Starke Passwörter und Passwort-Manager: das Problem ein für alle Mal lösen

Räumen wir zuerst mit dem wichtigsten Missverständnis auf: Angreifer „erraten" Passwörter in der Regel nicht, indem sie auf Ihre Login-Maske starren. Sie nehmen Passwortdatenbanken aus großen Datenlecks — davon gibt es Milliarden Einträge; prüfen Sie sich selbst auf haveibeenpwned.com — und probieren sie automatisiert auf Hunderten anderer Websites aus. Das nennt sich Credential Stuffing. Wenn Sie dasselbe Passwort für E-Mail, Facebook und Ihr WordPress-Backend verwenden, muss es nur bei der schwächsten Website leaken, und alle anderen fallen mit.

Was ein Passwort stark macht (und was nicht)

Vergessen Sie die Regel „Großbuchstabe, Zahl und Sonderzeichen" — P@ssw0rd1! erfüllt sie alle, und ein Cracking-Tool knackt es in Sekunden, weil genau diese Ersetzungen ganz oben auf der Liste stehen. Entscheidend sind Länge und Zufälligkeit:

• Ein Passwort mit 8 Zeichen, egal wie „komplex", lässt sich auf moderner Hardware in Stunden per Brute Force knacken.
• Ein zufälliges Passwort mit 16+ Zeichen ist praktisch unknackbar — wir sprechen von Milliarden Jahren.
• Wenn Sie sich ein Passwort merken müssen, nehmen Sie eine Passphrase aus 4–5 zufälligen Wörtern: „Straßenbahn-Kissen-Zitrone-Norden" ist länger und leichter zu merken als „Kr7#mQ2!".
• Die wichtigste Regel überhaupt: ein Passwort = ein Konto. Ohne Ausnahme.

Der Passwort-Manager: das Werkzeug, das all das einfach macht

Niemand kann sich 80 verschiedene zufällige Passwörter merken — und niemand muss das. Ein Passwort-Manager (Bitwarden, 1Password, KeePassXC) merkt sie sich für Sie, verschlüsselt hinter einem einzigen Master-Passwort, dem einzigen, das Sie kennen müssen. Obendrein: Er generiert zufällige Passwörter per Klick, füllt sie im Browser automatisch aus, synchronisiert zwischen Rechner und Smartphone und warnt Sie, wenn eines Ihrer Passwörter in geleakten Datenbanken auftaucht. Bitwarden ist Open Source und in allen Grundfunktionen kostenlos — null Kosten, enormer Gewinn.

Aber ist es sicher, alles an einem Ort zu speichern?

Ein berechtigter Einwand. Die Antwort lautet ja, denn Manager arbeiten mit einer Zero-Knowledge-Architektur — Ihre Passwörter werden mit Ihrem Master-Passwort verschlüsselt, bevor sie Ihr Gerät verlassen, sodass nicht einmal der Dienst selbst sie lesen kann. Die realistische Alternative ist nicht „Passwörter an hundert Orten", sondern drei Varianten desselben schwachen Passworts überall. Machen Sie das Master-Passwort zu einer langen Passphrase, aktivieren Sie 2FA für den Manager selbst — und hüten Sie dieses eine Konto wie Ihren Haustürschlüssel.

Was das für Ihre Website bedeutet

Als Website-Betreiber haben Sie eine Handvoll Konten, deren Kompromittierung eine Katastrophe bedeutet: Hosting-Panel, Domain-Registrar, WordPress-Admin, geschäftliche E-Mail und FTP/Datenbank. Für jedes davon: ein zufälliges Passwort mit 20+ Zeichen aus dem Manager, plus 2FA, wo immer verfügbar. Brute-Force-Versuchen auf Ihrer Login-Seite müssen Sie ohnehin nicht allein begegnen — unsere Hosting-Tarife enthalten eine WAF, die automatisierte Angriffe blockiert, bevor sie Ihre Website erreichen, und unser WordPress-Hosting ergänzt tägliche Backups für den Fall, dass alles andere versagt. Eine Stunde, um den Manager einzurichten und die wichtigsten Passwörter zu ändern — vermutlich die am besten investierte Stunde in die Sicherheit Ihres Unternehmens in diesem Jahr.