«123456» war 2025 das hierzulande am häufigsten verwendete Passwort. Die nicht weniger unsichere Reihung «123456789» belegt den zweiten Platz, wie das Hasso-Plattner-Institut (HPI) mittels im Darknet gefundener, geleakter Datensätze erhoben hat.

Auf Platz drei kommt das alternierende «565656». Es folgen «12345678» und «hallo123», das in seiner gefährlichen Schlichtheit mit «lol123» auf Rang neun harmoniert.

«lol123» ist eine Einladung für Hacker - «kaffeetasse» auch

Anhand der Rangliste demonstriert das HPI zum Europäischen Datenschutztag (28. Januar), dass immer noch viele Menschen fahrlässig Zahlenreihen, einfache Kombinationen oder Wörter (etwa «kaffeetasse» auf dem 6. Platz oder «passwort» auf dem 8. Platz) nutzen, wenn der jeweilige Dienst dies zulässt - eine Einladung für Hacker.

Neben diesen häufig verwendeten Passwörtern fänden sich auch viele Kombinationen, mit denen sich Nutzende in falscher Sicherheit wiegen - etwa «Vornamen mit Geburtstagen kombiniert und mit einem Sonderzeichen am Ende garniert», erklärt das HPI.

Ein vermeintlich starkes Passwort für alles - gefährlicher Trend

Sieht auf den ersten Blick sicher aus, ist es aber nicht. Vor allem dann nicht, wenn ein einziges, vermeintlich starkes Passwort für alle Dienste eingesetzt wird. Dies sei ein gefährlicher Trend, der sich an den ausgewerteten Daten eindeutig ablesen lasse.

Das Problem: Ein gehackter Dienst öffnet den Cyberkriminellen alle Türen, weil sie erbeutete Zugangsdaten überall ausprobieren.

Tipps für sichere Passwörter

Das HPI rät deshalb:

• Für jeden Dienst und jeden Account ein anderes, zufälliges Passwort nutzen; also keine Wiederverwendung von gleichen oder ähnlichen Passwörtern bei unterschiedlichen Diensten.
• Lange Passwörter (mindestens 15 Zeichen) einsetzen; dabei gilt es, alle Zeichenklassen zu benutzen, also Groß- und Kleinbuchstaben, Zahlen sowie Sonderzeichen - aber keine Namen verwenden oder «echte» Begriffe, die im Wörterbuch stehen.
• Passwortmanager verwenden; sie machen es leichter, alle diese Regeln einzuhalten.
• Passwörter bei Sicherheitsvorfällen ändern oder wenn sie die genannten Regeln nicht erfüllen.
• Zwei-Faktor-Authentifizierung (2FA) aktivieren, wo immer möglich; denn dank eines zweiten Codes, der beim Log-in abgefragt wird, kommen Angreifer bei aktivierter 2FA selbst dann nicht ins jeweilige Konto, wenn sie das Passwort erbeutet haben sollten.

Identity Leak Checker - Sind meine Zugangsdaten geleakt?

Die Auswertung basiert auf geleakten Zugangsdaten, mit denen das HPI seinen Identity Leak Checker füttert, eine Datenbank mit Milliarden gestohlener Online-Identitäten, die im Netz kursieren.

Diese Datenbank lässt sich zum Abgleich kostenlos abfragen. So können Nutzerinnen und Nutzer anhand ihrer E-Mail-Adresse herausfinden, ob Zugangsdaten von ihnen nach einem Datenleck oder Hackerangriff durchs Netz geistern und missbraucht werden könnten.

Passwort-Strategien - vom Manager bis zum Merkblatt

Simple Passwörter machen es für Angreifer zu einem Kinderspiel, Konten zu übernehmen und digitale Identitäten zu stehlen. Wie genau man für jeden Online-Dienst oder -Account ein individuelles, starkes Passwort findet, erklärt detailliert auch noch einmal das Bundesamt für Sicherheit in der Informationstechnik (BSI) auf seiner Webseite.

Gleiches gilt für den Umgang mit einem Passwortmanager-Programm oder Passwort-Merksätzen und -Merkblättern sowie der Aktivierung und Nutzung von 2FA.

Regelmäßig ändern ist überholt - führt zu schwächeren Passwörtern

In vielen Köpfen fest verankert ist nach wie vor der «Ändere dein Passwort»-Tag (1. Februar), den ein Blog 2012 ins Leben rief. Seine Botschaft, das periodische, anlasslose Ändern des Passworts ist allerdings längst überholt. Ein gutes, starkes Passwort, das ausschließlich für eine einzige Anwendung genutzt wird, kann durchaus einige Jahre lang unverändert bleiben.

Regelmäßige, anlassunabhängige Passwortwechsel führen erfahrungsgemäß dazu, dass zunehmend schwächere Passwörter genutzt werden, erklärt das BSI. Solche periodischen Wechsel sollten deshalb etwa auch Arbeitgeber nicht von ihren Mitarbeitenden fordern oder technisch erzwingen.

Alternative heißt Passkeys - sicher, einfach und passwortlos

Als Alternative zu starken Passwörtern in Kombination mit aktivierter 2FA empfiehlt das BSI, einfach auf Passkeys umzusteigen, das immer mehr Dienste anbieten. Dabei handelt es sich um ein sicheres, passwortloses Anmeldeverfahren auf Kryptographie-Basis.

Das Verfahren gilt deshalb als besonders sicher, weil Passkeys - anders als Passwörter - nicht einfach erbeutet, gestohlen oder erraten werden können. Es ist auch nicht möglich, Passkeys zu vergessen, und sie können nicht zu schwach sein, weil sie automatisch generiert werden.

Finger, Gesicht oder PIN - mehr Arbeit macht Passkeys nicht

Außerdem ist die Nutzung denkbar einfach: Die jeweilige Webseite oder der jeweilige Dienst fragt zur Anmeldung einen beim Nutzer gespeicherten Kryptoschlüssel ab. Die Authentizität der Abfrage muss dann nur noch verifiziert werden. Das geht bequem per Fingerabdruck, Gesichtsscan oder PIN. Dann wird der private Schlüssel mit seinem Gegenstück, dem öffentlichen Kryptoschlüssel, der beim jeweiligen Dienst liegt, abgeglichen.

Speichern kann man seine Passkeys auf einem Sicherheits-USB-Stick (FIDO2-Unterstützung), in einem (mobilen) Betriebssystem wie Android, iOS/MacOS oder Windows oder auch in kompatiblen Passwortmanagern, die die universelle, systemübergreifende Nutzung erleichtern. Passwörter und Passkeys lassen sich in solchen Passwortmanagern übrigens problemlos nebeneinander speichern und nutzen.