Passwort und Datensicherheit
Zuletzt aktualisiert am 1. Juni 2026
Ein durchschnittlicher Internetnutzer hat schätzungsweise über 70 Accounts, die nur über individuelle Zugangsdaten eingesehen werden können. Sowohl im Beruf als auch im privaten Bereich gilt es, sichere Passwörter festzulegen. Hier tun sich viele Menschen schwer, was dazu führt, dass die Angriffsfläche für Hacker steigt.
Erfahren Sie hier, wie Sie jegliche Zugangsdaten einfach managen könne und Ihre Datensicherheit steigern.
Passwortmanager
Ein Passwortmanager ist der erste Sicherheitswall, den es anzulegen gilt. Eine solche Software vergibt an jeden der vom Nutzer eingespeicherten Zugänge ein möglichst sicheres Passwort. Das erschwert die meisten Angriffe. Der Vorteil für den Nutzer ist, dass er sich dieses nicht selbst merken muss. Stattdessen wird der Passwortmanager einfach über ein Masterpasswort aufgerufen.
DATUREX GmbH stellt Ihnen einen externen Datenschutzbeauftragten nach Art. 37 DSGVO — inklusive Audit, Schulungen, VVT-Pflege und Datenpannen-Meldung. Kostenlose Ersteinschätzung in 30 Minuten.
→ Leistungen ansehenErsteinschätzung anfragenEine solche Software ist zunächst natürlich gerätegebunden, kann aber auf mehreren Endgeräten unterschiedlicher Art eingerichtet werden. Diese Lösung eignet sich wegen der Einfachheit auch gut für den Einsatz im Betrieb.
Zusätzlich zum Passwort: Zwei-Faktor-Authentifizierung
Ein zweiter Sicherheitswall kann eine sogenannte Zwei-Faktor-Authentifizierung sein.
Die Zwei-Faktor-Authentifizierung (auch 2FA genannt) dient der zusätzlichen Sicherheit bei der Anmeldung, die sonst meist nur mit Passwort und Benutzername abgesichert ist. Zum Teil wird dafür auch die Multi-Faktor-Authentifizierung (MFA) benutzt.
Bei einer Authentifizierung über einen weiteren Faktor neben Passwort und Benutzernamen setzen viele Anbieter entsprechender Software auf das Akzeptieren einer Push-Benachrichtigung einer entsprechenden App auf dem Smartphone. Andere lassen den Nutzer auch einen Anruf empfangen, bei dem er eine bestimmte Taste als weiteren Faktor drücken muss. Es ist daneben auch möglich, selbst einen Hardware-Key als zweiten Faktor einzurichten.
Dass es sich hierbei nur um eine von vielen Sicherheitsmaßnahmen handelt und auch diese im Fall der Fälle ausgehebelt werden kann, zeigen die kürzlichen Angriffe der Hackergruppe Lapsus$ auf 2FA-Dienste.
Welche Verfahren im Bereich der Zwei-Faktor-Authentifizierung das beste ist, ist vom individuellen Anwendungsfall abhängig.
Notfallplan bei Passwortverlust
Für viele Menschen ist es ein Horrorszenario, sich selbst digital „auszusperren“. Selbst bei der besten Sicherheitsstrategie kann es zu (menschlichen) Fehlern kommen. Diese können dazu führen, dass der Zugriff auf den Account misslingt. Für solche Fälle sollte (insbesondere in Betrieben) ein Notfallplan als „Zweitschlüssel“ bereitstehen.
