Passwort regelmäßig ändern – warum die alte Regel nicht mehr trägt

Die Empfehlung „Passwort regelmäßig ändern“ ist in vielen Köpfen noch fest verankert. Sie vermittelt das Gefühl aktiver Sicherheit: Wer ändert, handelt. Doch moderne Angriffsszenarien zeigen, dass diese Logik zu kurz greift.

Ein starrer Wechselrhythmus erhöht das Schutzniveau nicht automatisch. In der Praxis führt er häufig dazu, dass Passwörter nur minimal abgewandelt werden. Genau solche Muster lassen sich jedoch besonders gut vorhersagen.

Die entscheidende Frage lautet daher nicht: „Ist mein Passwort alt?“
Sondern: „Was macht ein Passwort überhaupt sicher?“

In diesem Artikel erfahren Sie, welche Faktoren die Sicherheit eines Passworts heute tatsächlich bestimmen, warum regelmäßige Passwortwechsel allein keinen wirksamen Schutz bieten und welche Maßnahmen Benutzerkonten wirklich absichern.

Wann sollten Sie Ihr Passwort ändern – und wann nicht?

Ein Passwort wird nicht automatisch unsicher, nur weil Zeit vergeht. Es muss nicht in festen Intervallen geändert werden. Ein Wechsel ist immer dann erforderlich, wenn die Vertraulichkeit nicht mehr gewährleistet ist – also wenn Zugangsdaten kompromittiert wurden oder werden könnten. Das BSI (Bundesamt für Sicherheit in der Informationstechnik) selbst rät mittlerweile von der regelmäßigen Änderung von Passwörtern ab.

Ein Passwortwechsel ist immer dann sinnvoll, wenn es einen konkreten Anlass gibt. Das ist zum Beispiel der Fall, wenn ein Dienst einen Sicherheitsvorfall meldet oder wenn Sie Hinweise erhalten, dass Ihre Zugangsdaten in einem Datenleck enthalten sein könnten.

Ebenso eindeutig ist die Lage bei Phishing. Wer seine Zugangsdaten auf einer gefälschten Website eingegeben hat, muss davon ausgehen, dass sie bekannt sind. Hier zählt Geschwindigkeit: Passwort ändern, aktive Sitzungen prüfen, Sicherheitsoptionen kontrollieren.

Und dann gibt es die stillen Warnzeichen, die viele unterschätzen: Anmeldebenachrichtigungen, die nicht zu Ihrem Verhalten passen. Einstellungen, die sich „von selbst“ ändern. E-Mails, die Sie nicht versendet haben. Oder Passwort-Reset-Mails, obwohl Sie nichts angefordert haben. Wer solche Signale sieht, sollte nicht diskutieren, ob ein Passwortwechsel „übertrieben“ ist. Er sollte handeln – weil es bereits Indikatoren für einen unberechtigten Zugriff gibt.

Fehlt ein solcher Anlass, bringt ein kalenderbasierter Passwortwechsel keinen messbaren Sicherheitsgewinn. In der Praxis führt er häufig dazu, dass bestehende Passwörter nur minimal angepasst werden – etwa durch das Anhängen einer neuen Jahreszahl. Genau solche Muster sind für automatisierte Angriffe leicht erkennbar.

Wann sollten Sie ein Passwort also wirklich ändern?
1) Verdacht auf Datenleck oder kompromittierte Zugangsdaten
2) Phishing-Verdacht oder „Login“ auf verdächtiger Seite
3) Anzeichen für unberechtigten Zugriff
4) Wiederverwendete Passwörter

🛡️ Mehr Sicherheit durch starke Passwörter: Ein starkes Kennwort ist eine der wichtigsten Schutzmaßnahmen gegen unbefugte Zugriffe. Unser kostenloses Infoblatt „Sicheres Kennwort erstellen“ enthält kompakte Tipps und Beispiele, wie Sie sichere Passwörter erstellen und typische Fehler vermeiden. Jetzt anfordern.

