Technik-Hilfe
Wie lang sollte ein Passwort 2026 sein?
NIST verlangt jetzt 15 Zeichen für ein Einzelfaktor-Passwort. CISA empfiehlt 16+, zufällig und einzigartig. Siehe, welche Länge du 2026 nutzen solltest.
Bei einem Passwort, das du heute erstellst, zählen Länge, Zufälligkeit und Einzigartigkeit. NIST SP 800-63-4 verlangt, dass ein Einzelfaktor-Passwort mindestens 15 Zeichen hat. Nur als Teil von MFA darf es kürzer sein, mit einem NIST-Minimum von 8.
Die Verbraucherhinweise von CISA empfehlen Passwörter mit mindestens 16 Zeichen, die zufällig und einzigartig sind. Für den praktischen Alltag ist ein zufällig erzeugtes Passwort mit 16 Zeichen oder mehr ein starker Start, wenn der Dienst das zulässt.
Länger kann helfen, aber Länge allein macht ein vorhersagbares oder wiederverwendetes Passwort nicht sicher. 15 oder 16 Zeichen sind keine Sicherheitsgarantie.
Dieser Artikel beantwortet, wie lang ein Passwort 2026 sein sollte. Er nutzt die aktuellen Verifier-Regeln aus NIST SP 800-63-4 / SP 800-63B und den öffentlichen Rat von CISA. Es ist kein vollständiger Cybersecurity-Leitfaden.
Wie lang sollte mein Passwort also sein?
Kann ein password manager es speichern, erzeuge ein einzigartiges Zufallspasswort mit 16+ Zeichen. Nutze eine längere Zufallszeichenkette, wenn der Dienst das erlaubt. Musst du es auswendig lernen, ist eine lange passphrase oft praktischer als eine kurze Zeichenkette mit erzwungenen Ersetzungen. 16 ist nicht unknackbar, und 15 ist keine Garantie.
Was verlangt NIST 2026?
NIST SP 800-63-4 sagt Verifiern, was sie verlangen sollen — kein persönlicher Slogan. Ein Einzelfaktor-Passwort muss mindestens 15 Zeichen haben. Wird es nur als Teil von MFA genutzt, darf es kürzer sein, das Minimum bleibt aber 8. Verifier SHOULD mindestens 64 Zeichen akzeptieren. Sie SHALL NOT eine erzwungene Mischung von Zeichentypen verlangen und SHALL NOT periodische Wechsel ohne Hinweis auf eine Kompromittierung erzwingen. Häufige oder geleakte Passwörter sollten blockiert werden.
Was empfiehlt CISA?
Die Secure-Our-World-Hinweise von CISA sind für Menschen einfacher: mache Passwörter lang (mindestens 16 Zeichen), zufällig und einzigartig, und nutze einen password manager. Das widerspricht NIST nicht. Die 15 Zeichen von NIST sind eine Einzelfaktor-Anforderung an Verifier. Die 16+ von CISA sind eine praktische öffentliche Empfehlung.
8 vs 12 vs 16 Zeichen: kommt es wirklich auf die Länge an?
Länge zählt, veröffentlichte «Crack-Zeiten» nicht. Diese Zeiten ändern sich mit Hardware, Hash, Zufälligkeit, Angriffsmodell und der Speicherung des Passworts.
| Länge | Praktische Sicht |
|---|---|
| 8 | Zu kurz als allgemeine Empfehlung für ein neues Einzelfaktor-Passwort. NIST erlaubt 8 nur als Minimum, wenn das Passwort ausschließlich als Teil von MFA genutzt wird. |
| 12 | Besser als kurze Alt-Passwörter, aber unter dem aktuellen NIST-Einzelfaktor-Minimum von 15. |
| 15 | Aktuelles NIST-Einzelfaktor-Minimum für Verifier. |
| 16+ | Entspricht der einfachen öffentlichen Empfehlung von CISA und ist ein sinnvoller Start für erzeugte Passwörter. |
Ist Länge wichtiger als Komplexität?