Ein sicheres Passwort sollte mindestens 12 Zeichen lang sein und eine Kombination aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen enthalten. Vermeiden Sie dabei persönliche Informationen wie Geburtsdaten, Namen von Familienmitgliedern oder Haustieren. Auch Wörter, die im Wörterbuch stehen, sind keine gute Wahl, da sogenannte Wörterbuchangriffe (Dictionary Attacks) diese systematisch durchprobieren. Eine bewährte Methode ist die Verwendung von Passphrasen. Dabei werden mehrere zufällige Wörter aneinandergereiht und durch Sonderzeichen oder Zahlen ergänzt. Eine solche Passphrase ist leichter zu merken als eine zufällige Zeichenkette, bietet aber dennoch ein hohes Maß an Sicherheit. Beispielsweise ist „Kaffee#Wolke7$Fahrrad!2024″ deutlich sicherer als „Passwort123″. Trotz zahlreicher Warnungen begehen viele Nutzer immer wieder dieselben Fehler bei der Wahl ihrer Passwörter. Laut aktuellen Studien gehören „123456″, „password“ und „qwerty“ nach wie vor zu den am häufigsten verwendeten Passwörtern weltweit. Dies macht es Angreifern besonders leicht, Zugang zu Accounts zu erhalten. Ein weiterer häufiger Fehler ist die Wiederverwendung desselben Passworts für mehrere Dienste. Wird ein Dienst kompromittiert und die Zugangsdaten gelangen in die Hände von Kriminellen, können diese sogenannte Credential-Stuffing-Angriffe durchführen. Dabei werden die erbeuteten Zugangsdaten automatisiert bei anderen Diensten ausprobiert. Wer überall dasselbe Passwort nutzt, riskiert so den Verlust aller Accounts gleichzeitig. Auch das Aufschreiben von Passwörtern auf Haftnotizen am Monitor oder unter der Tastatur ist ein Sicherheitsrisiko, das in vielen Büros nach wie vor anzutreffen ist. In Unternehmen sollte dies durch klare Richtlinien unterbunden werden. Unternehmen sollten klare Passwortrichtlinien etablieren, die für alle Mitarbeiter verbindlich sind. Diese Richtlinien sollten Mindestanforderungen an die Passwortkomplexität definieren, Regelungen zur regelmäßigen Passwortänderung enthalten und die Nutzung von Passwortmanagern vorschreiben oder zumindest empfehlen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat seine Empfehlungen in den letzten Jahren angepasst und rät inzwischen nicht mehr zu einem erzwungenen regelmäßigen Passwortwechsel, sofern ein ausreichend starkes Passwort gewählt wurde. Wichtig ist zudem die Schulung der Mitarbeiter im Umgang mit Passwörtern und der Erkennung von Phishing-Versuchen. Denn selbst das stärkste Passwort nützt nichts, wenn es durch Social Engineering oder Phishing-Mails in die falschen Hände gerät. Regelmäßige Awareness-Schulungen sind daher ein wichtiger Bestandteil einer vollständigen Datensicherheitsstrategie. Neben klassischen Passwörtern und der Zwei-Faktor-Authentifizierung gewinnen biometrische Verfahren zunehmend an Bedeutung. Fingerabdruckscanner, Gesichtserkennung und Iris-Scans bieten den Vorteil, dass sie nicht vergessen oder weitergegeben werden können. Allerdings bringen sie auch datenschutzrechtliche Herausforderungen mit sich, da biometrische Daten nach Art. 9 DSGVO als besondere Kategorien personenbezogener Daten gelten und einem erhöhten Schutz unterliegen. Unternehmen, die biometrische Authentifizierung einsetzen möchten, müssen daher sicherstellen, dass eine wirksame Einwilligung der betroffenen Mitarbeiter vorliegt oder eine andere Rechtsgrundlage greift. Zudem müssen die biometrischen Daten durch geeignete technisch-organisatorische Maßnahmen besonders geschützt werden. Ein Datenschutzbeauftragter kann hier wertvolle Unterstützung bei der rechtskonformen Umsetzung leisten. Eine vielversprechende Entwicklung im Bereich der Authentifizierung sind sogenannte Passkeys. Diese basieren auf dem FIDO2-Standard und ersetzen herkömmliche Passwörter durch kryptografische Schlüsselpaare. Der private Schlüssel verbleibt dabei sicher auf dem Gerät des Nutzers und wird niemals an den Dienst übertragen. Große Technologieunternehmen wie Apple, Google und Microsoft unterstützen Passkeys bereits in ihren Ökosystemen. Der Vorteil von Passkeys liegt in ihrer Resistenz gegen Phishing-Angriffe, da kein Geheimnis existiert, das abgefangen werden könnte. Allerdings stehen Unternehmen vor der Herausforderung, ihre bestehende Infrastruktur auf diesen neuen Standard umzustellen. Eine schrittweise Migration unter Beibehaltung alternativer Anmeldemethoden ist in den meisten Fällen der empfehlenswerte Weg.Wie sieht ein sicheres Passwort aus?
Die häufigsten Fehler bei der Passwortvergabe
Passwortrichtlinien im Unternehmen
Biometrische Authentifizierung als Alternative
Passkeys: Die Zukunft der Authentifizierung
Datenlecks und ihre Folgen
Die Konsequenzen unsicherer Passwörter werden häufig unterschätzt. Datenlecks bei großen Unternehmen haben in den vergangenen Jahren Milliarden von Zugangsdaten offengelegt. Datenbanken wie „Have I Been Pwned“ dokumentieren über 12 Milliarden kompromittierte Accounts. Sobald ein Passwort in einer solchen Datenbank auftaucht, wird es von Angreifern in automatisierte Angriffslisten aufgenommen und systematisch gegen verschiedene Dienste getestet.
