ersetzen), einen ganzen Satz verwenden, Wörter mit Sonderzeichen verbinden oder zufällig fünf bis sechs Wörterbuchwörter mit Leerzeichen trennen. Die letzte Variante ist laut BSI leicht zu merken und zu tippen, aber schwer zu knacken (BSI (öffnet in neuem Fenster)).
3. Die Länge festlegen: Das BSI beschreibt zwei Varianten. Kurz und komplex: mindestens acht Zeichen aus vier Zeichenarten (Groß- und Kleinbuchstaben, Zahlen, Sonderzeichen). Lang und weniger komplex: mindestens 25 Zeichen. Als Orientierung nennt es 20 bis 25 Zeichen mit zwei Zeichenarten oder 8 bis 12 Zeichen mit vier Zeichenarten (BSI (öffnet in neuem Fenster)).
4. Für WLAN mehr Länge einplanen: Bei Verschlüsselung wie WPA2 oder WPA3 sollte das Passwort laut BSI (öffnet in neuem Fenster) mindestens 20 Zeichen haben, weil Offline-Angriffe ohne Netzverbindung möglich sind.
5. Einen Passwortmanager nutzen: Das BSI rät dazu, damit Ihre verschiedenen Passwörter zu verwalten. Sichern Sie ihn mit einem starken Passwort ab, dann müssen Sie sich nur dieses eine merken und können überall unterschiedliche, starke Passwörter verwenden (BSI (öffnet in neuem Fenster)).
6. Einen zweiten Faktor aktivieren: Bei der Zwei-Faktor-Authentisierung identifizieren Sie sich zusätzlich zum Passwort, etwa per SMS-Code oder TAN-Generator. Laut BSI (öffnet in neuem Fenster) ist das sicherer als Benutzername und Passwort allein; hardware-gestützte Verfahren sollten Sie wenn möglich ergänzend nutzen.

Worauf Sie achten sollten

• Ungeeignete Inhalte: Namen von Familie, Haustier oder Freunden und Geburtsdaten taugen nicht. Auch Tastaturmuster wie "asdfgh" oder "1234abcd" meiden (BSI (öffnet in neuem Fenster)). Manche Anbieter lehnen solche Passwörter über eine „black list“ ab.
• Naive Ergänzungen: Eine einfache Ziffer am Ende oder eines der Zeichen $, !, ?, # am Anfang oder Ende eines simplen Passworts ist laut BSI (öffnet in neuem Fenster) nicht empfehlenswert.
• Umlaute und Sonderzeichen: Verzichten Sie auf Zeichen wie ä, ö, ü, ß oder €. Sie fehlen auf manchen ausländischen Tastaturen oder werden bei nicht deutschsprachigen Diensten anders kodiert (BSI (öffnet in neuem Fenster)).
• Vorgaben der Anbieter: Manche Dienste schreiben bestimmte Zeichen vor oder schließen sie aus. Prüfen Sie diese Regeln beim Anlegen.
• Keine Mehrfachnutzung: Verwenden Sie jedes Passwort nur für einen Zugang, sonst gefährden veröffentlichte Zugangsdaten weitere Konten.

Mehr Hintergrund zum Thema finden Sie im Glossar unter IT-Sicherheit und im Ressort Technik.

Häufige Fragen

Wie merke ich mir ein langes Passwort?

Bilden Sie es aus einem Satz oder aus fünf bis sechs zufälligen Wörtern mit Leerzeichen dazwischen, so das BSI (öffnet in neuem Fenster).

Reichen acht Zeichen?

Nur mit Einschränkung: Laut BSI (öffnet in neuem Fenster) genügen acht Zeichen aus vier Zeichenarten oder drei Zeichenarten mit zusätzlicher Mehr-Faktor-Authentisierung.

Stand: Dieser Beitrag gibt den Stand vom 31.10.2026 wieder.