Dieser Artikel stützt sich auf öffentlich zugängliche Cybersicherheitsforschung, Branchenberichte und weithin anerkannte Sicherheitspraktiken. Wo persönliche Erfahrung erwähnt wird, ist dies ausdrücklich gekennzeichnet.

Kurz gesagt

Von Menschen erstellte Passwörter folgen vorhersehbaren Mustern, die Angreifer mit Wörterbuch- und regelbasierten Angriffen ausnutzen.
Selbst "clever" wirkende Passwörter wie L!nk3d1n2020 fallen in Minuten, weil sie gängigen Ersetzungsregeln folgen.
Von CSPRNG generierte Passwörter entziehen Angreifern ihre mächtigsten Werkzeuge: Wörterbücher und Regeln.
Nutzen Sie einen Passwort-Manager mit einem starken Master-Passwort, aktivieren Sie MFA und verwenden Sie niemals ein Passwort mehrfach.

Kurze Antwort

Nach fünfzehn Jahren im Penetrationstesting kann ich bestätigen: Von Menschen erstellte Passwörter sind durchgängig das schwächste Glied bei Sicherheitsbewertungen. Angreifer erraten Passwörter nicht einzeln – sie automatisieren Angriffe mit Wörterbüchern aus Milliarden echter Passwörter und regelbasierten Transformationen. Passwörter wie Tiger2021! werden in Minuten geknackt, weil sie Mustern folgen, die Menschen kaum vermeiden können: ein Wort, ein Großbuchstabe, Zahlen am Ende. Der einzige wirksame Schutz besteht darin, diese menschliche Vorhersehbarkeit durch kryptografisch sichere Zufallsgenerierung vollständig zu eliminieren.

Für eine schnelle Generierung nutzen Sie den Passwort-Generator. Für mehr Hintergrund lesen Sie Passwort-Entropie Erklärt, Passwort-Manager vs. Browser, Wie Lang Sollte Ein Passwort Sein? und Ist Es Sicher, Online-Generatoren Zu Nutzen?.

Ein Datenleck, das die meisten vergessen haben — aber nicht sollten

2012 traf LinkedIn eines der damals größten Datenlecks der Geschichte. Spätere Analysen zeigten, dass rund 167 Millionen Kontodatensätze offengelegt wurden, davon rund 117 Millionen mit E-Mail-Adressen und Passwort-Hashes.

Als Sicherheitsteams die geknackten Passwörter untersuchten, waren die Ergebnisse schmerzhaft vertraut. password1, linkedin123 und ähnlich lieblose Wahlen tauchten millionenfach auf. Interessanter — und beunruhigender — ist, dass selbst clever wirkende Passwörter wie L!nk3d1n2020 schnell fielen. Warum? Weil sie Mustern folgten, die Menschen fast immer verwenden.

Ich arbeite seit über fünfzehn Jahren im Bereich Cybersicherheits-Penetrationstesting. Mein Job besteht darin — legal — in Systeme einzudringen, mit denselben Methoden, die echte Angreifer nutzen. Passwörter sind für mich kein theoretisches Thema; ich sehe sie jeden Tag in der Praxis versagen.

Wie Passwörter tatsächlich angegriffen werden

Um zu verstehen, warum manche Passwörter standhalten und andere nicht, muss man die Perspektive des Angreifers einnehmen. Angreifer sitzen nicht da und raten Passwörter einzeln. Sie automatisieren alles.

Wörterbuchangriffe: Diese stützen sich auf riesige Sammlungen echter Passwörter, Wörter, Phrasen und Variationen, die über Jahre aus Datenlecks gesammelt wurden. Diese Wörterbücher enthalten Milliarden von Einträgen und wachsen weiter.
Regelbasierte Angriffe: Diese sind gegen menschliche Kreativität verheerend wirksam. Tools wenden automatisch gängige Gewohnheiten an: "o" durch "0" ersetzen, "123" oder "!" am Ende hinzufügen, den ersten Buchstaben großschreiben, ein Jahr einfügen und so weiter. Die meisten "cleveren" Passwörter fallen genau hier.
Brute Force: Jede mögliche Kombination durchprobieren. Das klingt beängstigend, aber gegen lange, wirklich zufällige Passwörter, die mit modernen Hash-Algorithmen gespeichert werden, wird Brute Force schnell unpraktikabel, einfach weil es zu lange dauert.

Das Problem mit selbst erstellten Passwörtern

Wir mögen Passwörter, die wir selbst erfinden, weil sie sich persönlich und einprägsam anfühlen. Leider zeigen Forschung — und Erfahrung — dass sie auch hochgradig vorhersehbar sind.

Muster wiederholen sich: Groß angelegte Studien, unter anderem der Carnegie Mellon University, zeigen durchgängig dieselben Strukturen: ein Wort oder Name, ein Großbuchstabe am Anfang, Zahlen oder Symbole am Ende. Der Inhalt ändert sich, aber die Form bleibt gleich. Sobald Angreifer diese Struktur modellieren, wird das Knacken drastisch schneller.
Die Länge stößt an eine Grenze: Die meisten selbst erstellten Passwörter liegen zwischen 8 und 10 Zeichen. Nicht weil Menschen nicht wissen, dass länger sicherer ist, sondern weil das Gedächtnis uns zu kürzeren Zeichenketten drängt.
Persönliche Informationen fließen ein: Geburtstage, Haustiernamen, Jahrestage — Menschen verwenden sie ständig. Und im Zeitalter sozialer Medien müssen Angreifer oft nicht einmal raten.

