Zwanzig Jahre lang wurde dieselbe Regel wiederholt: Ein Passwort muss kompliziert sein, einen Grossbuchstaben, eine Zahl und ein Sonderzeichen enthalten und alle drei Monate gewechselt werden. Diese Regel gilt heute als überholt, und zwar von denselben Stellen, die sie einst aufgestellt haben.
Die aktuellen Empfehlungen, insbesondere die massgebende NIST-Publikation zur Authentifizierung (SP 800-63B), sagen fast das Gegenteil. Sie sind einfacher anzuwenden und schützen besser. Hier ist, was sich geändert hat, und was das konkret für ein KMU bedeutet.
Sollte ein Passwort lang oder komplex sein?
Ein Passwort widersteht einem automatisierten Angriff proportional zur Anzahl der Kombinationen, die ein Angreifer ausprobieren muss. Jedes zusätzliche Zeichen multipliziert diese Zahl, während ein einem kurzen Wort hinzugefügtes Sonderzeichen sie nur geringfügig verschiebt.
Vergleichen Sie Kx7#pQ! mit Stuhl Wolke Wirbel Lampe. Das erste wirkt
seriös, ist kurz und Sie werden es sich nicht merken. Das zweite ist eine
Passphrase: vier zusammenhanglose Wörter, sehr lang, sofort einprägsam. Es
ist das zweite, das am besten widersteht.
Zwei Bedingungen sind entscheidend. Die Wörter müssen zufällig gewählt werden, keine bekannte Wendung bilden und auch keinen Satz, der für Sie einen Sinn ergibt. Und die Phrase darf keine Information über Sie enthalten: Vornamen der Kinder, Name des Hundes, Geburtsdatum, Name des Unternehmens. Diese Angaben stehen oft offen in sozialen Netzwerken und in den Listen, die Angreifer als Erstes ausprobieren.
Öffnen Sie ein Buch viermal an einer zufälligen Stelle, nehmen Sie ein Wort pro Seite und fügen Sie sie mit Leerzeichen zusammen. Sie erhalten eine lange, unvorhersehbare Passphrase, die sich nach zwei Wiederholungen einprägt. Beschränken Sie diese Methode auf die zwei oder drei Passwörter, die Sie wirklich auswendig kennen müssen: Ihre Computersitzung und das Master-Passwort Ihres Managers. Alle anderen werden von der Maschine generiert.
Unser Passwort-Tester ermöglicht den Vergleich der beiden Ansätze. Er funktioniert vollständig in Ihrem Browser: Nichts wird übertragen, nichts wird gespeichert.
Vorgeschriebene Regeln bewirken das Gegenteil
Einen Grossbuchstaben, eine Zahl und ein Sonderzeichen zu verlangen, wirkt
umsichtig. In der Praxis erzeugt diese Regel erstaunlich einheitliche
Passwörter. Der Grossbuchstabe steht am Anfang, die Zahl und das
Sonderzeichen am Ende, und man erhält die Familie Passwort2026!,
Willkommen2026!, Unternehmen2026!. Angriffswerkzeuge kennen diese
Muster genau und probieren sie als Erstes aus.
Die Regel hat einen zweiten, noch schädlicheren Effekt: Sie macht Passwörter mühsam zu merken, sodass Menschen sie aufschreiben. In einem Heft, in einer Datei, auf einem Etikett unter der Tastatur. Die Vorschrift, die die Sicherheit stärken sollte, schwächt sie am Ende.
Der erzwungene periodische Wechsel leidet unter demselben Fehler.
Gezwungen, alle drei Monate zu wechseln, erfindet ein Mitarbeiter sein
Passwort nicht neu, sondern lässt es abwandeln. Fribourg2026-1 wird zu
Fribourg2026-2. Ein Angreifer, der das alte erlangt hat, errät das neue
mühelos.
| Thema | Alte Regel | Aktuelle Empfehlung |
|---|---|---|
| Länge | 8 Zeichen | So lang wie möglich, eine Phrase anstreben |
| Zusammensetzung | Grossbuchstabe, Zahl, Sonderzeichen vorgeschrieben | Keine Vorschrift, völlige Freiheit |
| Wechsel | Alle 60 bis 90 Tage | Nur bei einer Datenpanne oder einem Verdacht |
| Einzigartigkeit | Selten erwähnt | Der wichtigste Punkt von allen |
| Überprüfung | Keine | Abgleich mit Listen geleakter Passwörter |
Die echte Gefahr ist die Wiederverwendung
Das ist der Punkt, den die meisten Unternehmensleiter unterschätzen. Die Stärke eines Passworts spielt eine viel geringere Rolle als die Anzahl der Orte, an denen es verwendet wird.
