Das Kernproblem: ein Passwort für alles
Die meisten Menschen haben nicht zu schwache Passwörter, sondern zu wenige: ein gutes, vielleicht zwei Varianten, für Mail, Shop, Streaming, Versicherung, Bank. Bequem — und der Grund, warum ein einziger Klick oder ein Datenleck bei irgendeinem kleinen Anbieter zur Katastrophe wird.
Der Mechanismus heißt Credential Stuffing, wörtlich „Zugangsdaten hineinstopfen“: Wer eine Liste mit E-Mail-Adressen und Passwörtern erbeutet hat, probiert sie automatisiert bei hunderten anderen Diensten aus. Passt das Passwort auch dort, ist das Konto offen — ganz ohne Phishing. Das BSI formuliert die Gegenmaßnahme in einem Satz: für jedes Konto ein eigenes Passwort, und um die zu verwalten, einen Passwort-Manager.
Das BSI stellt im Lagebericht 2025 fest, dass der Anteil der Verbraucher mit sicheren Passwörtern von 53 % (2023) auf 44 % gesunken ist — und mehr als die Hälfte hält das eigene Risiko für „eher gering“ bis „ausgeschlossen“.
Have I Been Pwned: Bin ich schon betroffen?
Ob Ihre E-Mail-Adresse bereits in einem bekannten Datenleck aufgetaucht ist, verrät ein kostenloser Dienst, den Fachleute weltweit nutzen: Have I Been Pwned (englisch, sinngemäß „Wurde ich erwischt?“), betrieben seit 2013 vom australischen Sicherheitsforscher Troy Hunt. Die Seite sammelt die Daten aus öffentlich gewordenen Lecks — am 10. September 2026 waren es 1.035 Dienste mit rund 17,8 Milliarden Adressen. Sie geben Ihre E-Mail-Adresse ein und sehen, bei welchen Diensten sie samt Passwort oder anderen Daten abgeflossen ist.
Ein Treffer heißt nicht, dass Ihr Konto gehackt wurde, sondern dass Ihre Daten bei diesem Anbieter abgeflossen sind — das dortige Passwort gilt als verbrannt, überall, wo Sie es sonst noch nutzen. Die Eingabe Ihrer Adresse ist unbedenklich; E-Mail-Adressen sind keine geheimen Daten. Die Passwort-Manager von Apple, Google und den gängigen Browsern gleichen gespeicherte Passwörter ebenfalls mit Listen bekannter Lecks ab und warnen automatisch.
Passwort-Manager auswählen: die Kriterien
Ein Passwort-Manager ist ein verschlüsselter Tresor. Er erzeugt für jeden Dienst ein eigenes, langes Zufallspasswort, merkt es sich und trägt es beim Anmelden automatisch ein. Sie merken sich nur noch ein einziges: das Master-Passwort für den Tresor. Dazu ein Schutz, den kaum jemand erwartet: Der Manager füllt Ihre Zugangsdaten nur auf der echten Domain aus. Bleibt das Feld auf einer Anmeldeseite leer, obwohl Sie dort ein Konto haben, ist die Seite sehr wahrscheinlich eine Fälschung.
Die Verbraucherzentrale nennt (Stand 09.12.2025) diese Auswahlkriterien:
- Verschlüsselung nach dem Zero-Knowledge-Prinzip: Der Anbieter speichert Ihre Daten so, dass er sie selbst nicht lesen kann. Das steht in den Datenschutzhinweisen und Sicherheitsbeschreibungen — lesen Sie dort nach.
- Speicherort: Lokal auf Ihrem Gerät (volle Kontrolle, aber Sie müssen selbst sichern) oder in der Cloud des Anbieters (bequemer Abgleich zwischen Handy und PC, dafür Vertrauen in den Anbieter nötig).
- Datenschutz: Transparente Datenschutzerklärung, keine unnötige Datensammlung, Ende-zu-Ende-Verschlüsselung beim Abgleich.
- Sicherheitshistorie: Hatte der Anbieter bereits Vorfälle — und wie offen ist er damit umgegangen?
- Zwei-Faktor für den Tresor selbst: Der Manager muss sich zusätzlich absichern lassen, denn er ist Ihr wichtigstes Konto.
