In diesem Kapitel
01Die Tür, durch die Angriffe am häufigsten kommen, ist ein Passwort
In Filmen sind Cyberangriffe schwarze Bildschirme voller Code und jemand, der ein System in wenigen Sekunden «knackt». In der Wirklichkeit eines Geschäfts, einer Kanzlei oder eines kleinen Unternehmens ist der häufigste Angriff viel weniger spektakulär: Jemand kommt mit dem Schlüssel herein. Ein erratenes Passwort, ein Passwort, das von einer anderen Website gestohlen wurde, ein Passwort, das man unbemerkt auf einer gefälschten Seite eingegeben hat.
Eine Szene, die sich oft wiederholt. Der Inhaber eines Geschäfts verwendet seit Jahren dasselbe Passwort für die E-Mail, für die Verwaltungssoftware und für die Website, auf der er Ware bestellt. Eines Tages wird diese Lieferanten-Website gehackt, und die Liste der Nutzer wird zum Verkauf angeboten. Niemand benachrichtigt den Inhaber. Ein paar Wochen später meldet sich jemand in seinem E-Mail-Postfach an, liest die Rechnungen und schreibt den Kunden mit einer geänderten IBAN. Niemand hat etwas «geknackt»: Der Schlüssel war für alle Türen derselbe.
Die vier häufigsten Techniken
- Phishing. Eine E-Mail, eine SMS oder eine Nachricht, die die Bank, den Paketdienst, den Lieferanten oder den E-Mail-Anbieter nachahmt und auf eine Seite führt, die genauso aussieht wie die echte und auf der man das Passwort eingibt. Darüber schreibe ich auch im Kapitel über die professionelle geschäftliche E-Mail, denn die Verteidigung beginnt beim Postfach.
- Credential Stuffing, das «Befüllen mit Zugangsdaten»: Wer die Liste mit E-Mails und Passwörtern einer Website gestohlen hat, probiert sie automatisch bei Hunderten anderer Dienste aus. Das funktioniert, weil viele Menschen dasselbe Passwort mehrfach verwenden.
- Password Spraying: Statt tausend Passwörter bei einem Konto auszuprobieren, probiert man ein sehr verbreitetes, etwa den Firmennamen gefolgt von der Jahreszahl, bei allen Konten der Organisation.
- Erratene Passwörter: Geburtsdaten, Namen der Kinder, der Name des Geschäfts, «Sommer2026!». Ein Programm probiert sie in wenigen Sekunden aus, ausgehend von dem, was in den sozialen Netzwerken zu finden ist.
Um herauszufinden, ob eine Ihrer E-Mail-Adressen in einem bekannten Datenleck aufgetaucht ist, gibt es einen öffentlichen und kostenlosen Dienst, Have I Been Pwned: Sie geben die Adresse ein und erfahren, in welchen gestohlenen Listen sie vorkommt. Lautet die Antwort ja, gilt das auf dieser Website verwendete Passwort als öffentlich und muss überall geändert werden, wo es dasselbe war.
02Passwörter: Die Regeln haben sich geändert
Jahrelang hat man uns beigebracht, dass ein sicheres Passwort einen Großbuchstaben, eine Zahl und ein Sonderzeichen haben und alle drei Monate geändert werden muss. Das Ergebnis ist für alle sichtbar: kurze, vorhersehbare Passwörter, auf einen Klebezettel geschrieben und geändert, indem man am Ende eine Zahl anhängt. Aus «Thomas2025!» wird «Thomas2026!».
Die Richtlinien des NIST, des US-amerikanischen Instituts, das die weltweit als Referenz genutzten Standards zur digitalen Identität schreibt, sagen in der 2025 veröffentlichten endgültigen Fassung etwas ganz anderes:
- Die Länge zählt: mindestens 15 Zeichen, wenn das Passwort der einzige Weg hinein ist, mindestens 8, wenn ein zweiter Faktor dazukommt; Dienste sollten mindestens 64 akzeptieren;
- keine vorgeschriebenen Zusammensetzungsregeln: Man darf nicht verlangen, Großbuchstaben, Zahlen und Sonderzeichen zu mischen;
- kein erzwungener regelmäßiger Wechsel: Das Passwort wird geändert, wenn es Anzeichen für eine Kompromittierung gibt, nicht nach Kalender;
- jedes neue Passwort wird mit einer Liste abgeglichen von gängigen, vorhersehbaren oder bereits in Datenlecks aufgetauchten Passwörtern und abgelehnt, wenn es darin vorkommt;
- Dienste müssen Passwort-Manager zulassen und das automatische Ausfüllen, und sie sollten das Einfügen des Passworts erlauben.
