Ändere-dein-Passwort-Tag: Wann ein Wechsel wirklich hilft

Am 1. Februar lohnt sich ein Blick auf eure Konten. Welche Passwörter sollten weg, welche dürfen bleiben – und was bringen Passwortmanager, zweite Faktoren und Passkeys?

Der 1. Februar trägt einen ziemlich direkten Namen: Ändere-dein-Passwort-Tag. Als Erinnerung, die eigenen Konten zu prüfen, ist er nützlich. Daraus muss aber kein jährliches Ritual werden, bei dem aus einem vertrauten Passwort bloß die nächste Variante entsteht. Entscheidend ist, welches Problem ihr mit einer Änderung löst.

Wann ein Passwortwechsel wirklich nötig ist

Wenn ein Passwort offengelegt wurde oder ihr einen begründeten Verdacht darauf habt, solltet ihr es ändern. Auch schwache oder mehrfach verwendete Passwörter gehören ersetzt. Ein starkes, einzigartiges Passwort braucht dagegen keinen Austausch allein deshalb, weil ein Kalenderblatt umgeschlagen wurde. Die aktuellen NIST-Richtlinien lehnen erzwungene regelmäßige Wechsel ohne Anlass ausdrücklich ab.

Hat ein betroffener Dienst ein Datenleck gemeldet, folgt seinen Hinweisen und schützt das betroffene Konto. Wurde dasselbe Passwort anderswo verwendet, ersetzt es auch dort. Sind mehrere Konten betroffen, gebt eurem Haupt-E-Mail-Konto besondere Priorität: Über das Postfach lassen sich häufig weitere Zugänge zurücksetzen. Ruft die bekannte Website oder App selbst auf, statt auf einen Passwort-Link in einer verdächtigen Nachricht zu klicken.

Ein eigenes Passwort für jedes Konto

Stellt euch vor, der Schlüssel zum alten Forum würde auch euren Briefkasten und eure Wohnung öffnen. Genau dieses Problem schafft ein mehrfach verwendetes Passwort. Für jedes Konto eine eigene Kombination zu verwenden, begrenzt die Folgen, wenn ein einzelner Zugang in falsche Hände gerät.

Länge und Unvorhersehbarkeit zählen mehr als dekorative Ersetzungen wie ein Ausrufezeichen am Ende. Die NIST-Erläuterung zur Passwortstärke beschreibt, weshalb kompliziert aussehende Muster nicht automatisch viel Schutz bieten. Der Geburtstag des Hamsters wird durch ein Sonderzeichen nicht zufällig.

Lasst einen Passwortmanager die Arbeit übernehmen

Ihr müsst euch keine Sammlung kryptischer Zeichenfolgen merken. Ein Passwortmanager kann lange, zufällige Passwörter erzeugen und geschützt speichern. Das BSI empfiehlt eigene Passwörter pro Konto und nennt Passwortmanager als praktische Hilfe.

Wahllos auf die Tastatur zu hauen ist kein verlässlicher Ersatz für einen Passwortgenerator. Auch ein unverschlüsseltes Word-Dokument ist kein geeigneter Passwortspeicher. Nutzt den Generator eures Passwortmanagers, schützt dessen Zugang mit einem starken Hauptpasswort und richtet die angebotenen Wiederherstellungsmöglichkeiten sorgfältig ein.

Eine zweite Hürde – oder gleich ein Passkey

Aktiviert bei wichtigen Konten die angebotene Mehrfaktor-Authentifizierung. Zusätzlich zum Passwort wird dann beispielsweise eine Authenticator-App oder ein Sicherheitsschlüssel benötigt. Bewahrt Wiederherstellungscodes sicher auf, damit ein verlorenes Gerät euch nicht dauerhaft aussperrt.

Unterstützt ein Dienst Passkeys, lohnt sich ein Blick auf diese Anmeldeoption. Wie das britische National Cyber Security Centre (NCSC) erklärt, ersetzen sie Passwörter durch kryptografische Schlüssel und sind gegen Phishing ausgelegt. Prüft auch hier, wie ihr bei einem Gerätewechsel wieder an euren Zugang kommt.

Die sinnvollere Aufgabe für den 1. Februar

Nehmt euch ein wichtiges Konto vor: Ist das Passwort einzigartig? Ist ein zweiter Faktor eingerichtet? Sind die Wiederherstellungsdaten noch aktuell? Behebt zuerst konkrete Schwachstellen. Ein guter Sicherheitscheck endet mit besser geschützten Konten, nicht mit einer möglichst langen Liste geänderter Passwörter.

Für die weniger ernsten Termine im Nerd-Kalender gibt es anschließend zum Beispiel unseren Beitrag zum Ehrentag der Bierdose.

Inhaltlich überarbeitet am 19. September 2026. Die früheren pauschalen Empfehlungen zum regelmäßigen Passwortwechsel und gegen das Speichern von Passwörtern wurden korrigiert.