Wenn wir in Betrieben die IT-Sicherheit unter die Lupe nehmen, finden wir die kritischste Schwachstelle selten in der Firewall und fast immer an derselben Stelle: bei den Passwörtern. Da ist das Muster „Firmenname plus Jahreszahl plus Rufzeichen“, das die Passwort-Richtlinie formal erfüllt und praktisch wertlos ist. Da ist das eine gute Passwort, das dafür überall verwendet wird – im Firmen-Login genauso wie im Webshop, der letztes Jahr gehackt wurde. Da ist die Excel-Liste namens „Passwörter.xlsx“ am Server, der Zettel unter der Tastatur, das Sammelkonto „buero“, dessen Zugangsdaten das halbe Team kennt, inklusive zweier Personen, die längst nicht mehr im Unternehmen sind. Nichts davon ist böser Wille – es ist die natürliche Folge davon, dass Menschen sich Dutzende Zugänge merken sollen, was schlicht nicht funktioniert. In diesem Beitrag räumen wir mit veralteten Passwort-Mythen auf und zeigen die drei Maßnahmen, die das Problem tatsächlich lösen: richtige Passwörter, ein Passwortmanager und Mehrfaktor-Authentifizierung.
Wie Passwörter wirklich geknackt werden
Um zu verstehen, was schützt, muss man verstehen, wie angegriffen wird – und das hat mit dem Filmklischee des ratenden Hackers wenig zu tun.
Der häufigste Weg ist der unspektakulärste: Das Passwort wird gar nicht geknackt, sondern ist bereits bekannt. Bei unzähligen Datenpannen der letzten Jahre wurden Milliarden von Zugangsdaten erbeutet und kursieren in riesigen Sammlungen. Angreifer probieren diese Kombinationen automatisiert bei allen möglichen Diensten durch – das nennt sich Credential Stuffing, und es funktioniert genau deshalb so gut, weil Menschen Passwörter wiederverwenden. Wer sein E-Mail-Passwort auch im gehackten Online-Forum von 2019 benutzt hat, dessen Postfach steht faktisch offen, ganz ohne Rechenaufwand. Deshalb ist die Wiederverwendung – nicht die Kürze – die gefährlichste Passwort-Sünde überhaupt.
Der zweite Weg ist das systematische Durchprobieren, allerdings nicht zeichenweise ins Blaue, sondern intelligent: Angriffswerkzeuge arbeiten mit Wörterbüchern, bekannten Passwortlisten und Mustern. Sie wissen, dass Menschen ans Ende eine Jahreszahl und ein Rufzeichen hängen, dass aus dem „a“ gern ein „@“ wird und aus dem „i“ eine „1″. „S0mmer2026!“ ist für einen Menschen mühsam zu tippen und für eine Maschine eine Sache von Augenblicken – es folgt exakt den Mustern, auf die die Werkzeuge optimiert sind. Was Maschinen dagegen wirklich Probleme bereitet, ist schiere Länge: Jede zusätzliche Stelle vervielfacht den Aufwand. Eine Passphrase aus vier, fünf zufälligen Wörtern – etwa „KorrektPferdBatterieKlammer“ in abgewandelter, eigener Form – ist leichter zu merken und um Größenordnungen widerstandsfähiger als jedes kurze Sonderzeichen-Kunstwerk.
Und der dritte Weg ist Phishing: Das beste Passwort nützt nichts, wenn es freiwillig auf einer gefälschten Login-Seite eingetippt wird. Diesem Weg widmen wir einen eigenen Beitrag – hier nur so viel: Gegen Phishing hilft kein noch so gutes Passwort, sondern nur der zweite Faktor, zu dem wir gleich kommen.
Aus alledem folgen die modernen Passwortregeln, die übrigens auch offizielle Stellen inzwischen so empfehlen – und die mit manch liebgewonnener Firmenrichtlinie brechen: Länge schlägt Komplexität. Jeder Dienst bekommt sein eigenes Passwort, ausnahmslos. Und der erzwungene Passwortwechsel alle 90 Tage gehört abgeschafft – er produziert nachweislich schwächere Passwörter mit hochgezählter Endziffer, statt Sicherheit zu schaffen. Gewechselt wird anlassbezogen: bei Verdacht auf Kompromittierung, sofort und konsequent.