Was ein sicheres Passwort heute ausmacht

Wenn nicht das Wechselintervall entscheidend ist, rückt die Qualität des Passworts in den Mittelpunkt.

Ein sicheres Passwort darf nicht auf persönlichen Informationen beruhen, nicht aus bekannten Mustern bestehen und keine systematischen Varianten früherer Passwörter darstellen. Namen von Familienmitgliedern, Haustieren, Geburtsdaten oder saisonale Begriffe gehören zu den ersten Kombinationen, die automatisierte Angriffe testen. Ein Passwort wie „Hamburg2025!“ enthält zwar Großbuchstaben, Zahlen und ein Sonderzeichen – es folgt aber einem leicht erkennbaren Muster. Genau solche Muster werden in Angriffsszenarien systematisch durchgespielt.

Ein sicheres Passwort darf nicht nur formal komplex wirken, es muss tatsächlich unvorhersehbar sein. Technisch betrachtet gibt es zwei valide Wege zu einem belastbaren Passwort:

Kurz und komplex

Ein Passwort kann vergleichsweise kurz sein – typischerweise acht bis zwölf Zeichen – muss dann jedoch mehrere unterschiedliche Zeichenarten kombinieren. Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen sollten in echter Zufälligkeit eingesetzt werden. Eine bloße Mischung reicht nicht aus, wenn das Passwort weiterhin einem klaren Muster folgt.

Lang und weniger komplex

Alternativ kann ein Passwort deutlich länger sein – in der Regel mindestens 25 Zeichen – und aus mehreren nicht zusammenhängenden Wörtern bestehen, die beispielsweise durch ein Zeichen getrennt sind. Die Schutzwirkung entsteht dann primär durch die Länge, nicht durch maximale Zeichenvielfalt. Mit jeder zusätzlichen Zeichenposition wächst der mögliche Kombinationsraum exponentiell.

Eine Passphrase wie „Zugriff_Nebel_Metall_47“ wirkt auf den ersten Blick weniger kryptisch als eine kurze Zeichenfolge aus Symbolen. Durch ihre Länge und die Kombination unabhängiger Begriffe ist sie jedoch in vielen Szenarien deutlich widerstandsfähiger. Mit jeder zusätzlichen Zeichenposition wächst der mögliche Kombinationsraum exponentiell.

Unabhängig von der gewählten Strategie gilt:

• Für jeden Account sollte ein eigenes Passwort verwendet werden.
• Alle verfügbaren Zeichenarten können genutzt werden – auch Leerzeichen.
• Das vollständige Passwort sollte nicht als Wort im Wörterbuch vorkommen.

Zu vermeiden sind insbesondere:

• Namen, Geburtsdaten oder andere persönliche Bezüge,
• einfache Tastaturmuster wie „asdfgh“ oder „1234abcd“,
• Sonderzeichen oder Ziffern ausschließlich am Anfang oder Ende eines ansonsten einfachen Wortes,
• sowie die Wiederverwendung desselben Passworts bei mehreren Diensten.

Praxisregel: Wenn Sie zwischen „kompliziert“ und „lang“ wählen müssen, ist „lang und einzigartig“ in vielen Fällen die bessere Entscheidung.

Weitere Tipps und Beispiele finden Sie in unserem Merkblatt „Sicheres Kennwort erstellen“ – jetzt kostenlos anfordern.

Warum Wiederverwendung gefährlicher ist als seltenes Ändern

Viele Kontoübernahmen entstehen nicht durch „zu alte“ Passwörter, sondern durch Wiederverwendung.

Wird ein weniger bedeutender Online-Dienst kompromittiert, gelangen häufig Kombinationen aus E-Mail-Adresse und Passwort in Umlauf. Diese werden automatisiert bei anderen Plattformen getestet. Gelingt der Zugriff auf ein E-Mail-Konto oder einen Cloud-Dienst, entsteht eine Kettenreaktion.