Das BSI erlaubt zwei Wege: mindestens acht Zeichen aus vier Zeichenarten — oder mindestens 25 Zeichen, dann darf es einfach gebaut sein. Für das Master-Passwort empfiehlt sich der zweite Weg: ein Satz, den nur Sie kennen und der nirgends steht, etwa „mein erster hund hiess bruno und mochte regen“. Leicht zu merken, praktisch nicht zu erraten. Die Verbraucherzentrale warnt: Ist das Master-Passwort verloren, gibt es eventuell keine Möglichkeit mehr, Ihre Daten wiederherzustellen — schreiben Sie es auf Papier und bewahren Sie es zu Hause an einem sicheren Ort auf, zusammen mit einem Backup der Datenbank.
Bordmittel oder eigenständiges Programm?
Sie besitzen wahrscheinlich schon einen Passwort-Manager, ohne es zu wissen. Apple liefert auf iPhone, iPad und Mac eine eigene App namens „Passwörter“ mit, Android-Handys und der Chrome-Browser nutzen den Google Passwortmanager. Beide erzeugen starke Passwörter, füllen sie automatisch aus, warnen bei bekannten Datenlecks und speichern auch Passkeys. Sie sind kostenlos und schon installiert.
Die Verbraucherzentrale weist allerdings darauf hin, dass im Browser gespeicherte Zugangsdaten von Schadsoftware relativ einfach ausgelesen werden können und eigenständige Programme stärker verschlüsseln und bei Geräteverlust besser schützen. Unsere Einschätzung für Einsteiger: Die Bordmittel sind ein riesiger Fortschritt gegenüber „ein Passwort für alles“ — die Verbesserung, die Sie umsetzen, schlägt die perfekte, die liegen bleibt. Ein eigenständiges Programm lohnt sich in diesen Fällen:
| Ihre Situation | Bordmittel (Apple / Google) | Eigenständiges Programm |
|---|---|---|
| Alle Geräte von einem Hersteller | passt — automatischer Abgleich | möglich, aber nicht nötig |
| Windows-PC und iPhone gemischt | umständlich, Abgleich nur mit Zusatz-Software | passt — läuft überall |
| Passwörter mit Partner oder Familie teilen | eingeschränkt möglich | passt — Familientresore |
| Daten unabhängig von Apple/Google halten | nicht möglich | passt — auch rein lokal |
| Notfallzugang für Angehörige hinterlegen | teilweise (Apple: Nachlasskontakt) | passt — Notfallzugriff üblich |
| Kosten | kostenlos | oft kostenlos oder wenige Euro im Monat; freie Programme vorhanden |
Wir nennen bewusst keine Produkte; die Verbraucherzentrale NRW hat 2025 zehn Passwort-Manager werbefrei verglichen (siehe Quellen).
Passkeys: Anmelden ohne Passwort
Passkeys sind der nächste Schritt, und sie lösen das Phishing-Problem an der Wurzel. Ihr Gerät erzeugt beim Einrichten ein Schlüsselpaar: Der geheime Schlüssel bleibt auf dem Gerät, der öffentliche liegt beim Dienst. Beim Anmelden bestätigen Sie mit Fingerabdruck, Gesicht oder Geräte-PIN. Das BSI erklärt den entscheidenden Vorteil so: Passkeys sind „immun gegen die breite Masse bekannter Phishing-Angriffe“, denn selbst wenn Sie auf einen betrügerischen Link klicken, wird „der geheime Schlüssel niemals preisgegeben“ — die Anmeldung auf der falschen Seite schlägt einfach fehl. Es gibt nichts, was Sie versehentlich eintippen könnten.
Die Passkeys landen im selben Tresor wie Ihre Passwörter — in der Passwörter-App, im Google Passwortmanager oder im eigenständigen Programm — und werden von dort zwischen Ihren Geräten abgeglichen. Das BSI empfiehlt, sie entweder in einer Cloud zu synchronisieren oder lokale Backups anzulegen, damit ein verlorenes Gerät nicht den Zugang kostet. Die Verbreitung wächst: Laut BSI-Lagebericht 2025 nutzen 18 % der Verbraucher Passkeys, 38 % kennen den Begriff. Wo ein Dienst Passkeys anbietet (Kontoeinstellungen, „Sicherheit“), richten Sie ihn ein; das Passwort bleibt meist als Reserve bestehen und sollte einzigartig sein.