Wie man ein gutes Passwort bildet, wenn man es sich merken muss
Auswendig merken sollte man sich nur sehr wenige Passwörter: das des Computers, das des Passwort-Managers und das des wichtigsten E-Mail-Postfachs. Dafür eignet sich gut ein Satz aus mehreren zufällig gewählten Wörtern, die weder miteinander noch mit Ihnen etwas zu tun haben: Vier oder fünf Wörter ergeben schon mehr als zwanzig Zeichen. Alle anderen Passwörter müssen Sie sich nicht merken: Der Manager erzeugt und verwahrt sie.
Richtig oder falsch?
Passwörter: Mythen und echte Regeln
Wählen Sie bei jeder Aussage richtig oder falsch: Die Erklärung erscheint sofort.
Wer sein Passwort alle drei Monate ändert, macht es sicherer.
Die NIST-Richtlinien untersagen erzwungene regelmäßige Wechsel: Sie führen zu vorhersehbaren Passwörtern. Geändert wird bei Anzeichen einer Kompromittierung.
Ein Satz aus vier zufälligen Wörtern kann sicherer sein als ein kurzes Wort voller Sonderzeichen.
Die Länge vervielfacht die auszuprobierenden Kombinationen viel stärker als Sonderzeichen, und einen Satz merkt man sich besser.
Ist ein Passwort sehr lang und kompliziert, kann man es für mehrere Dienste verwenden.
Wird auch nur ein Dienst gehackt, landet dieses Passwort in einer Liste und wird überall ausprobiert, egal wie lang es ist.
Eine seriöse Website sollte das Einfügen des Passworts erlauben.
Wer das Einfügen blockiert, behindert Passwort-Manager, also genau das Werkzeug, das lange und einzigartige Passwörter möglich macht.
Mit Zwei-Faktor-Authentifizierung spielt das Passwort keine Rolle mehr.
Der zweite Faktor ist ein zweites Schloss, kein Ersatz: Ein schwaches Passwort bleibt ein Risiko, vor allem wenn der zweite Faktor eine SMS ist.
03Der Passwort-Manager: ein Tresor, ein Schlüssel
Ein eigenes, langes Passwort für jeden Dienst kann sich niemand merken. Genau deshalb gibt es Passwort-Manager: Programme, die alle Zugangsdaten in einem verschlüsselten Tresor aufbewahren, der sich mit einem einzigen Hauptpasswort öffnen lässt, möglichst ergänzt durch einen zweiten Faktor.
Warum es sicherer ist, nicht unsicherer
Der häufigste Einwand lautet: «Und wenn jemand den Tresor stiehlt?» Der Tresor ist mit einem Schlüssel verschlüsselt, der aus dem Hauptpasswort abgeleitet wird, und gute Manager sind so gebaut, dass nicht einmal der Anbieter des Dienstes den Inhalt lesen kann. Im Gegenzug erhalten Sie drei konkrete Vorteile:
- einzigartige Passwörter für jeden Dienst: Ein Datenleck anderswo öffnet bei Ihnen nichts mehr;
- lange Passwörter, zufällig erzeugt und unmöglich zu erraten;
- ein zusätzlicher Schutz gegen Phishing: Der Manager schlägt das Passwort nur auf der Adresse vor, zu der es gehört. Schlägt er auf einer Seite, die wie Ihre Bank aussieht, nichts vor, ist das ein Warnsignal.
Im Unternehmen: der gemeinsame Tresor
Viele Manager haben eine Version für Teams: Gemeinsame Zugangsdaten, etwa das Konto beim Paketdienst oder das Verwaltungspanel der Website, liegen in Ordnern, die nur mit denen geteilt werden, die sie brauchen. Wenn ein Mitarbeiter geht, entzieht man ihm den Zugriff auf den Ordner, statt sich an alle Passwörter erinnern zu müssen, die er kannte. Das ist viel besser als die Excel-Datei «passwoerter.xlsx» auf dem Desktop, die in kleinen Betrieben immer noch die verbreitetste Lösung ist.
04Zwei Faktoren: warum ein Passwort allein nicht reicht
Die Zwei-Faktor-Authentifizierung (englisch 2FA, oder allgemeiner MFA, Multi-Faktor) verlangt zwei Identitätsnachweise unterschiedlicher Art. Es gibt drei Arten möglicher Nachweise:
- etwas, das Sie wissen: ein Passwort, eine PIN;
- etwas, das Sie haben: das Telefon, einen USB-Sicherheitsschlüssel, eine Karte;
- etwas, das Sie sind: den Fingerabdruck, das Gesicht.