Besonders kritisch ist dabei das E-Mail-Konto. Es dient oft als zentrale Stelle für Passwort-Zurücksetzungen. Erhält ein Angreifer Zugriff auf das Postfach, kann er weitere Accounts übernehmen, Sicherheitsbenachrichtigungen löschen oder das Konto für betrügerische Zwecke missbrauchen.

In solchen Szenarien spielt es keine Rolle, ob das Passwort regelmäßig geändert wurde. Entscheidend ist allein, dass es identisch existierte.

Ein Passwort ist nur dann wirklich belastbar, wenn es einzigartig ist.

Warum ein Passwortmanager sinnvoll ist

Die Forderung „ein Passwort pro Account“ ist sicherheitstechnisch richtig – im Alltag jedoch kaum ohne Hilfsmittel umsetzbar. Wer für jeden Dienst ein langes oder komplexes Passwort verwenden soll, stößt schnell an praktische Grenzen.

Genau hier kommen Passwortmanager ins Spiel.

Ein Passwortmanager speichert für jeden Account ein eigenes, starkes Passwort und kann neue Zugangsdaten automatisch generieren. Dadurch entfällt die Versuchung, Muster zu verwenden oder bestehende Passwörter leicht abzuwandeln. Die Sicherheit steigt, weil Einzigartigkeit technisch durchgesetzt wird.

Zugleich reduziert sich das Risiko, Passwörter unsicher abzulegen – etwa in Notizen, Tabellen oder E-Mails. Der Zugriff auf den Passwortmanager selbst wird in der Regel durch ein starkes Master-Passwort und idealerweise durch Zwei-Faktor-Authentisierung geschützt. Ein ungeschützter Passwortmanager würde sonst selbst zum kritischen Single Point of Failure.

Für Unternehmen bieten Passwortmanager darüber hinaus Funktionen wie rollenbasierte Freigaben, Audit-Protokolle und kontrollierte Übergaben von Zugängen. Damit werden nicht nur Sicherheits-, sondern auch Compliance-Anforderungen unterstützt.

Wichtig ist: Auch ein Passwortmanager ersetzt keine zusätzliche Absicherung durch 2FA. Er erleichtert die Umsetzung starker, einzigartiger Passwörter – er macht sie praktikabel. Der Sicherheitsgewinn entsteht auf mehreren Ebenen. Erstens wird echte Zufälligkeit gewährleistet, da Passwörter automatisiert erzeugt werden. Zweitens entfällt die Notwendigkeit, sich einzelne Zugangsdaten zu merken oder systematisch abzuwandeln. Drittens erkennen viele Lösungen wiederverwendete oder kompromittierte Passwörter und weisen aktiv darauf hin.

Wer konsequent auf Einzigartigkeit setzt, kommt an einem Passwortmanager kaum vorbei.

Warum Zwei-Faktor-Authentisierung wichtiger ist als das Passwort regelmäßig zu ändern

Selbst ein starkes und einzigartiges Passwort kann abgegriffen werden – etwa durch Phishing. Wer seine Zugangsdaten auf einer gefälschten Website eingibt, hat sie faktisch preisgegeben. Genau hier stößt die reine Passwortstrategie an ihre Grenzen.

Deshalb sollte ein Passwort nicht der einzige Schutzmechanismus bleiben. Die Zwei-Faktor-Authentisierung ergänzt das Passwort um einen zusätzlichen Nachweis, beispielsweise durch einen Einmalcode aus einer Authenticator-App oder eine Gerätebestätigung.

Der Sicherheitsgewinn ist erheblich. Selbst wenn ein Passwort kompromittiert wurde, reicht es allein nicht aus, um auf das Konto zuzugreifen. Damit verschiebt sich der Fokus weg von der Frage, ob man ein Passwort regelmäßig ändern sollte, hin zur Frage, ob es technisch ausreichend abgesichert ist.

