Wie lang sollte ein Passwort im Jahr 2023 sein? Sie stellen die falsche Frage.

Fünf von sechs Sicherheitsexperten sind sich über diese Mindestlänge für Passwörter einig.

Ein längeres Passwort ist sicherer. Das ist doch logisch, oder? Je länger ein Passwort ist, desto mehr mögliche Kombinationen gibt es. Das bedeutet wiederum, dass ein Brute-Force-Angriff - bei dem jemand ein automatisiertes System nutzt, um alle möglichen Kombinationen auszuprobieren, um den Code zu knacken - länger dauern wird.

Sicherheitsexperten sind sich einig, dass ein Passwort mit acht Zeichen mithilfe leicht verfügbarer Hardware - wie etwa der GPU in einem Gaming-PC - zu einfach zu knacken ist. Mit einer Nvidia RTX 4090 berechnete Hive Systems, dass es weniger als eine Stunde dauern würde, alle möglichen Kombinationen aus acht Buchstaben (Groß- und Kleinschreibung), Zahlen und Symbolen auszuprobieren. Das ist doppelt so schnell wie bei einer gängigen Grafikkarte vor zwei Jahren - ein weiteres Beispiel dafür, wie das Moore’sche Gesetz in der Praxis wirkt.

Wenn also acht Zeichen zu wenig sind - wie viele Zeichen sind dann ausreichend? Gibt es eine „magische“ Zahl? Bei meiner Recherche zu den Empfehlungen aus verschiedensten Quellen stellte ich fest, dass sich Sicherheitsexperten nicht auf eine genaue Zahl einigen können. Doch sie sind sich weitgehend einig: Mindestens 12 Zeichen - mehr ist besser. Vielleicht ist eine Passphrase, die aus vier oder mehr zufälligen Wörtern besteht, am besten geeignet.

Alle von uns befragten Experten waren sich einig, dass es viel wichtiger ist, die Länge eines Passworts zu erhöhen, als komplexe Anforderungen hinzuzufügen - wie beispielsweise die Verwendung von Zahlen, Buchstaben und Symbolen. Noch wichtiger ist jedoch, sicherzustellen, dass das Passwort tatsächlich zufällig ist. All das zusammengenommen ergibt eine Größe namens Entropie, die die Schwierigkeit misst, ein Passwort zu erraten.

Ein Angreifer, der fundierte Vermutungen anstellen kann, wird es vermutlich leicht schaffen, ein Passwort mit geringer Entropie zu knacken, das auf dem Namen Ihres Hundes und Ihrem Geburtsjahr basiert; ein wirklich zufällig vom Passwort-Manager generiertes Passwort stellt dagegen eine viel größere Herausforderung dar.

Aber wie lange?

In einem Artikel auf der Website des Infosec Institute untersucht Daniel Brecht „Passwort-Sicherheit: Komplexität vs. Länge“ und vertritt die Ansicht, dass 12 Zeichen ein guter Ausgangspunkt sind:

Kurze Passwörter sind relativ leicht zu knacken. Deswegen soll man längere Passwörter verwenden, um die Sicherheit zu erhöhen und sie weniger vorhersehbar zu machen. Wie lang sollte ein Passwort also sein? Laut einer Studie des Georgia Tech Research Institute (GTRI) aus dem Jahr 2010 reicht ein zufällig generiertes Passwort mit 12 Zeichen aus, um die Anforderungen an die Mindestlänge zu erfüllen und somit Entschlüsselungssoftware zu überlisten, so Joshua Davis, Forschungswissenschaftler beim GTRI. Richard Boyd, leitender Forscher beim GTRI, sagt: „Acht Zeichen sind heutzutage nicht mehr ausreichend - und wenn man die Zeichen nur auf Buchstaben beschränkt, kann das Passwort in Minuten geknackt werden.“ Um auf der sicheren Seite zu sein, sollte man daher ein Passwort mit mindestens 12 Zeichen verwenden.

Die Entwickler einiger beliebter Passwort-Manager sind im Prinzip derselben Meinung. Auf dem Bitwarden-Blog beispielsweise lautet die Antwort autoritativ - und wird außerdem mit einem Ausrufezeichen versehen: „Machen Sie Ihr Passwort 14 bis 16 Zeichen oder länger!“

Das ist auch keine willkürliche Empfehlung. Der Ratschlag von Bitwarden basiert auf einer Veröffentlichung des National Institute of Standards and Technology (NIST), nämlich NIST SP 800-63B - Richtlinien für digitale Identitäten. Darin heißt es: „Man sollte die Nutzer dazu ermutigen, ihre Passwörter so lang zu gestalten, wie sie wünschen - solange das im Rahmen des Vernünftigen bleibt. Da die Größe eines gehashten Passworts unabhängig von seiner Länge ist, gibt es keinen Grund, die Verwendung langer Passwörter (oder Passphrasen) zu verbieten, falls der Nutzer dies wünscht.“

In der Zwischenzeit vertritt auch der Konkurrent 1Password in einem Blogbeitrag eine ähnliche Ansicht und stellt zuversichtlich fest: „So lang sollten Ihre Passwörter sein“: „Die standardmäßig von 1Password generierte Passwortlänge beträgt je nach Version 19 oder 20 Zeichen. Doch das ist eigentlich übertrieben! Wenn ein Passwort ordnungsgemäß generiert wird, reichen 11 bis 15 Zeichen für den Durchschnittsnutzer völlig aus, um ausreichenden Schutz zu gewährleisten.“

Die Leute bei NordPass gehen der Frage mathematisch nach und kommen zu dem Schluss, dass „idealerweise ein sicheres Passwort mindestens 12 Zeichen lang sein sollte. ... Wenn Sie sich wirklich für die Zukunft absichern wollen, ist 16 Zeichen die beste und realistischste Länge, auf die Sie sich verlassen können - doch je mehr Zeichen, desto besser.“

Tatsächlich hat sich dieser breite Konsens auch auf Windows durchgesetzt; ein Support-Artikel von Microsoft mit dem Titel „Starke Passwörter erstellen und verwenden“ enthält folgende grundlegende Empfehlungen für Passwörter:

• Mindestens 12 Zeichen lang - aber 14 oder mehr sind besser.
• Eine Kombination aus Großbuchstaben, Kleinbuchstaben, Ziffern und Symbolen.
• Es handelt sich weder um ein Wort, das in einem Wörterbuch zu finden ist, noch um den Namen einer Person, Figur, eines Produkts oder einer Organisation.
• Deutlich anders als Ihre vorherigen Passwörter.

Die datenschutzorientierten Leute bei Proton (den Entwicklern von Proton Mail) vertreten die Ansicht, dass ein Passwort, das aus 15 zufällig vom Passwort-Manager generierten Zeichen besteht, „für die modernen Rechenkapazitäten unerreichbar sein sollte“.

Oder vielleicht sollte man überhaupt kein Passwort verwenden, so ihr Fazit: „Wenn man ein sicheres Passwort aus einer Reihe von Wörtern erstellen möchte (einen ‚Passphrase‘), empfehlen die meisten Informationssicherheitsfirmen, mindestens vier Wörter zu verwenden, die nicht sehr häufig vorkommen. Doch je mehr Menschen auf Passphrases umsteigen, desto besser werden Hacker darin, sie zu knacken.“

Vielleicht sollten Sie sich keine Gedanken darüber machen, wie viele Buchstaben Ihr Passwort enthält. Vielleicht ist die eigentliche Frage, wie viele Wörter Ihre Passphrase umfasst. Verwenden Sie einfach nicht „correct horse battery staple“. Dieser Passphrase ist bereits vergeben.