Das Prinzip ist einfach: Wer das Passwort über eine Phishing-Seite oder aus einer gehackten Liste stiehlt, hat nicht auch Ihr Telefon in der Tasche. Aber nicht alle zweiten Faktoren halten gleich gut stand.
| Methode | Wie sie funktioniert | Schwachstelle | Wann einsetzen |
|---|---|---|---|
| Code per SMS | ein Code kommt per Nachricht | die Nummer lässt sich durch einen betrügerischen SIM-Tausch umleiten; den Code kann man sich diktieren lassen | nur, wenn der Dienst nichts anderes bietet |
| Authenticator-App | eine App erzeugt einen Code, der sich alle 30 Sekunden ändert | eine Phishing-Seite kann auch den Code abfragen und sofort verwenden | fast überall, als Minimum |
| Push-Nachricht auf dem Telefon | man bestätigt die Anmeldung mit einem Tippen | wer das Passwort hat, kann Benachrichtigungen in Serie schicken, bis jemand bestätigt | mit einer Zahl, die auf dem Bildschirm abzugleichen ist |
| Passkey oder Sicherheitsschlüssel | das Gerät signiert eine Challenge der Website mit einem kryptografischen Schlüssel | es braucht einen sicheren Weg, den Zugang wiederherzustellen, falls das Gerät verloren geht | E-Mail, Bank, Verwaltung von Servern und Domains |
Nicht zufällig verlangt der Leitfaden der US-Behörden gegen Ransomware, für alle Dienste eine phishingresistente Multi-Faktor-Authentifizierung zu aktivieren, angefangen bei der E-Mail, den Fernzugängen und den Konten, die kritische Systeme verwalten. Warum gerade die Zugänge die erste Verteidigung gegen die Erpressung mit Daten sind, erzähle ich im Kapitel über Datensicherung im Unternehmen und Ransomware.
Quiz
Welches Schloss für welche Tür?
Wählen Sie bei jeder Frage eine Antwort: Die Erklärung erscheint sofort.
Zu welcher Art von Faktor gehört der Fingerabdruck?
Biometrische Faktoren wie Fingerabdruck und Gesicht sind «etwas, das Sie sind»; das Passwort ist etwas, das Sie wissen, das Telefon etwas, das Sie haben.
Welcher zweite Faktor widersteht auch einer Phishing-Seite, die genauso aussieht wie die echte?
Der Passkey ist an die Adresse der echten Website gebunden und antwortet keiner gefälschten; einen Code dagegen kann man sich diktieren lassen.
Sie erhalten zehn Anmeldebenachrichtigungen, die Sie nicht angefordert haben. Was tun Sie?
Wer sie schickt, hat Ihr Passwort bereits und hofft auf ein unachtsames Tippen: Alles ablehnen und sofort das Passwort ändern.
Welches Konto muss als Erstes mit dem stärksten Faktor geschützt werden?
Über das E-Mail-Postfach lassen sich fast alle anderen Passwörter zurücksetzen: Wer es kontrolliert, kontrolliert alles andere.
05Der Passkey: Anmelden ohne Passwort und ohne sich täuschen zu lassen
Passkeys sind die Anmeldemethode, die die großen Hersteller von Betriebssystemen und Browsern anstelle von Passwörtern verbreiten, auf Grundlage der Standards der FIDO-Allianz. Sie werden bereits bei vielen E-Mail-Diensten, Banken, Onlineshops und Arbeitsplattformen verwendet und werden mit dem Fingerabdruck, dem Gesicht oder der PIN des Geräts entsperrt.
Hinter der Einfachheit steckt ein eleganter kryptografischer Mechanismus, den zu verstehen sich lohnt, weil er erklärt, woher die Sicherheit kommt.
- Die Registrierung. Wenn Sie für eine Website einen Passkey erstellen, erzeugt Ihr Gerät ein Schlüsselpaar: einen privaten Schlüssel, der auf dem Gerät bleibt, und einen öffentlichen, der der Website übergeben wird.
- Die Anmeldung. Die Website schickt eine «Challenge», eine Zufallszahl, die jedes Mal anders ist. Nachdem Sie das Gerät mit Fingerabdruck, Gesicht oder PIN entsperrt haben, signiert es sie mit dem privaten Schlüssel und schickt sie zurück.
