Ein Passwort kann auf den ersten Blick kompliziert wirken und trotzdem leicht zu erraten sein. Beim Passwort testen zählt deshalb nicht nur die Länge, sondern auch, ob es einzigartig ist, in Datenleaks auftaucht und zu einem bestimmten Dienst passt. Ich zeige, wie Sie diese Punkte sicher prüfen, typische Denkfehler vermeiden und für wichtige Konten bessere Zugangsdaten erstellen.
Diese Prüfungen zeigen, ob ein Passwort wirklich schützt
- Länge: Für wichtige Konten sind 14 bis 16 Zeichen eine sinnvolle persönliche Zielgröße.
- Einzigartigkeit: Jedes Konto braucht ein eigenes Passwort.
- Leaks: Ein bereits veröffentlichtes Passwort sollte sofort ersetzt werden.
- Qualität: Namen, Wörterbuchbegriffe, Tastaturmuster und einfache Zusätze sind schwach.
- Zusatzschutz: Zwei-Faktor-Anmeldung oder Passkeys reduzieren das verbleibende Risiko deutlich.
Passwort testen und die Stärke richtig einordnen
Ein guter Passworttest beantwortet eigentlich drei verschiedene Fragen. Ist die Zeichenfolge schwer zu erraten? Wurde sie bereits bei einem Angriff veröffentlicht? Und erfüllt sie die technischen Vorgaben des jeweiligen Anbieters?
| Prüfung | Worauf es ankommt | Was ein gutes Ergebnis bedeutet |
|---|---|---|
| Länge | Je mehr Zeichen, desto größer der mögliche Suchraum | Mindestens 12, besser 14 bis 16 Zeichen bei wichtigen Konten |
| Zusammensetzung | Keine vorhersehbaren Wörter, Namen oder Muster | Zufällige Zeichenfolge oder ungewöhnliche, lange Wortkombination |
| Einzigartigkeit | Keine Wiederverwendung bei anderen Diensten | Ein Passwort pro Konto |
| Leak-Prüfung | Abgleich mit bekannten veröffentlichten Zugangsdaten | Kein Treffer in einer seriösen Datenbank |
| Anforderungen | Zeichen, Länge und erlaubte Sonderzeichen des Anbieters | Das Passwort wird akzeptiert, ohne unnötig schwache Regeln zu erzwingen |
Eine Anzeige wie „stark“ oder „sehr stark“ ist nur eine Schätzung. Ein Passwort mit 20 Zeichen kann unsicher sein, wenn es aus einem Namen und dem Geburtsjahr besteht. Umgekehrt kann eine lange, zufällig erzeugte Zeichenfolge auch ohne viele Sonderzeichen sehr widerstandsfähig sein.
Welche Merkmale ein starkes Passwort ausmachen
Die Länge ist für mich der wichtigste erste Filter. Das BSI nennt für normale Onlinekonten mindestens acht Zeichen, empfiehlt aber ebenfalls, verfügbare Zeichen zu nutzen und vollständige Wörterbuchbegriffe, Namen sowie Tastaturmuster zu vermeiden. Für E-Mail, Onlinebanking, Cloudspeicher und den Passwortmanager würde ich persönlich deutlich darüber hinausgehen.
Länge schlägt komplizierte Kosmetik
„Sommer2026!“ sieht auf den ersten Blick sicherer aus als ein gewöhnliches Wort. Tatsächlich sind Jahreszahlen, bekannte Begriffe und ein einzelnes Sonderzeichen am Ende typische Varianten, die Angreifer automatisiert ausprobieren. Eine zufällige Folge mit 14 bis 16 Zeichen ist deshalb meist sinnvoller als ein kurzes Passwort mit erzwungenem Zeichenmix.
Gut sind beispielsweise zufällig erzeugte Zeichenfolgen wie q7V!m2R#p9Lx4Tz. Für ein merkbares Hauptpasswort kann auch eine ungewöhnliche Kombination mehrerer Wörter funktionieren, solange sie nicht aus einem bekannten Spruch, einem Liedtext oder persönlichen Informationen besteht.