Der Mechanismus ist einfach. Irgendein Online-Shop wird gehackt, und seine Datenbank mit Zugangsdaten gerät in Umlauf. Programme spielen dann automatisch jedes Adress-Passwort-Paar bei Hunderten von Diensten durch: geschäftliche Postfächer, Online-Banking, Fachanwendungen, Fernzugriffe. Man nennt das Credential Stuffing. Der Angreifer hat bei Ihnen nichts aufgebrochen, er hat sich einfach angemeldet.
Die Stärke Ihres geschäftlichen Passworts hängt von der am schlechtesten geschützten Seite ab, auf der Sie es eingegeben haben. Ein Forum, ein Online-Shop, ein seit Jahren aufgegebener Dienst: Wenn einer davon leckt, fällt Ihr geschäftliches Postfach mit. Einzigartigkeit pro Dienst ist keine Feinheit, sie ist die wichtigste Massnahme.
So beginnt häufig eine Kompromittierung des geschäftlichen Postfachs, die wiederum zu Überweisungsanfragen an Ihre Buchhaltung führt. Um zu prüfen, ob Ihre Adressen bereits in bekannten Datenpannen auftauchen, nutzen Sie unser Tool zur Prüfung auf Passwortlecks. Das Risiko steigt weiter, wenn diese Zugangsdaten von einem privaten Computer oder einem öffentlichen WLAN aus eingegeben werden, eine Situation, die unser Artikel zu Homeoffice und mobilen Geräten behandelt.
Ist ein Passwort-Manager zu riskant?
Niemand kann sich vierzig unterschiedliche Passphrasen merken. Ein Passwort-Manager ist ein verschlüsselter Tresor, der sie für Sie speichert, sie zufällig generiert und automatisch in Formulare einträgt. Sie merken sich nur noch ein einziges Passwort: dasjenige, das den Tresor öffnet.
Der Einwand kommt regelmässig, und er ist berechtigt: Schafft das Zusammenlegen aller Passwörter an einem Ort nicht einen einzigen Ausfallpunkt? Technisch gesehen: ja. Aber der ehrliche Vergleich erfolgt nicht mit einem fehlerfreien Gedächtnis, sondern mit der tatsächlichen Lage: drei Passwörter, die auf dreissig Diensten wiederverwendet werden, eine Tabelle namens «Zugänge» auf einem Netzlaufwerk und per E-Mail ausgetauschte Zugangsdaten.
Der Manager konzentriert das Risiko, aber er konzentriert es an einem Ort, der dafür ausgelegt ist: Inhalte, die auf Ihrem Gerät verschlüsselt sind, ein Anbieter, der Ihre Daten nicht lesen kann, ein durch eine zweite Überprüfung geschützter Zugang. Drei Vorsichtsmassnahmen machen diese Entscheidung vernünftig.
- Eine lange Master-Passphrase, die nirgendwo sonst verwendet wird.
- Zwei-Faktor-Authentifizierung auf dem Tresor aktiviert, ohne Ausnahme.
- Ein ausgedruckter und physisch aufbewahrter Wiederherstellungsschlüssel, ausserhalb des Systems.
Ein automatisches Ausfüllen bringt übrigens einen unerwarteten Vorteil: Der Manager schlägt Ihre Zugangsdaten nur auf der exakten Domain vor, der sie zugeordnet sind. Auf einer Phishing-Seite, die Ihre Bank imitiert, bleibt das Feld leer. Dieses Schweigen ist ein nützliches Warnsignal, wie unser Artikel zu Phishing erklärt.
Wie geht ein KMU mit geteilten Passwörtern um?
