Hitliste unsicherer Passwörter: Das ist der erste Platz

"123456789" war hier­zulande das belieb­teste unsi­chere Pass­wort des Jahres 2023. Die nicht weniger leicht­sin­nige Reihung "12345678" schafft es auf den zweiten Platz, wie das Hasso-Plattner-Institut (HPI) erhoben hat. Rang drei nimmt der schlichte Gruß "hallo" ein.

Es folgen "1234567890" und das kürzere, aber unter Sicher­heits­aspekten eben­falls äußerst schmerz­hafte "1234567". Anhand der jähr­lich veröf­fent­lichten Rang­liste demons­triert das HPI, dass viele Menschen fahr­läs­siger­weise auf einfache Wörter ("pass­wort") oder simple Tastatur-Muster oder -Abfolgen ("qwertz") als Pass­wörter vertrauen - und Hacker so gera­dezu einladen.

Was aus "123456" geworden ist

HPI zur Passwort-Sicherheit
Bild: HPI Hasso-Plattner-Institut Bis 2022 führte "123456" viele Jahre lang die Rang­liste an, taucht dieses Jahr aber noch nicht einmal mehr unter den Top Ten auf. Die HPI-Sicher­heits­for­sche­rinnen und -forscher erklären das damit, dass viele Nutze­rinnen und Nutzer selbst dann nicht krea­tiver bei der Pass­wort­wahl werden, wenn Online-Dienste die Pass­wort-Anfor­derungen verschärfen, etwa hinsicht­lich der Länge. So wird aus "123456" eben oft einfach nur "1234567", "12345678" oder "123456789".

Die Auswer­tung basiert auf gele­akten Zugangs­daten mit .de-Mail-Adressen, mit denen das HPI seinen Iden­tity Leak Checker füttert, eine Daten­bank mit Hunderten Millionen Online-Iden­titäten.

Diese Daten­bank lässt sich kostenlos abfragen. So können Nutze­rinnen und Nutzer heraus­finden, ob sie gehackt worden sind und Zugangs­daten von ihnen durchs Netz geis­tern und miss­braucht werden könnten.

Solche Pass­wörter verdienen den Namen nicht

Simple Pass­wörter machen es für Angreifer zu einem Kinder­spiel, Konten zu über­nehmen und digi­tale Iden­titäten zu stehlen. Tabu ist alles, was im Wörter­buch steht, einem Tasta­tur­muster folgt, eine bekannte Zeichen­folge, Kombi­nation oder schlicht zu kurz ist.

Wählen sollte man lange (mindes­tens 15 Zeichen), komplexe und für jeden Zweck indi­vidu­elle Pass­wörter - also keine glei­chen oder ähnli­chen Pass­wörter bei unter­schied­lichen Diensten, rät das HPI.

Dabei gilt es, alle Zeichen­klassen zu benutzen, also Groß- und Klein­buch­staben, Zahlen sowie Sonder­zei­chen. Aber: Bloß keine Namen oder echten Wörter verwenden. Ändern sollte man das Pass­wort sofort nach einem Sicher­heits­vor­fall - und natür­lich, wenn es die genannten Sicher­heits­anfor­derungen nicht erfüllt.

Pass­wort-Tools und 2FA sind wichtig

Pass­wort­manager machen es leichter, alle diese Regeln einzu­halten. Zudem sollte man bei Online-Diensten die Zwei-Faktor-Authen­tisie­rung (2FA) akti­vieren, wo immer sie verfügbar ist. Denn dank eines zweiten Codes, der beim Log-in abge­fragt wird, kommen Angreifer selbst dann nicht ins jewei­lige Konto, wenn sie das Pass­wort erbeutet haben sollten.

Wie genau man für jeden Online-Dienst oder -Account ein indi­vidu­elles, starkes Pass­wort findet, erklärt detail­liert das Bundesamt für Sicher­heit in der Infor­mati­ons­technik (BSI). Glei­ches gilt für den Umgang mit einem Pass­wort­manager-Programm oder einem Pass­wort-Merk­blatt sowie der Akti­vie­rung und Nutzung von 2FA.

In einem Ratgeber lesen Sie weitere Tipps zu den Themen Tracking, Malware & Phis­hing.