Die aktuelle Orientierung bevorzugt genug Länge und eine gute Auswahl gegenüber vorhersehbaren Zusammensetzungsregeln. Ein Muster wie ein häufiges Wort plus «1!» bleibt oft ratbar, auch mit gemischten Typen. Sonderzeichen sind nicht nutzlos: in einem zufällig erzeugten Passwort kann ein größerer Zeichensatz mehr Kombinationen bringen. Der Kern ist Zufälligkeit, Länge und Einzigartigkeit.
Ein langes Passwort kann trotzdem schwach sein
Ein langer Wert kann trotzdem schwach sein, wenn er vorhersagbar ist, eine gängige Phrase, wiederverwendet oder auf persönlichen Daten basiert. Dasselbe Zeichen viele Male zu wiederholen ist lang, nicht stark. Wiederverwende keine Phrase, die alle schon kennen.
Warum jedes Konto ein anderes Passwort haben sollte
Leckt ein Dienst ein Passwort und du hast es wiederverwendet, sind andere Konten mit demselben Wert gefährdet. Jedes Konto braucht ein eigenes Passwort. Das Ausprobieren geleakter Paare auf anderen Seiten (credential stuffing) ist üblich. Einzigartige Passwörter begrenzen diesen Schaden.
Solltest du einen password manager nutzen?
NIST fordert Verifier auf, password managers und Autofill zuzulassen. CISA empfiehlt ebenfalls einen manager. Du musst dir nicht für jede Seite ein einzigartiges Zufallspasswort merken. Dieser Artikel empfiehlt kein bestimmtes Produkt.
Password oder passphrase?
Speichert ein manager den Wert, ist ein zufällig erzeugtes Passwort bequem. Musst du es behalten, kann eine lange passphrase aus mehreren Wörtern praktischer sein. Vermeide berühmte Zitate, Songtexte, gängige Sätze und persönliche Details. Das ist eine kurze Notiz, kein vollständiger passphrase-Leitfaden.
Brauchen Passwörter Großbuchstaben, Zahlen und Symbole?
NIST sagt, Verifier SHALL NOT eine Mischung von Zeichentypen verlangen. Eine Seite, die einen Großbuchstaben, eine Zahl und ein Symbol erzwingt, folgt dieser Richtung nicht. Ein Zufallsgenerator darf trotzdem einen breiten Satz nutzen, und das ist in Ordnung. Symbole machen Passwörter nicht schwächer.
Solltest du Passwörter alle 90 Tage ändern?
NIST sagt, Verifier SHALL NOT beliebige periodische Wechsel verlangen, sofern es keinen Hinweis auf eine Kompromittierung gibt. Ändere das Passwort, wenn es geleakt wurde, das Konto kompromittiert war oder der Dienst dich dazu auffordert. Das heißt nicht «nie Passwörter ändern».
Macht MFA die Passwortlänge unwichtig?
Nein. MFA fügt Schutz hinzu. Es macht Passwort-Hygiene nicht optional. NIST kann ein Minimum von 8 Zeichen erlauben, wenn das Passwort nur als Teil von MFA genutzt wird. Das ist keine allgemeine Empfehlung, 8-Zeichen-Passwörter zu nutzen.
Was Länge nicht aufhalten kann
Ein sehr langes Passwort stoppt nicht jeden Angriff. Länge allein stoppt weder Phishing noch Malware oder Keylogging, Social Engineering oder ein kompromittiertes Gerät. MFA, Software-Updates und Phishing-Bewusstsein bleiben wichtig. Dieser Artikel bleibt bei der Passwortlänge.
Ein starkes Passwort ist lang, zufällig und einzigartig. Nutze einen password manager, wenn du kannst, und aktiviere MFA, wenn es verfügbar ist.
Eine einfache Entscheidungshilfe zur Passwortlänge
Brauchst du ein neues Konto-Passwort? Kann ein password manager es speichern, erzeuge ein einzigartiges Zufallspasswort — 16+ Zeichen sind ein praktischer Start, länger wenn unterstützt. Musst du es merken, nutze eine lange einzigartige passphrase und vermeide gängige Phrasen. Aktiviere danach MFA, wenn verfügbar.