Zwei-Faktor: App statt SMS
Wo es noch keinen Passkey gibt, schützt die Zwei-Faktor-Anmeldung (auch 2FA oder Zwei-Faktor-Authentisierung): Nach dem Passwort verlangt der Dienst einen zweiten Nachweis, meist einen sechsstelligen Code — ein gestohlenes Passwort allein nützt dann nichts. Das BSI rät, Zwei-Faktor anzuwenden, „sobald ein Online-Dienst dies ermöglicht“. Bei der Wahl des Verfahrens gibt es eine klare Rangfolge:
- SMS-Code: besser als nichts, aber die schwächste Variante. Die Nummer lässt sich durch Betrug beim Mobilfunkanbieter auf eine fremde SIM übertragen, und wer sich am Handy anmeldet und den Code am selben Handy empfängt, hat laut BSI keine „ausreichende Trennung der Faktoren“.
- Authentifizierungs-App: erzeugt die Codes auf dem Gerät selbst, ohne Mobilfunk, ohne Anbieter dazwischen. Die App zeigt alle 30 Sekunden einen neuen Code. Apples Passwörter-App und viele Manager erzeugen diese Codes ebenfalls.
- Hardware-Schlüssel: ein kleiner USB- oder NFC-Stick, den Sie zum Anmelden antippen. Das BSI betont, dass hardwaregestützte Verfahren „ein hohes Maß an Sicherheit“ bieten — sie sind wie Passkeys an die echte Domain gebunden und deshalb phishing-resistent. Für Einsteiger optional.
Beim Einrichten zeigt jeder Dienst einmalig eine Liste von Wiederherstellungscodes. Sie sind Ihr Ersatzschlüssel, falls das Handy verloren geht oder kaputt ist. Drucken Sie sie aus oder schreiben Sie sie ab und legen Sie sie zu Ihren wichtigen Unterlagen. Das BSI rät zusätzlich, wo möglich mehrere „zweite Faktoren“ zu hinterlegen. Wer das versäumt, sperrt sich im Ernstfall selbst aus.
Einrichten in sechs Schritten — ein Nachmittag
E-Mail-Konto zuerst absichern
Neues, einzigartiges Passwort (ein langer Satz), dann Zwei-Faktor einschalten — in den Kontoeinstellungen unter „Sicherheit“. Wiederherstellungscodes ausdrucken. Das Postfach ist der Generalschlüssel zu allen anderen Konten.
Passwort-Manager wählen und einrichten
Bordmittel aktivieren (Apple: Einstellungen › Passwörter; Android: Google-Konto › Sicherheit › Passwortmanager) oder ein eigenständiges Programm installieren. Master-Passwort festlegen, auf Papier notieren, Zwei-Faktor für den Manager einschalten.
Online-Banking
Ihre Bank nutzt ohnehin zwei Faktoren (App oder TAN-Generator). Prüfen Sie, dass die Freigabe-App nur auf Ihrem Gerät läuft, und legen Sie das Banking-Passwort im Manager ab. Nutzen Sie ausschließlich die App oder ein selbst angelegtes Lesezeichen.
Die wichtigsten zehn Konten umstellen
Shops mit hinterlegter Zahlung, Krankenkasse, Versicherung, Behördenportale, soziale Netzwerke, Streaming. Bei jedem: Passwort vom Manager erzeugen lassen, Passkey einrichten, wo angeboten, Zwei-Faktor einschalten.
Datenleck-Prüfung
E-Mail-Adresse bei Have I Been Pwned eingeben und die Leck-Warnungen des Passwort-Managers durchgehen. Jedes betroffene Passwort ersetzen — auch dort, wo Sie es „nur ähnlich“ verwendet haben.
Den Rest nach und nach
Nicht alles an einem Tag: Bei jedem weiteren Anmelden das alte Passwort durch ein neues aus dem Manager ersetzen. Nach zwei bis drei Monaten ist der Bestand umgestellt, ohne dass es wehgetan hat.