- Die Prüfung. Die Website prüft die Signatur mit dem öffentlichen Schlüssel. Stimmt sie, sind Sie es.
Daraus ergeben sich drei Eigenschaften, die ein Passwort nie haben wird:
- Auf der Website gibt es nichts zu stehlen: Wird die Website gehackt, finden die Angreifer nur öffentliche Schlüssel, die ohne die privaten nutzlos sind;
- es gibt nichts wiederzuverwenden: Jede Website hat ihr eigenes Schlüsselpaar;
- es gibt nichts, was man Ihnen entlocken könnte: Browser und Betriebssystem binden jeden Passkey an die Website, für die er erstellt wurde. Auf einer gefälschten Adresse, selbst wenn sie für das Auge identisch ist, wird der Passkey schlicht nicht angeboten.
Synchronisiert oder an ein Gerät gebunden
Es gibt zwei Familien von Passkeys. Die synchronisierten wandern über den Passwort-Manager oder das Konto des Betriebssystems zwischen Ihren Geräten, in verschlüsselter Form, die der Synchronisierungsdienst nicht lesen kann: Verlieren Sie das Telefon, finden Sie sie auf dem neuen wieder. Die an ein Gerät gebundenen, etwa USB-Sicherheitsschlüssel, verlassen das physische Objekt nie: Sie sind die Wahl für die heikelsten Zugänge, wie die Verwaltung eines Servers oder der Domain, verlangen aber einen zweiten Ersatzschlüssel an einem sicheren Ort.
Nicht falsch machen
Die Schwachstelle jedes Anmeldesystems ist die Wiederherstellung: Genügt eine SMS oder eine Sicherheitsfrage, um das Konto zurückzubekommen, kommt der Angriff dort durch. Wenn Sie Passkeys oder Sicherheitsschlüssel aktivieren, richten Sie zwei robuste Ersatzmethoden ein und bewahren Sie die Wiederherstellungscodes an einem sicheren Ort auf, außerhalb des Computers.
06Die Karte der Zugänge Ihres Unternehmens
Werkzeuge nützen wenig ohne Gesamtbild. Machen Sie eine Übung: Nehmen Sie ein Blatt und schreiben Sie alle Dienste auf, mit denen Ihr Betrieb online arbeitet. Bank, E-Mail, PEC (die zertifizierte E-Mail in Italien), Verwaltungssoftware, Website, Domain, Server, soziale Netzwerke, Lieferanten, Buchungsplattformen. Schreiben Sie dann neben jeden Dienst, wer Zugang hat, mit welcher E-Mail und ob es den zweiten Faktor gibt. Fast immer ist es ein überraschendes Blatt.
Der Plan in fünf Schritten
1
Das E-Mail-Postfach
Langes, einzigartiges Passwort, starker zweiter Faktor, Wiederherstellungscodes in Sicherheit. Vor allem anderen.
2
Der Passwort-Manager
Für alle, mit gemeinsamen Ordnern für die gemeinsamen Zugangsdaten. Die Excel-Datei mit den Passwörtern wird gelöscht.
3
Der zweite Faktor
Bei Bank, Domain, Server, Verwaltungssoftware und sozialen Netzwerken. Wo verfügbar, Passkey oder Sicherheitsschlüssel.
4
Ein Konto pro Person
Keine geteilten Zugänge: Jede Person hat ihren eigenen Zugang, mit nur den Rechten, die sie braucht.
5
Eintritt und Austritt
Kommt ein Mitarbeiter, bekommt er den Zugang; geht er, wird er noch am selben Tag entzogen.
Das Prinzip der minimalen Rechte
Jedes Konto sollte nur das können, was nötig ist für die Person, die es nutzt. Wer Reservierungen annimmt, muss keine Preise ändern; wer das Lager verwaltet, muss keine Gehaltsabrechnungen sehen. Auch wer die Systeme administriert, sollte zwei Konten haben: ein normales für die tägliche Arbeit und ein Administratorkonto, das nur bei Bedarf genutzt wird. So bleibt der Schaden klein, wenn ein Konto kompromittiert wird.
Das gilt auch für Dienstleister: Wer Ihnen die Website gebaut hat, sollte nicht noch Jahre später das Passwort für das Verwaltungspanel der Domain haben. Auf wen Domain, Server und Konten eingetragen sein müssen und wer die Schlüssel haben soll, vertiefe ich im Kapitel darüber, wem Ihre Website wirklich gehört. Und bei einem Portal mit geschützten Kundenbereichen wird die Sicherheit der Zugänge zusammen mit allem anderen geplant, wie ich im Kapitel über integrierte Portale, Buchungen und PWA erkläre.