Der Passwortmanager: die einzige realistische Lösung
Nun die unbequeme Konsequenz aus diesen Regeln: Dutzende lange, einzigartige Passwörter kann sich kein Mensch merken. Das ist keine Schwäche der Mitarbeiter, sondern eine Tatsache – und jede Sicherheitsstrategie, die dagegen anrennt, erzeugt genau die Zettel und Excel-Listen, die sie verhindern wollte. Die Lösung ist seit Jahren etabliert und heißt Passwortmanager: ein Programm, das sämtliche Zugangsdaten verschlüsselt in einem Tresor verwahrt, für jeden Dienst auf Knopfdruck ein langes Zufallspasswort erzeugt und es beim Anmelden automatisch einträgt. Der Mensch merkt sich genau noch ein einziges, wirklich gutes Master-Passwort – den Schlüssel zum Tresor.
Die Vorteile gehen über die Bequemlichkeit hinaus. Erstens werden starke, einzigartige Passwörter vom Vorsatz zur Selbstverständlichkeit, weil sie keinerlei Merkaufwand mehr kosten. Zweitens hilft der Manager sogar gegen Phishing: Er trägt Zugangsdaten nur auf der echten, gespeicherten Adresse ein – auf der täuschend ähnlichen Fälschung bleibt das Feld leer, was ein deutliches Warnsignal ist. Und drittens löst ein Passwortmanager auf Unternehmensebene ein Problem, das sonst kaum sauber lösbar ist: das Teilen von Zugängen. In jedem Betrieb gibt es gemeinsam genutzte Konten – das Behördenportal, der Social-Media-Zugang, der Zugang zum Lieferantenshop. Eine Team-Lösung verwaltet solche Zugänge in gemeinsamen, rechtegesteuerten Tresoren: Wer neu kommt, bekommt Zugriff auf die passenden Bereiche; wer geht, verliert ihn zentral mit einem Klick – statt dass man hoffen muss, dass sich niemand die Excel-Liste kopiert hat. Beim Ausscheiden eines Mitarbeiters werden die betroffenen geteilten Passwörter rotiert, und der Vorgang ist dokumentiert. Genau diese Nachvollziehbarkeit ist übrigens auch das, was Prüfer und Versicherer zunehmend sehen wollen – Stichwort Cyberversicherung und die kommenden Anforderungen aus dem NISG 2026.
Bleibt der Einwand, den wir jedes Mal hören: „Und wenn der Passwortmanager gehackt wird – dann ist doch alles auf einmal weg?“ Die Sorge ist verständlich, führt aber zur falschen Abwägung. Seriöse Lösungen verschlüsseln den Tresor so, dass ihn ohne das Master-Passwort auch der Anbieter selbst nicht öffnen kann; abgesichert wird das Ganze zusätzlich mit einem zweiten Faktor. Verglichen wird ja nicht mit einer perfekten Welt, sondern mit der Realität aus wiederverwendeten Passwörtern, Zetteln und ungeschützten Listen – und gegen diese Realität ist der Passwortmanager kein zusätzliches Risiko, sondern der Ausweg. Wichtig sind zwei Dinge: ein wirklich starkes, nirgendwo sonst verwendetes Master-Passwort (die ideale Passphrase!) und ein geordnetes Verfahren für den Notfall, damit der Zugang zum Tresor bei Ausfall einer Person nicht verloren ist.