Gerade für sensible Konten – insbesondere das E-Mail-Konto – sollte die Zwei-Faktor-Authentisierung konsequent aktiviert sein. Sie reduziert das Risiko einer Kontoübernahme deutlich, selbst wenn Zugangsdaten bekannt geworden sind.

Ein starkes Passwort in Kombination mit aktivierter Zwei-Faktor-Authentisierung bietet daher ein deutlich höheres Sicherheitsniveau als ein regelmäßig geändertes Passwort ohne zusätzlichen Faktor.

Auch im Unternehmensumfeld verschiebt sich die Priorität klar. Administrator-Zugänge, Cloud-Dienste und Kollaborationsplattformen sollten nicht allein durch ein Passwort geschützt sein – unabhängig davon, wie oft es geändert wird. Entscheidend ist, dass ein zweiter Faktor technisch durchgesetzt wird. Phishing-Versuche gehören zum digitalen Alltag. Die Frage ist daher nicht, ob Zugangsdaten irgendwann kompromittiert werden könnten – sondern ob ein kompromittiertes Passwort allein ausreicht, um Schaden anzurichten.

Was tun, wenn ein Konto kompromittiert wurde?

Auch bei sorgfältiger Passwortstrategie und aktivierter Mehrfaktor-Authentisierung lässt sich ein Sicherheitsvorfall nicht vollständig ausschließen. Umso wichtiger ist es, Warnsignale frühzeitig zu erkennen. Anzeichen für einen unbefugten Zugriff können ungewöhnliche Login-Benachrichtigungen, veränderte Kontoeinstellungen, unbekannte Passwort-Reset-Mails oder versendete Nachrichten sein, die man selbst nicht verfasst hat. Auch gesperrte Zugänge oder Hinweise auf neue hinterlegte Geräte sollten ernst genommen werden.

Typische Warnzeichen sind:

• unbekannte Anmeldeversuche
• veränderte Sicherheitseinstellungen
• Passwort-Reset-Mails ohne eigenes Zutun
• versendete Nachrichten, die man selbst nicht geschrieben hat

Tritt eines dieser Anzeichen auf, ist zügiges, aber strukturiertes Handeln erforderlich. Zunächst sollte das betroffene Passwort umgehend geändert werden – sofern noch Zugriff besteht. Gleichzeitig empfiehlt es sich, alle aktiven Sitzungen zu beenden und angemeldete Geräte zu überprüfen. Falls noch nicht geschehen, sollte eine Mehrfaktor-Authentisierung aktiviert oder neu eingerichtet werden.

Im nächsten Schritt sind die hinterlegten Wiederherstellungsoptionen zu kontrollieren. Dazu zählen alternative E-Mail-Adressen, Telefonnummern oder Sicherheitsfragen. Wurden diese manipuliert, ist besondere Vorsicht geboten. Bei geschäftskritischen Konten sollte zusätzlich die interne IT-Abteilung oder ein externer IT-Dienstleister eingebunden werden, um mögliche Folgeschäden zu analysieren.

Von zentraler Bedeutung ist dabei das E-Mail-Konto. Da es in vielen Fällen als Ausgangspunkt für Passwort-Resets dient, muss seine Integrität zuerst sichergestellt werden. Erst danach sollten weitere betroffene Dienste überprüft und gegebenenfalls abgesichert werden.

Ein Sicherheitsvorfall ist kein Einzelfallproblem, sondern häufig Teil eines größeren Zusammenhangs. Wer ein kompromittiertes Passwort auch bei anderen Diensten verwendet hat, muss diese ebenfalls überprüfen und dort Änderungen vornehmen. Andernfalls besteht das Risiko weiterer Kontoübernahmen.

Zusammengefasst:

1. Passwort sofort ändern – sofern noch Zugriff besteht.
2. Alle aktiven Sitzungen beenden und unbekannte Geräte entfernen.
3. Wiederherstellungsdaten prüfen (E-Mail-Adresse, Telefonnummer).
4. Zwei-Faktor-Authentisierung aktivieren, falls noch nicht eingerichtet.