Die Begriffe des Kapitels
Das Vokabular der Zugänge
Tippen Sie auf eine Karte, um sie umzudrehen.
Machen Sie den Test
Sind die Türen Ihres Betriebs verschlossen?
Die Türen zu schließen senkt das Risiko enorm, beseitigt es aber nicht: Für den Tag, an dem etwas schiefgeht, braucht es die richtigen Kopien, wie ich im Kapitel über die Datensicherung und die 3-2-1-Regel erzähle. Und wenn ein Datenleck die Daten der Kunden betrifft, kommen die Pflichten der DSGVO ins Spiel, die ich im Kapitel über DSGVO und Cookies auf der Website eines kleinen Betriebs erkläre.
Häufige Fragen
Wie lang muss ein Passwort sein?
Nach den Richtlinien NIST SP 800-63B mindestens 15 Zeichen, wenn das Passwort der einzige Anmeldefaktor ist, mindestens 8, wenn es auch einen zweiten Faktor gibt. Ein Satz aus vier oder fünf zufälligen Wörtern überschreitet leicht 20 Zeichen.
Muss ich meine Passwörter alle drei Monate ändern?
Nein. Die neuesten Richtlinien raten von erzwungenen regelmäßigen Wechseln ab, weil sie zu vorhersehbaren Passwörtern führen. Das Passwort wird geändert, wenn es Anzeichen einer Kompromittierung gibt, zum Beispiel wenn es in einem bekannten Datenleck auftaucht.
Ist der Code per SMS sicher?
Er ist besser als das Passwort allein, aber der schwächste zweite Faktor: Die Nummer kann durch einen betrügerischen SIM-Tausch umgeleitet und der Code von einer Phishing-Seite abgegriffen werden. Wo möglich, sind eine Authenticator-App oder, besser, ein Passkey vorzuziehen.
Was ist ein Passkey und warum widersteht er Phishing?
Es ist eine Anmeldung auf Basis eines kryptografischen Schlüsselpaars: Der private Schlüssel bleibt auf Ihrem Gerät, die Website speichert nur den öffentlichen. Der Passkey ist an die Adresse der Website gebunden, für die er erstellt wurde, und funktioniert deshalb auf einer gefälschten Website nicht.
Wenn ich das Telefon verliere, verliere ich dann die Passkeys?
Synchronisierte Passkeys finden Sie auf den neuen Geräten wieder, die mit demselben Konto oder Passwort-Manager verbunden sind. Die an einen physischen Schlüssel gebundenen nicht: Deshalb hält man einen zweiten Ersatzschlüssel bereit und bewahrt die Wiederherstellungscodes auf.
Ist ein Passwort-Manager nicht ein Risiko, wenn alle Passwörter an einem Ort liegen?
Der Tresor ist verschlüsselt und öffnet sich nur mit dem Hauptpasswort, das mit einem zweiten Faktor geschützt werden muss. Das Risiko, überall dasselbe Passwort zu verwenden, ist viel höher als das eines gut eingerichteten Managers.
Quellen
- NIST, SP 800-63B-4, «Authentication and Authenticator Management» (endgültige Fassung, Juli 2025): Mindestlänge, keine Zusammensetzungsregeln und keine regelmäßigen Wechsel, Abgleich mit Listen gehackter Passwörter, Passwort-Manager.
- CISA, FBI, NSA, MS-ISAC, «#StopRansomware Guide»: phishingresistente Multi-Faktor-Authentifizierung für E-Mail, Fernzugänge und kritische Systeme.
- passkeys.dev, «What are passkeys?»: wie Passkeys funktionieren und wie sie zwischen Geräten synchronisiert werden.
- Have I Been Pwned: der kostenlose Dienst, um herauszufinden, ob eine E-Mail-Adresse in bekannten Datenlecks vorkommt.
- Agenzia per la Cybersicurezza Nazionale, «CSIRT Italia» (auf Italienisch): Warnungen zu aktuellen Bedrohungen und Meldung von IT-Sicherheitsvorfällen.
Stand des Kapitels: Oktober 2026. Die in den Tafeln gezeigten Passwörter sind Beispiele zur Veranschaulichung und dürfen nicht verwendet werden; die Hinweise zu den Authentifizierungsmethoden folgen den zitierten öffentlichen Richtlinien.