Wie lang sollte ein Passwort 2026 sein?

Wenn Sie nur eine Sache an Ihrer Passwortsicherheit ändern könnten: machen Sie Passwörter länger.

Jahre lang forderten Websites Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen. Gut gemeint—moderne Leitlinien wie NIST SP 800-63B-4 stellen Länge und Zufälligkeit vor kosmetische Komplexität.

Ein längeres, echt zufälliges Passwort vergrößert den Suchraum. Selbst mit starken GPUs können wenige Extra-Zeichen das Knacken von Stunden auf Jahrhunderte strecken.

Die kurze Antwort

Für die meisten Menschen mit Passwortmanager gelten 2026 diese Defaults:

Wenn ein Passwortmanager das Geheimnis speichert, spricht wenig dagegen, länger als das Minimum der Website zu gehen. Erzeugen Sie das längste akzeptierte Passwort—im Rahmen—und halten Sie es einzigartig. Für API-Schlüssel nutzt unser API-Schlüssel-Generator 32+ Zeichen.

Warum Länge wichtiger ist als Komplexität

Jedes zusätzliche Zufallszeichen multipliziert die Anzahl möglicher Passwörter. Fachleute nennen das den Suchraum.

Viele glauben, Buchstaben durch Symbole zu ersetzen reiche: Password123! oder P@ssw0rd!. Angreifer kennen diese Muster millionenfach. Cracking-Tools testen vorhersehbare Ersetzungen automatisch.

Eine echt zufällige Zeichenkette wie rQ7vL2!mX8@dP4#z hat kein ausnutzbares Muster. Die stärksten Passwörter sind nicht clever—sie sind unvorhersehbar.

Komplexität hilft, Zufälligkeit gewinnt

Zusammensetzungsregeln können das Alphabet erweitern. Sie helfen nur, wenn das Passwort zufällig erzeugt wird.

Menschen sind schlechte Zufallsgeneratoren. Passwörter, die Regeln erfüllen, folgen oft bekannten Formen: Firmenname2026!, Sommer2026!, Liverpool#1. Für Cracking-Software sind das frühe Kandidaten.

Das ist dieselbe Schlussfolgerung wie in unserem Leitfaden zu sicheren Passwörtern 2026: Länge, Zufälligkeit und Einzigartigkeit schlagen kosmetische Tricks.

Online- vs. Offline-Angriffe

Die sinnvolle Länge hängt auch vom Angriffsmodell ab.

Online greift jemand die Login-Seite an. Rate-Limits, CAPTCHAs, Sperren und MFA bremsen. Ein vernünftig starkes, einzigartiges Passwort ist über die Vordertür schwer zu brute-forcen.

Offline ist gefährlicher. Nach einem Leak testen GPUs Milliarden von Raten gegen gestohlene Hashes. Hier wird Länge kritisch. Unser Crack-Zeit-Simulator zeigt, wie Länge die geschätzte Offline-Zeit verändert.

Wie viel bringt ein Zeichen?

Wenn jedes Zeichen eines von etwa 90 druckbaren Symbolen sein kann, multipliziert ein weiteres Zufallszeichen den Suchraum ungefähr mit 90.

Vier Extra-Zeichen multiplizieren die Möglichkeiten mit etwa 90⁴—mehr als 65 Millionen Mal. Deshalb schlägt Länge clevere Ersetzungen—und deshalb belohnen Stärkeprüfungen Länge so stark.

Lieber eine Passphrase?

Manchmal. Zufallszeichenketten sind ideal, wenn ein Passwortmanager sie speichert.

Wenn Sie tippen müssen—Master-Passwort, Festplattenverschlüsselung, Geräte-Login, Wiederherstellung—ist eine Passphrase aus mehreren unzusammenhängenden Zufallswörtern meist besser.

Beispiel: planet museum bicycle velvet coffee orange. Leichter zu merken als Q8!wL9#xTp3@Jv2%, und stark, wenn die Wörter echt zufällig gewählt sind—nicht als Satz oder Songzeile erfunden.

Zielen Sie auf 5–7 Zufallswörter, wie in unserem 2026-Leitfaden. Lokal mit unserem Passphrase-Generator oder mit Diceware / unserem Handroller, wenn Sie Würfel bevorzugen.

Unterstützt jede Website lange Passwörter?

Nein. Viele moderne Dienste erlauben 64 Zeichen oder mehr, ältere Systeme kappen oft bei 16, 20 oder 32. Das sind meist Legacy-Grenzen, keine Sicherheitsfeatures.

Nutzen Sie das längste akzeptierte Passwort. Bei stiller Kürzung oder Ablehnung: maximale erlaubte Länge mit einem einzigartigen Zufallspasswort, plus MFA.

Was ist mit Passkeys?

Wo Passkeys verfügbar sind, bevorzugen Sie sie. Sie sind phishing-resistent, brauchen kein getipptes Geheimnis und nutzen Public-Key-Kryptografie.

Passwörter verschwinden nicht über Nacht. Zu wissen, wie lang ein starkes Passwort sein sollte, bleibt wichtig.

Praktische Empfehlungen

• Nutzen Sie einen Passwortmanager für Alltagslogins.
• Erzeugen Sie 16–20 Zufallszeichen für normale Konten.
• Nutzen Sie 20–24 Zeichen für E-Mail, Banking und andere Hochwert-Konten.
• Wiederverwenden Sie nie Passwörter.
• Aktivieren Sie MFA, wo immer möglich.
• Für memorierte Secrets: Passphrase aus 5–7 Zufallswörtern.
• Bevorzugen Sie Passkeys, wenn der Dienst sie anbietet.
• Ändern Sie Passwörter nach Kompromittierung oder Wiederverwendung—Leak-Check bei Unsicherheit—nicht nach festem Kalender.

Häufige Fragen

Fazit

Die stärksten Passwörter sehen nicht am kompliziertesten aus—sie enthalten die meiste Zufälligkeit.

Für fast jedes Online-Konto 2026 sind 16–20 zufällige Zeichen im Passwortmanager ein starker Default. 20–24 für Hochwert-Konten. Für Secrets zum Merken: Zufalls-Passphrase statt selbst erfundener Cleverness.

Ziel ist nicht ein Passwort, das sicher aussieht. Sondern eines, das ein Angreifer realistisch nicht erraten kann.

Weiterlesen

• Was macht ein Passwort 2026 sicher?
• Diceware erklärt: Herkunft, Sicherheit und wie Sie Ihre Passphrase selbst würfeln
• Passkeys: die nächste Stufe der passwortlosen Authentifizierung
• Woher kommt die Zufälligkeit von Passwörtern?
• Passwort-Wiederverwendung: Warum schon eine Wiederholung alles gefährden kann
• Wie Hacker Ihre Passwörter knacken und wie Sie das verhindern