Jedes KMU hat seine Gemeinschaftskonten: Zugang zur Website, das Social-Media-Konto, das Lieferantenportal, die info@-Adresse. Sie kursieren meist per Nachricht, landen in einem geteilten Dokument, und niemand weiss mehr genau, wer sie kennt. Wenn eine Mitarbeiterin oder ein Mitarbeiter geht, bleiben sie unverändert.
Drei Schritte reichen aus, um die Lage zu bereinigen.
Die gemeinsame Nutzung abschaffen, wo möglich. Viele Dienste bieten individuelle Konten mit unterschiedlichen Rollen und Rechten an. Das ist immer vorzuziehen: Jede Handlung ist zurechenbar, und der Weggang einer Person wird durch Deaktivieren ihres Zugangs erledigt, ohne die anderen zu stören.
Über den Tresor teilen, wenn das nicht möglich ist. Professionelle Manager bieten Team-Ordner an. Das Passwort wird zur Verfügung gestellt, ohne offengelegt zu werden, der Zugriff wird mit einem Klick gewährt und entzogen, und Sie verfügen über die Liste der betroffenen Personen.
Weggänge als Sicherheitsereignis behandeln. An dem Tag, an dem jemand das Unternehmen verlässt, werden die individuellen Zugänge deaktiviert und die geteilten Passwörter, die diese Person kannte, erneuert. Das ist auch meist der Moment, in dem das Ausmass des Problems sichtbar wird. Das Spiegelbild dieser Liste findet bei der Einstellung statt: Das ist der beste Moment, um die richtigen Reflexe einzuführen, wie unser Artikel zum Einstieg neuer Mitarbeitender erklärt.
Selbst ein perfektes Passwort kann durch Phishing gestohlen werden. Die Zwei-Faktor-Authentifizierung, die eine Bestätigung auf Ihrem Telefon verlangt, blockiert die überwiegende Mehrheit betrügerischer Anmeldungen. Aktivieren Sie sie vorrangig für das Postfach, das Online-Banking, Fernzugriffe und den Manager selbst. Diese vier Konten kontrollieren alle anderen.
Wo die Arbeit übersteigt, was man allein leisten kann
Einen Manager auszuwählen, zu installieren und das Team zu schulen, liegt vollkommen im Rahmen eines KMU. Rechnen Sie mit einem halben Tag, und das Ergebnis wehrt bereits die Mehrheit der automatisierten Angriffe ab. Verzichten Sie nicht auf diesen Gewinn nur, weil der Rest unvollkommen ist.
Die eigentliche Schwierigkeit liegt anderswo. Sie beginnt, wenn der bestehende Bestand aufgearbeitet werden muss. Wie viele Konten besitzt Ihr Unternehmen tatsächlich? Niemand weiss es genau, und das ist normal. Da sind die Dienste, die ein vor drei Jahren ausgeschiedener Mitarbeiter abonniert hat, die Zugänge, die ein Dienstleister bei einem abgeschlossenen Projekt eingerichtet hat, die technischen Konten, die bei der Installation einer Software angelegt und seither nie mehr angefasst wurden, die sekundären Postfächer, die Zugänge zu Verwaltungsportalen.
Genau diese vergessenen Konten bereiten Probleme, gerade weil sie vergessen sind. Sie stehen in keinem Verfahren, niemand überwacht ihre Anmeldungen, und sie behalten oft alte, schwache und wiederverwendete Passwörter. Ein Manager, der auf den zwanzig Konten eingeführt wird, an die man sich erinnert, lässt die anderen vierzig unangetastet.
Diesen Bestand aufzunehmen, zu bestimmen, wer auf was zugreift, zu schliessen, was nicht mehr benötigt wird, und zu prüfen, ob die gewährten Rechte den tatsächlichen Funktionen entsprechen, ist methodische Arbeit. Wenige KMU führen das ohne Hilfe zu Ende, nicht aus Nachlässigkeit, sondern weil es erfordert zu wissen, wo man suchen muss. Die hier beschriebenen Massnahmen bilden ein solides Fundament, sie ersetzen diese Überprüfung Ihrer eigenen Situation nicht.
Um Ihr Gesamtniveau einzuschätzen, widmet der Cyber-Check-up mehrere Fragen den Zugängen. Die weiteren Prioritäten sind in den 10 wesentlichen Massnahmen und im Themenbereich Bewährte Praktiken zusammengefasst.