- Brauchst du ein neues Konto-Passwort?
- Kann ein password manager es speichern?
- Ja → einzigartiges Zufallspasswort, 16+ (länger wenn erlaubt)
- Nein → lange einzigartige passphrase; vermeide gängige Phrasen
- Aktiviere MFA, wenn verfügbar
Erzeuge ein langes Zufallspasswort in deinem Browser
NEXNARA Passwortgenerator kann ein Passwort, eine passphrase oder eine PIN erzeugen. Dieser Artikel geht um Konto-Passwörter, nicht um Geräte-PINs. Eine PIN ist ein anderes, kürzeres Geheimnis und nicht dieselbe Empfehlung.
Passwortmodus: Länge 4–128, Standard 16. Wähle Zeichenklassen, schließe mehrdeutige Zeichen aus oder schließe eigene Zeichen aus. Erzeuge 1, 5, 10 oder 20 Werte und kopiere oder lade eine TXT-Datei herunter.
Der passphrase-Modus nutzt die große englische Wortliste von EFF (7776 Wörter): 3–8 Wörter, Standard 5, mit Trennzeichen, Großschreibung und optionaler Zahl.
Die Erzeugung nutzt den kryptografisch sicheren Zufallszahlengenerator des Browsers (crypto.getRandomValues), mit 32-Bit-Rejection-Sampling und einem sicheren Shuffle. Math.random wird nicht verwendet. Die angezeigte Entropie ist eine Schätzung aus Zeichensatz und Länge (oder Wortlistengröße und Wortzahl), keine Messung menschlicher Passwörter und kein Versprechen, dass nichts erraten werden kann.
Die Erzeugung selbst läuft in deinem Browser. Werte werden für dieses Tool nicht an einen NEXNARA-Server gesendet. Werbung und andere Site-Funktionen nutzen weiterhin das Netz.
Brauchst du zum Start ein zufälliges 16-Zeichen-Passwort? Öffne Passwortgenerator und erzeuge eines, das du speicherst und nicht wiederverwendest.
FAQ
Wie lang sollte ein Passwort 2026 sein?
NIST verlangt mindestens 15 Zeichen für ein Einzelfaktor-Passwort. CISA empfiehlt mindestens 16, die zufällig und einzigartig sind. 16+ erzeugte Zeichen sind ein starker praktischer Start, wenn der Dienst das zulässt. Das ist keine Garantie.
Reicht ein 12-Zeichen-Passwort?
Es ist besser als ein kurzes Alt-Passwort, liegt aber unter dem aktuellen 15-Zeichen-Einzelfaktor-Minimum von NIST. Bevorzuge 16+, wenn du kannst.
Ist ein 16-Zeichen-Passwort sicher?
16 zufällige einzigartige Zeichen sind ein sinnvoller Start. Es ist nicht automatisch sicher. Vorhersagbare oder wiederverwendete 16-Zeichen-Werte bleiben schwach.
Sind längere Passwörter immer besser?
Längere zufällige einzigartige Passwörter bringen meist mehr Kombinationen. Ein längerer vorhersagbarer oder wiederverwendeter Wert ist nicht automatisch besser.
Brauche ich Zahlen und Sonderzeichen in meinem Passwort?
NIST sagt Diensten, sie sollen keine erzwungene Mischung verlangen. Ein Zufallsgenerator darf sie trotzdem einbeziehen. Symbole sind nicht nötig, um «stark» zu sein, und sie sind nicht nutzlos.
Soll ich mein Passwort alle 90 Tage ändern?
NIST sagt, beliebige periodische Wechsel ohne Hinweis auf eine Kompromittierung nicht zu verlangen. Ändere es nach einem Leak, einer Kompromittierung oder einem Diensthinweis — nicht nach einem leeren 90-Tage-Kalender.