Falls kein Zugriff mehr möglich ist: die angebotenen Kontowiederherstellungsprozesse des jeweiligen Dienstes nutzen.

Unterstützung für Unternehmen: Kontoschutz strukturiert umsetzen Sie vermuten einen Sicherheitsvorfall in Ihrem Unternehmen, möchten Ihre bestehende Lösung überprüfen lassen oder neue Sicherheitsstrategien implementieren? Sprechen Sie uns gerne an – wir unterstützen Sie bei der Analyse, Absicherung und Weiterentwicklung Ihrer IT-Sicherheitsmaßnahmen.

Fazit: Nicht regelmäßig wechseln, sondern richtig absichern – und wie SYMPLASSON Sie dabei unterstützt

Die pauschale Empfehlung, ein Passwort regelmäßig zu ändern, ist heute nicht mehr der effektivste Weg, um Konten sicher zu halten. Ein Passwort wird nicht allein durch Zeit unsicher, sondern durch Kompromittierung oder Wiederverwendung. Viel entscheidender ist deshalb:

• ein starkes, nicht vorhersagbares Passwort,
• das nur für einen einzigen Account genutzt wird,
• und die Absicherung des Zugangs über eine zusätzliche Schutzschicht wie die Zwei-Faktor-Authentisierung (2FA).

Ergänzend dazu sollte die strukturierte Einführung eines Passwortmanagers erfolgen, um Einzigartigkeit und ausreichende Passwortlänge technisch und organisatorisch zuverlässig umzusetzen.

Wer diese Grundsätze beachtet, reduziert das Risiko einer Kontoübernahme deutlich – ganz ohne starre Wechselintervalle.

Genau hier setzt eine moderne Sicherheitsstrategie an – und viele Unternehmen stehen dabei vor ähnlichen Herausforderungen: Sie müssen Passwörter absichern, Systeme überwachen, Risiken minimieren und im Ernstfall schnell und sicher reagieren.

SYMPLASSON bietet in diesem Kontext eine Reihe sinnvoller, praxisnaher Unterstützungsleistungen:

• Mit unseren Managed Services übernehmen wir die kontinuierliche Überwachung und Pflege Ihrer IT-Sicherheit – inklusive Update-Management, Firewall-Konfigurationen und zentralem Monitoring. Das reduziert das Risiko, dass ein kompromittiertes Passwort überhaupt zum Einfallstor wird.
• Der Managed Backup Service sorgt dafür, dass Daten selbst bei Angriffen oder Systemausfällen geschützt und wiederherstellbar bleiben – ein wichtiger Baustein der Gesamtsicherheit.
• Durch die Managed Desktop & Server Services werden Endgeräte und Server systematisch verwaltet und abgesichert, sodass Schwachstellen, die Angriffe begünstigen, frühzeitig beseitigt werden.
• Die umfassenden IT-Systembetreuung– und Sicherheitsservices von SYMPLASSON integrieren klassische Passwortsicherheit mit organisatorischen und technischen Maßnahmen, die komplett aufeinander abgestimmt sind – vom Monitoring über die Aktualisierung bis zur Risikoanalyse.

Mit über 30 Jahren Erfahrung in der IT-Dienstleistung unterstützt SYMPLASSON Unternehmen dabei, nicht nur reaktiv, sondern proaktiv für Sicherheit zu sorgen. Statt sich allein auf „Passwort regelmäßig ändern“ zu konzentrieren, wird hier ein ganzes Sicherheitsnetz gespannt, das Zugangssicherheit, Systemhygiene und laufenden Schutz verbindet.

🛡️ Mehr Sicherheit durch starke Passwörter: Ein starkes Kennwort ist eine der wichtigsten Schutzmaßnahmen gegen unbefugte Zugriffe. Unser kostenloses Infoblatt „Sicheres Kennwort erstellen“ enthält kompakte Tipps und Beispiele, wie Sie sichere Passwörter erstellen und typische Fehler vermeiden. Jetzt anfordern.