Einzigartigkeit verhindert Kettenreaktionen
Selbst ein sehr starkes Passwort schützt nicht mehrere Konten gleichzeitig. Wird ein Dienst kompromittiert, probieren Kriminelle die gefundenen Zugangsdaten oft bei E-Mail-, Shopping- oder Streamingkonten aus. Dieses Verfahren nennt sich Credential Stuffing, also das automatisierte Testen gestohlener Kombinationen bei anderen Diensten.
Ein Passwort, das nur einmal verwendet wird, begrenzt den Schaden. Genau deshalb halte ich einen Passwortmanager für deutlich nützlicher als den Versuch, sich zehn leicht abgewandelte Varianten zu merken.
So prüfen Sie ein Passwort sicher auf Datenleaks
Ein Leak-Check prüft nicht, ob ein Passwort theoretisch stark ist, sondern ob es bereits in bekannten veröffentlichten Datensätzen vorkommt. Ein Treffer ist unabhängig von der angezeigten Stärke ein klares Warnsignal. Das Passwort sollte dann nicht weiterverwendet werden, auch wenn es lang und kompliziert aussieht.
Seriöse Prüfung statt beliebiger Onlinegenerator
Geben Sie echte Zugangsdaten niemals in eine unbekannte Website ein. Bei einem seriösen Dienst sollte nachvollziehbar sein, wie die Prüfung funktioniert und ob das vollständige Passwort den eigenen Rechner verlässt. Have I Been Pwned beschreibt für seine Passwortprüfung ein Verfahren mit k-Anonymität. Dabei wird nicht das komplette Passwort übertragen, sondern nur ein kleiner Teil seines kryptografischen Hashes.
Für besonders sensible Konten können Sie die Prüfung auch über einen Passwortmanager oder eine lokale Sicherheitsfunktion vornehmen. Ein negatives Ergebnis bedeutet allerdings nicht, dass ein Passwort garantiert geheim ist. Es zeigt nur, dass es in der verwendeten Datenbank bislang nicht gefunden wurde.
Lesen Sie auch: Wie funktioniert ein Passwortmanager? Sicher einrichten und nutzen
Was ein Treffer praktisch bedeutet
- Ändern Sie das betroffene Passwort sofort beim jeweiligen Dienst.
- Verwenden Sie eine vollständig neue Zeichenfolge, nicht nur eine abgewandelte Version.
- Prüfen Sie, ob dasselbe Passwort bei anderen Konten verwendet wurde.
- Beginnen Sie mit E-Mail, Cloudspeicher, Banking und sozialen Netzwerken.
- Aktivieren Sie anschließend die Zwei-Faktor-Anmeldung, falls sie verfügbar ist.
Besonders wichtig ist die E-Mail-Adresse. Wer Zugriff auf das E-Mail-Konto erhält, kann bei vielen anderen Diensten Passwortänderungen anfordern. Ich sichere diesen Zugang deshalb stärker ab als ein unkritisches Kundenkonto und nutze dort zusätzlich einen zweiten Faktor.
Passwortstärke mit Tools richtig bewerten
Passwortchecker arbeiten meist mit Regeln oder Schätzmodellen. Sie analysieren Länge, Zeichenvielfalt, bekannte Muster und häufige Begriffe. Das ist hilfreich für eine schnelle Einschätzung, ersetzt aber keine Prüfung auf Wiederverwendung oder frühere Leaks.
