Mobile-Menu

Ändere-dein-Passwort-Tag „123456“ als Passwort ganz vorn

Quelle: dpa 4 min Lesedauer

Anbieter zum Thema

FTAPI Software GmbH

Dass simple Passwörter nicht sicher sind, hat wohl fast jeder schon einmal gehört. Das hält aber viele nicht davon ab, leichtsinnige Zugangsdaten zu verwenden. Anlässlich des Ändere-dein-Passwort-Tages veröffentlichen wir eine Auswertung geleakter Passworter und Tipps, wie es besser geht.

Die häufigsten Passwörter in Deutschland sind nach einer Auswertung geleakter Daten einfache Kombinationen wie „123456“ und „123456789“, die eine Einladung für Hacker darstellen und Sicherheitsrisiken bergen.(Bild: vinnstock - stock.adobe.com)
Die häufigsten Passwörter in Deutschland sind nach einer Auswertung geleakter Daten einfache Kombinationen wie „123456“ und „123456789“, die eine Einladung für Hacker darstellen und Sicherheitsrisiken bergen.
(Bild: vinnstock - stock.adobe.com)

„123456“ war 2025 das hierzulande am häufigsten verwendete Passwort. Die nicht weniger unsichere Reihung „123456789“ belegt den zweiten Platz, wie das Hasso-Plattner-Institut (HPI) mittels im Darknet gefundener, geleakter Datensätze erhoben hat. Auf Platz drei kommt das alternierende „565656“. Es folgen „12345678“ und „hallo123“, das in seiner gefährlichen Schlichtheit mit „lol123“ auf Rang neun harmoniert.

Einladung für Hacker

Anhand der Rangliste demonstriert das HPI zum Europäischen Datenschutztag am 28. Januar, dass immer noch viele Menschen fahrlässig Zahlenreihen, einfache Kombinationen oder Wör­ter, wie „kaffeetasse“ auf dem sechsten Platz oder „passwort“ auf dem achten Platz, nutzen, wenn der jeweilige Dienst dies zulässt. Dies sei eine Einladung für Hacker. Neben diesen häufig verwendeten Passwörtern fänden sich auch viele Kombinationen, mit denen sich Nutzende in falscher Sicherheit wiegen, etwa „Vornamen mit Geburtstagen kombiniert und mit einem Sonderzeichen am Ende garniert“, erklärt das HPI.

Auf den Europäischen Datenschutztag folgt am 1. Februar jeden Jahres der Ändere-dein-Passwort-Tag. Dieser wurde ursprünglich 2012 von einem Autor des US-Online-Magazins „Gizmodo“ ins Leben gerufen, um Verbraucher dazu zu ermutigen, ihre Passwörter regelmäßig zu ändern. Was damals noch ein gut gemeinter Rat war, ist mittlerweile irreführend. Heute sind sich IT-Sicherheitsexperten einig, dass es sinnvoller ist, nicht ständig das Kennwort zu wechseln. Denn in der Praxis zeigte sich, dass Nutzer häufiger schwache Passwörter wählen, wenn sie sie öfter wechseln, um sie sich besser merken zu können. Besser sind sichere Passwörter sowie Passwort-Manager und eine Zwei-Faktor-Authentifizierung. Außerdem sollte für jede Webseite ein anderes, sicheres Passwort gewählt werden.

Ein vermeintlich starkes Passwort für alles – gefährlicher Trend

Doch an dieser Stelle scheint es dem HPI zufolge zu scheitern. Besonders, wenn ein einziges, vermeintlich starkes Passwort für alle Dienste eingesetzt wird. Dies sei ein gefährlicher Trend, der sich an den ausgewerteten Daten eindeutig ablesen lasse. Das Problem: Ein gehackter Dienst öffnet den Cyberkriminellen alle Türen, weil sie erbeutete Zugangsdaten überall ausprobieren.