Die Verfahren im Vergleich
| Verfahren | Schutz, wenn das Passwort gestohlen wurde | Schutz vor gefälschter Anmeldeseite | Aufwand je Anmeldung | Reserve bei Geräteverlust |
|---|---|---|---|---|
| Nur Passwort (überall gleich) | keiner — alle Konten offen | keiner | gering | — |
| Nur Passwort (einzigartig, aus Manager) | Schaden auf ein Konto begrenzt | indirekt: Manager füllt auf Fälschung nicht aus | gering | Backup des Tresors |
| Passwort + SMS-Code | gut | gering — Code wird auf Fälschung mit eingegeben, SIM-Betrug möglich | mittel | Ersatz-SIM beim Anbieter |
| Passwort + App-Code | gut | gering — Code kann live abgefischt werden | mittel | Wiederherstellungscodes, App-Backup |
| Passwort + Hardware-Schlüssel | sehr gut | sehr gut — an echte Domain gebunden | gering (antippen) | zweiter Schlüssel, Wiederherstellungscodes |
| Passkey | entfällt — kein Passwort vorhanden | sehr gut — Anmeldung auf Fälschung schlägt fehl | sehr gering (Fingerabdruck) | Cloud-Abgleich oder lokales Backup |
Einordnung auf Grundlage der BSI-Empfehlungen zu Zwei-Faktor-Authentisierung und Passkeys (Stand 10.09.2026). Der Hinweis zu App-Codes betrifft sogenannte Echtzeit-Phishing-Seiten, die den eingegebenen Code sofort weiterreichen — selten, aber möglich; deshalb bleibt die Regel: nie über den Link anmelden.
Angehörigen helfen: Der Nachmittag, der am meisten bringt
Der wirksamste Schutz für ältere Angehörige ist kein Vortrag über Phishing, sondern eine gemeinsame Stunde am Küchentisch, in der Sie die Bordmittel einschalten. Praktische Hinweise:
- Bordmittel statt neues Programm. Ein weiteres Programm ist eine weitere Hürde. Die Passwörter-App auf dem iPhone oder der Google Passwortmanager auf dem Android-Handy sind schon da und füllen automatisch aus — für die meisten Angehörigen völlig ausreichend.
- Das E-Mail-Konto und die Bank zuerst, alles andere später. Zwei Konten an einem Nachmittag sind ein Erfolg; zehn sind eine Überforderung.
- Master-Passwort auf Papier, in einem Umschlag an einem Ort, den beide kennen. Der Zettel zu Hause ist sicherer als jede Merkregel.
- Wiederherstellungscodes zu Ihnen. Bewahren Sie eine Kopie auf. Wenn das Handy verloren geht, rufen die Angehörigen Sie an — nicht die Hotline.
- Die eine Regel verankern: „Wenn das Passwortfeld auf einer Seite leer bleibt, ist die Seite falsch. Dann anrufen.“ Das ist die Phishing-Erkennung, die der Manager den Angehörigen abnimmt.
- Notfallzugang klären. Viele Manager erlauben einen Notfallzugriff für eine Vertrauensperson; Apple bietet den Nachlasskontakt.
Wenn Sie beim Einrichten Unterstützung wünschen — vom sicheren Smartphone über den Passwort-Manager bis zur Zwei-Faktor-Anmeldung für die Eltern — finden Sie unter machichdigital.de/senioren Hilfe aus Köln, in Ruhe erklärt und ohne Fachchinesisch. Weitere Tipps für das Gespräch mit älteren Angehörigen stehen im Abschnitt für Angehörige auf der Startseite.
Häufige Fragen
Ist ein Passwort-Manager nicht selbst ein Risiko — alle Passwörter an einem Ort?
Das Risiko ist real, aber kleiner als die Alternative. Ein Passwort-Manager speichert alles verschlüsselt und gibt es nur mit Ihrem Master-Passwort frei; seriöse Anbieter können Ihre Daten selbst nicht lesen. Die Alternative — ein Passwort für viele Dienste — bedeutet, dass ein einziges Datenleck bei irgendeinem Anbieter alle Ihre Konten öffnet. Das BSI und die Verbraucherzentrale empfehlen Passwort-Manager ausdrücklich. Wichtig: ein langes Master-Passwort, Zwei-Faktor für den Manager selbst und ein Backup.
Reicht der Passwort-Speicher von Apple oder Google?
Für Einsteiger, die nur Geräte eines Herstellers nutzen, ja: Apples Passwörter-App und der Google Passwortmanager erzeugen starke Passwörter, füllen sie automatisch aus, warnen vor bekannten Datenlecks und speichern auch Passkeys. Ein eigenständiges Programm lohnt sich, wenn Sie Windows-PC und iPhone mischen, Passwörter in der Familie teilen oder die Daten unabhängig von einem Konzern halten möchten.