| Werkzeug | Stärke | Grenze |
|---|---|---|
| Browser- oder Passwortmanager | Erzeugt zufällige Passwörter und erkennt oft schwache oder doppelte Einträge | Die Qualität hängt von den Einstellungen und dem Anbieter ab |
| Lokaler Passwortchecker | Das Passwort kann auf dem eigenen Gerät bleiben | Die Datenbank ist möglicherweise nicht vollständig aktuell |
| Online-Stärkebalken | Schnelle Orientierung zu Länge und Mustern | Ein Balken beweist weder Geheimhaltung noch Leak-Freiheit |
| Leak-Datenbank | Erkennt bereits veröffentlichte Passwörter | Ein fehlender Treffer ist keine Garantie für Sicherheit |
Ein häufiger Fehler besteht darin, ein Passwort mehrfach bei verschiedenen Websites in solche Formulare zu kopieren. Für einen Test genügt ein eigens erzeugtes Beispiel mit ähnlicher Länge und Struktur. Das echte Passwort gehört grundsätzlich nicht in fremde Analysewerkzeuge.
Passwörter für Router und Smart Home gesondert prüfen
Im vernetzten Zuhause geht es nicht nur um Onlinekonten. Router, Kameras, Sprachassistenten, Steckdosen und andere Smart-Home-Geräte werden oft mit voreingestellten Zugangsdaten ausgeliefert. Diese sollten Sie bei der ersten Einrichtung ändern, weil Standardpasswörter bekannt sein können.
Für das WLAN empfiehlt das BSI ein Passwort mit mindestens 20 zusammenhanglosen Zeichen. Ein Passwortmanager kann eine solche Zeichenfolge erzeugen und speichern. Für Besucher ist ein separates Gäste-WLAN sinnvoll, damit fremde Geräte nicht direkt auf Drucker, NAS-Speicher oder andere Geräte im Heimnetz zugreifen können.
Bei Smart-Home-Produkten zählt neben dem Passwort auch der Zustand des Geräts. Fehlende Updates, unsichere Fernzugriffe und alte Router-Firmware können einen starken Zugangsschutz aushebeln. Ich prüfe daher nicht nur das Kennwort, sondern auch Updates, WPA3 oder WPA2 und deaktivierte Standardzugänge.
Was nach dem Test den größten Sicherheitsgewinn bringt
Ein Passworttest ist nur der Anfang. Er liefert einen Hinweis, die eigentliche Verbesserung entsteht durch eine klare Reihenfolge aus Ersetzen, Vereinzelung und zusätzlicher Anmeldung.
- Ersetzen Sie kurze, häufige oder wiederverwendete Passwörter.
- Lassen Sie für neue Konten zufällige Zugangsdaten erzeugen.
- Speichern Sie sie in einem seriösen Passwortmanager.
- Aktivieren Sie Zwei-Faktor-Anmeldung für wichtige Dienste.
- Prüfen Sie nach einem Leak auch die hinterlegte E-Mail-Adresse und aktive Sitzungen.
Ein regelmäßiger erzwungener Passwortwechsel ist nicht automatisch sinnvoll. Wenn ein Passwort lang, einzigartig und nicht kompromittiert ist, bringt ein Wechsel nach einem festen Kalender oft weniger als Mehrfaktor-Authentisierung, aktuelle Software und ein Passwortmanager. Gewechselt werden sollte sofort bei einem Leak, einem Phishingverdacht oder einem Geräteverlust.
Wo Passkeys angeboten werden, können sie eine gute Alternative sein. Dabei wird kein klassisches Passwort eingegeben, sondern die Anmeldung über einen kryptografischen Schlüssel und meist die Gerätesperre bestätigt. Das schützt besonders vor gefälschten Loginseiten, ersetzt aber nicht die Absicherung des Geräts selbst.
Ein kurzer Sicherheitscheck für den Alltag
Wenn Sie heute nur wenige Minuten investieren möchten, beginnen Sie mit Ihrem E-Mail-Konto und dem Router. Prüfen Sie dort die Einzigartigkeit, ersetzen Sie schwache Zugangsdaten und aktivieren Sie den stärksten verfügbaren zweiten Faktor.
Meine wichtigste Faustregel lautet deshalb: lang, einzigartig und nicht veröffentlicht. Ein Passwort muss keinen beeindruckenden Stärkebalken erzeugen, sondern darf für Angreifer nicht vorhersehbar und für andere Konten nicht wiederverwendbar sein.