Mehrfaktor-Authentifizierung: das Sicherheitsnetz unter allem
Die dritte Säule ist zugleich die wirksamste Einzelmaßnahme der gesamten IT-Sicherheit: Mehrfaktor-Authentifizierung, kurz MFA. Das Prinzip: Zum Passwort (etwas, das man weiß) kommt ein zweiter Faktor (etwas, das man hat) – typischerweise eine Bestätigung per App am Smartphone, ein zeitbasierter Einmalcode oder ein physischer Sicherheitsschlüssel. Die Wirkung ist fundamental: Selbst wenn ein Passwort abgephisht, erraten oder aus einem Datenleck gezogen wurde, scheitert der Angreifer an der zweiten Hürde. Die großen Plattformbetreiber berichten seit Jahren übereinstimmend, dass MFA die überwältigende Mehrheit automatisierter Kontoübernahmen schlicht verhindert.
Für die Praxis im Unternehmen heißt das: MFA gehört verpflichtend auf alle Zugänge, deren Übernahme wehtun würde – allen voran E-Mail (das Postfach ist der Generalschlüssel, über den sich fast jedes andere Passwort zurücksetzen lässt), Fernzugänge und VPN, Cloud-Dienste, Online-Banking und sämtliche Administrationszugänge. Bei der Wahl der Methode gilt: App-basierte Verfahren und Sicherheitsschlüssel sind SMS-Codes vorzuziehen, die als schwächste Variante gelten – aber jede MFA ist um Welten besser als keine. Der Einrichtungsaufwand pro Dienst liegt bei Minuten, die Bedienung im Alltag bei Sekunden; gemessen an der Schutzwirkung ist das das beste Verhältnis, das die IT-Sicherheit zu bieten hat. Und ein organisatorischer Hinweis aus der Praxis: Bei der Einrichtung fallen Wiederherstellungscodes an – die gehören sicher verwahrt (etwa im Passwortmanager oder physisch im Safe), sonst wird der verlorene Zweitfaktor zum Selbst-Aussperren.
Am Horizont zeichnet sich übrigens die nächste Stufe ab: Passkeys, ein Verfahren, bei dem klassische Passwörter ganz durch kryptografische Schlüssel auf den eigenen Geräten ersetzt werden – phishing-resistent und komfortabel. Immer mehr Dienste unterstützen das bereits; wo verfügbar, lohnt sich der Umstieg. Bis dahin bleibt die Kombination aus Passwortmanager und MFA der Goldstandard.
Der Fahrplan für Ihren Betrieb
Zum Schluss das Ganze als umsetzbare Reihenfolge: Erstens MFA aktivieren, beginnend bei E-Mail, Fernzugängen und Verwaltungskonten – das ist der größte Sicherheitsgewinn pro investierter Stunde. Zweitens einen Passwortmanager im Team einführen: Lösung auswählen, Tresore und Rechte strukturieren, Mitarbeiter kurz einschulen und die Zugänge nach und nach überführen – beginnend mit den kritischen. Drittens dabei aufräumen: Sammelkonten wo möglich durch persönliche Konten ersetzen, Altlasten und Zugänge ehemaliger Mitarbeiter stilllegen, offensichtlich wiederverwendete Passwörter ersetzen. Und viertens die Regeln schriftlich festhalten – kurz und lebbar: Länge statt Zwangskomplexität, kein Passwort doppelt, kein Zettel, kein Excel, Wechsel nur bei Anlass, und wie der On- und Offboarding-Prozess für Zugänge abläuft. Das ist an einem überschaubaren Projekttag aufgesetzt – und verändert das Sicherheitsniveau des Betriebs dauerhaft mehr als jede einzelne Hardware-Anschaffung.
Fazit
Das Passwortproblem ist kein Disziplinproblem der Mitarbeiter, sondern ein Systemproblem – und es hat eine erprobte Systemlösung: lange Passphrasen statt Sonderzeichen-Akrobatik, ein Passwortmanager, der einzigartige Passwörter zur Selbstverständlichkeit macht und das Teilen wie das Ausscheiden von Mitarbeitern sauber regelt, und Mehrfaktor-Authentifizierung als Sicherheitsnetz, das gestohlene Passwörter entwertet. Zusammen kosten diese Maßnahmen wenig, sind in kurzer Zeit eingeführt – und schließen den Angriffsweg, über den die meisten Unternehmen tatsächlich kompromittiert werden.