Was ist ein Passkey?
Eine Anmeldung ohne Passwort: Ihr Gerät erzeugt ein Schlüsselpaar, der geheime Teil bleibt auf dem Gerät, der öffentliche liegt beim Dienst. Zum Anmelden bestätigen Sie mit Fingerabdruck, Gesicht oder Geräte-PIN. Laut BSI sind Passkeys immun gegen die breite Masse bekannter Phishing-Angriffe, weil der geheime Schlüssel niemals preisgegeben wird — auch nicht auf einer gefälschten Seite.
Zwei-Faktor per SMS oder per App — was ist besser?
Eine Authentifizierungs-App. SMS-Codes sind besser als nichts, aber sie lassen sich durch Betrug beim Mobilfunkanbieter umleiten und werden auf demselben Gerät empfangen, auf dem Sie sich anmelden — das BSI bemängelt dabei die fehlende Trennung der Faktoren. Eine App erzeugt die Codes auf dem Gerät selbst, ohne Mobilfunknetz. Noch sicherer sind Hardware-Schlüssel und Passkeys, weil sie an die echte Domain gebunden sind.
Was passiert, wenn ich mein Handy mit der Zwei-Faktor-App verliere?
Dafür gibt es die Wiederherstellungscodes, die jeder Dienst beim Einrichten anzeigt. Drucken Sie sie aus und legen Sie sie zu Ihren Unterlagen. Das BSI rät außerdem, wo möglich mehrere zweite Faktoren zu hinterlegen — etwa zusätzlich einen Hardware-Schlüssel oder eine zweite Telefonnummer. Viele Apps sichern ihre Einträge zudem verschlüsselt in der Cloud.
Wie oft sollte ich Passwörter wechseln?
Nicht nach Kalender. Das BSI hat sich 2025 ausdrücklich vom pauschalen Passwortwechsel verabschiedet: Regelmäßige, anlassunabhängige Wechsel führen erfahrungsgemäß zu schwächeren Passwörtern. Wechseln Sie, wenn es einen Anlass gibt — ein Datenleck, ein Phishing-Vorfall, eine verdächtige Anmeldung. Investieren Sie die Energie stattdessen in einzigartige Passwörter, Zwei-Faktor und Passkeys.
- Have I Been Pwned — 1.035 erfasste Datenlecks, 17.811.564.180 Adressen (Stand 10.09.2026); About — betrieben seit 2013 von Troy Hunt, kostenlos
- BSI: Lagebericht 2025, Schutzmaßnahmen von Verbraucherinnen und Verbrauchern — sichere Passwörter 44 % (2023: 53 %), Passkeys 18 % Nutzung / 38 % Bekanntheit, 58 % schätzen ihr Risiko als gering bis ausgeschlossen ein
- BSI: Sichere Passwörter erstellen — mindestens 8 Zeichen aus vier Zeichenarten oder mindestens 25 Zeichen; je Konto ein eigenes Passwort; Passwort-Manager empfohlen
- BSI: „Passwortwechseln war gestern“, Pressemitteilung vom 31.01.2025 — kein anlassloser Passwortwechsel, E-Mail-Konto zuerst, Zwei-Faktor und Passkeys
- BSI: Passkeys — anmelden ohne Passwort — Funktionsweise, „immun gegen die breite Masse bekannter Phishing-Angriffe“, Backup und Cloud-Synchronisation
- BSI: Login-Verfahren — BSI empfiehlt die Nutzung von Passkeys, Pressemitteilung vom 01.10.2024
- BSI: Zwei-Faktor-Authentisierung — SMS auf demselben Gerät ohne ausreichende Trennung der Faktoren, hardwaregestützte Verfahren mit hohem Sicherheitsniveau, mehrere zweite Faktoren hinterlegen
- Verbraucherzentrale: Sind Passwort-Manager sinnvoll?, Stand 09.12.2025 — Auswahlkriterien, Browser-Speicher vs. eigenständige Programme, Master-Passwort, Backups
- Verbraucherzentrale NRW: 10 Passwort-Manager im Vergleich — werbefreie Testübersicht