Tipps für sichere Passwörter

Das HPI rät deshalb:

  • Für jeden Dienst und jeden Account ein anderes, zufälliges Passwort nutzen; also keine Wiederverwendung von gleichen oder ähnlichen Passwörtern bei unterschiedlichen Diensten.
  • Lange Passwörter (mindestens 15 Zeichen) einsetzen; dabei gilt es, alle Zeichenklassen zu benutzen, also Groß- und Kleinbuchstaben, Zahlen sowie Sonderzeichen - aber keine Namen verwenden oder „echte“ Begriffe, die im Wörterbuch stehen.
  • Passwortmanager verwenden; sie machen es leichter, alle diese Regeln einzuhalten.
  • Passwörter bei Sicherheitsvorfällen ändern oder wenn sie die genannten Regeln nicht erfüllen.
  • Zwei-Faktor-Authentifizierung (2FA) aktivieren, wo immer möglich; denn dank eines zweiten Codes, der beim Log-in abgefragt wird, kommen Angreifer bei aktivierter 2FA selbst dann nicht ins jeweilige Konto, wenn sie das Passwort erbeutet haben sollten.

Identity Leak Checker – Sind meine Zugangsdaten geleakt?

Die Auswertung basiert auf geleakten Zugangsdaten, mit denen das HPI seinen Identity Leak Checker füttert, eine Datenbank mit Milliarden gestohlener Online-Identitäten, die im Netz kursieren.

Diese Datenbank lässt sich zum Abgleich kostenlos abfragen. So können Nutzerinnen und Nutzer anhand ihrer E-Mail-Adresse herausfinden, ob Zugangsdaten von ihnen nach einem Datenleck oder Hackerangriff durchs Netz geistern und missbraucht werden könnten.

Passwort-Strategien

Simple Passwörter machen es für Angreifer zu einem Kinderspiel, Konten zu übernehmen und digitale Identitäten zu stehlen. Wie genau man für jeden Online-Dienst oder -Account ein individuelles, starkes Passwort findet, erklärt detailliert auch noch einmal das Bundesamt für Sicherheit in der Informationstechnik (BSI) auf seiner Webseite.

Gleiches gilt für den Umgang mit einem Passwortmanager-Programm oder Passwort-Merksätzen und -Merkblättern sowie der Aktivierung und Nutzung von 2FA.

Regelmäßig ändern ist überholt

In vielen Köpfen fest verankert ist nach wie vor der „Ändere dein Passwort“-Tag am 1. Februar, den ein Blog 2012 ins Leben rief. Seine Botschaft, das periodische, anlasslose Ändern des Pass­worts ist allerdings längst überholt. Ein gutes, starkes Passwort, das ausschließlich für eine einzige Anwendung genutzt wird, kann durchaus einige Jahre lang unverändert bleiben.

Regelmäßige, anlassunabhängige Passwortwechsel führen erfahrungsgemäß dazu, dass zunehmend schwächere Passwörter genutzt werden, erklärt das BSI. Solche periodischen Wechsel sollten deshalb etwa auch Arbeitgeber nicht von ihren Mitarbeitenden fordern oder technisch erzwingen.

Passkeys als Alternative

Als Alternative zu starken Passwörtern in Kombination mit aktivierter 2FA empfiehlt das BSI, einfach auf Passkeys umzusteigen, das immer mehr Dienste anbieten. Dabei handelt es sich um ein sicheres, passwortloses Anmeldeverfahren auf Kryptographie-Basis.

Das Verfahren gilt deshalb als besonders sicher, weil Passkeys – anders als Passwörter – nicht einfach erbeutet, gestohlen oder erraten werden können. Es ist auch nicht möglich, Passkeys zu vergessen, und sie können nicht zu schwach sein, weil sie automatisch generiert werden.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Außerdem ist die Nutzung denkbar einfach: Die jeweilige Webseite oder der jeweilige Dienst fragt zur Anmeldung einen beim Nutzer gespeicherten Kryptoschlüssel ab. Die Authentizität der Abfrage muss dann nur noch verifiziert werden. Das geht bequem per Fingerabdruck, Gesichtsscan oder PIN. Dann wird der private Schlüssel mit seinem Gegenstück, dem öffentlichen Kryptoschlüssel, der beim jeweiligen Dienst liegt, abgeglichen.

Speichern kann man seine Passkeys auf einem Sicherheits-USB-Stick (FIDO2-Unterstützung), in einem (mobilen) Betriebssystem wie Android, iOS/MacOS oder Windows oder auch in kom­patiblen Passwortmanagern, die die universelle, systemübergreifende Nutzung erleichtern. Passwörter und Passkeys lassen sich in solchen Passwortmanagern übrigens problemlos nebeneinander speichern und nutzen.

(ID:50694642)

Weiterführende Inhalte