Für Unternehmen können die Folgen eines durch schwache Passwörter ermöglichten Sicherheitsvorfalls verheerend sein. Neben dem unmittelbaren Schaden durch Datenverlust oder Betriebsunterbrechung drohen Bußgelder nach der DSGVO von bis zu 20 Millionen Euro oder 4 Prozent des weltweiten Jahresumsatzes. Hinzu kommen Schadensersatzansprüche betroffener Personen nach Art. 82 DSGVO und der kaum bezifferbare Reputationsschaden. Investitionen in eine solide Passwortstrategie sind daher nicht nur technisch sinnvoll, sondern auch wirtschaftlich geboten.
Single Sign-On und Zero Trust
Single Sign-On (SSO) ermöglicht es Nutzern, sich mit einem einzigen Satz von Zugangsdaten bei mehreren Anwendungen anzumelden. In Unternehmensumgebungen reduziert SSO die Anzahl der zu verwaltenden Passwörter erheblich und senkt damit das Risiko schwacher oder wiederverwendeter Passwörter. Bekannte Protokolle wie SAML, OAuth 2.0 und OpenID Connect ermöglichen eine sichere Implementierung von SSO-Lösungen.
Das Zero-Trust-Sicherheitsmodell geht noch einen Schritt weiter. Statt einem einmal authentifizierten Nutzer pauschal zu vertrauen, wird bei jedem Zugriff auf eine Ressource eine erneute Überprüfung durchgeführt. Faktoren wie der Standort des Nutzers, das verwendete Gerät, die Tageszeit und das Verhaltensmuster fließen in die Zugangsentscheidung ein. Dieser Ansatz bietet ein deutlich höheres Sicherheitsniveau als traditionelle Authentifizierungsverfahren und wird von führenden Sicherheitsexperten als zukunftsweisend betrachtet.
Fazit: Passwortsicherheit als Grundpfeiler des Datenschutzes
Die Sicherheit von Passwörtern und Zugangsdaten ist kein Randthema, sondern ein zentraler Baustein der Informationssicherheit und des Datenschutzes. Unternehmen, die in Passwortmanager, Zwei-Faktor-Authentifizierung und regelmäßige Mitarbeiterschulungen investieren, schützen nicht nur ihre eigenen Daten, sondern auch die personenbezogenen Daten ihrer Kunden, Mitarbeiter und Geschäftspartner. Angesichts der stetig wachsenden Bedrohungslage ist eine kontinuierliche Überprüfung und Verbesserung der Passwortstrategie nötig.
Regelmäßige Sicherheitsüberprüfungen
Eine gute Passwortstrategie ist kein einmaliges Projekt, sondern ein fortlaufender Prozess. Unternehmen sollten in regelmäßigen Abständen überprüfen, ob ihre Passwortrichtlinien noch den aktuellen Bedrohungen entsprechen. Dabei kann ein sogenanntes Passwort-Audit hilfreich sein, bei dem die Stärke der verwendeten Passwörter systematisch getestet wird. Professionelle Tools können dabei schwache oder kompromittierte Passwörter identifizieren, ohne die eigentlichen Passwörter offenzulegen.
Auch die regelmäßige Überprüfung der Zugriffsrechte ist ein wichtiger Baustein der Datensicherheit. Mitarbeiter, die das Unternehmen verlassen oder die Abteilung wechseln, sollten umgehend ihre bisherigen Zugänge verlieren. In vielen Unternehmen schlummern sogenannte „verwaiste Accounts“ ehemaliger Mitarbeiter, die ein erhebliches Sicherheitsrisiko darstellen. Ein strukturiertes Offboarding-Verfahren, das die Deaktivierung aller Zugänge einschließt, ist daher wichtig.
Professionelle Datenschutz-Unterstützung für Ihr Unternehmen
Als erfahrene Datenschutzexperten unterstützen wir Sie bei allen Anforderungen der DSGVO. Unsere Leistungen im Überblick:
- DSGVO-Beratung – Individuelle Beratung für Ihr Unternehmen
- Verarbeitungsverzeichnis – Professionelle Erstellung und Pflege
- Technisch-organisatorische Maßnahmen – TOM nach DSGVO
- Datenschutz-Schulungen – Mitarbeiterschulungen und Awareness
Verwandte Beiträge
Professioneller Datenschutz für Ihr Unternehmen
Die DATUREX GmbH ist Ihr zertifizierter externer Datenschutzbeauftragter — bundesweit, persönlich und DSGVO-konform. Ab 150 €/Monat.