Warum Zufallspasswörter ein anderes Spiel spielen

Ein Passwort, das von einem sicheren Zufallspasswort-Generator erstellt wurde — etwas wie r8$NpL#2qW9 — ist nicht einfach nur "komplexer". Es ist grundlegend anders.

Jedes Zeichen wird unabhängig gewählt. Es gibt keine Wörter, keine Ersetzungen, keine menschliche Logik. Allein diese Tatsache entzieht dem Angreifer seine mächtigsten Werkzeuge: Wörterbücher und Regeln.

Aus zahlenmäßiger Sicht:

Ein 8-Zeichen-Passwort nur mit Kleinbuchstaben hat etwa 26⁸ Möglichkeiten (~209 Milliarden).
Mit Großbuchstaben, Zahlen und Symbolen sind es plötzlich rund 95⁸ (~6 Billiarden).
Bei 12 Zeichen wird der Raum astronomisch groß.

Aber der eigentliche Vorteil ist nicht nur die Größe — es ist, dass zufällige Passwörter Angreifer zu Brute Force zwingen, was langsam, teuer und oft den Aufwand nicht wert ist.

Wie das Knacken dieser Passwörter in der Praxis aussieht

Aus Sicht eines Penetrationstesters ist der Unterschied eklatant:

Passworttyp	Beispiel	Angriffsmethode	Zeit bis zum Knacken
Selbst erstellt	`Tiger2021!`	Wörterbuch & regelbasiert	Minuten bis Stunden
Zufällig generiert	`r8$NpL#2qW9`	Reine Brute Force	Jahre / Jahrhunderte

Wenn das Passwort ordentlich mit etwas wie bcrypt oder Argon2 gehasht ist, bedeutet Brute Force gegen die Zufallszeichenkette einen Zeitrahmen, der den Angriff undurchführbar macht. In den meisten realen Fällen zieht der Angreifer einfach weiter.

Der eigentliche Kompromiss: Mensch gegen Zufall

Die größte Schwäche von Zufallspasswörtern ist nicht die Sicherheit — es ist die Benutzbarkeit. Menschen sind furchtbar darin, bedeutungslose Zeichenketten zu merken. Das ist die zentrale Spannung in der Passwortsicherheit:

Passwörter, die sich Menschen gut merken, tendieren dazu, schwach zu sein.
Passwörter, die stark sind, tendieren dazu, nicht merkbar zu sein.

Moderne Sicherheitspraktiken existieren genau, um diese Lücke zu schließen.

Was heute wirklich funktioniert

Basierend auf Branchenkonsens und Praxiserfahrung:

Nutzen Sie einen Passwort-Manager: Tools wie Bitwarden oder 1Password lassen Sie sich auf ein einziges starkes Master-Passwort verlassen, während alles andere lang, zufällig und einzigartig ist. Dies gilt weithin als die beste Option für die meisten Menschen.
Wenn Sie sich etwas merken müssen, setzen Sie auf Länge: Eine Folge unzusammenhängender Wörter (z. B. coffee-zebra-battery-stapler) ist oft widerstandsfähiger gegen Angriffe — und leichter zu merken — als ein kurzes, symbollastiges Passwort.
Verwenden Sie Passwörter nie mehrfach: Sobald eine Seite kompromittiert ist, verwandelt Wiederverwendung dies in einen Dominoeffekt.
Aktivieren Sie MFA: E-Mail, Banking, Cloud-Konten — nutzen Sie immer Multi-Faktor-Authentifizierung.
Prüfen Sie Ihre Leck-Exposition: Dienste wie Have I Been Pwned zeigen Ihnen, ob Ihre E-Mail-Adresse in bekannten Datenleck-Datensätzen auftaucht.

Die wichtigsten Erkenntnisse

Menschliche Passwörter folgen wiederholbaren strukturellen Mustern (Wort + Zahl + Symbol).
Wörterbuchangriffe enthalten Milliarden echter Passwörter aus Datenlecks.
Regelbasierte Angriffe wenden automatisch gängige Ersetzungen an (o→0, a→@, Anhängen von 123 oder !).
Zufällige Passwörter mit 12+ Zeichen zwingen Angreifer zu Brute Force, was gegen modernes Hashing rechnerisch unmöglich ist.
Passwort-Manager überbrücken die Lücke zwischen Sicherheit und Benutzbarkeit.

Fazit

Menschliche Kreativität ist automatisierten Angriffswerkzeugen nicht gewachsen. Die einzigen Passwörter, die echte Penetrationstests überstehen, sind solche, die von CSPRNGs generiert wurden, bei denen jedes Zeichen unabhängig und unvorhersehbar ist. Das ist keine philosophische Debatte darüber, ob Menschen oder Maschinen "bessere" Passwörter erstellen — es geht um Risikomanagement. Computer sind gut darin, Zufälligkeit zu erzeugen, und Menschen sind gut darin, ein einzelnes Geheimnis zu schützen und auf Aufforderungen wie MFA zu reagieren. Lassen Sie jeden das tun, was er am besten kann.

Bereit, Ihre Sicherheit zu verbessern? Generieren Sie jetzt ein starkes, offline erzeugtes Passwort, um Ihre Konten sofort zu schützen.

Warum Sie PassGenerate vertrauen können

Passwörter werden lokal in Ihrem Browser mit der Web Crypto API generiert.
Es werden keine Passwörter an Server übertragen.
Nutzt einen kryptografisch sicheren Pseudozufallszahlengenerator (CSPRNG).
Folgt modernen Sicherheits-Best-Practices, empfohlen von NIST und OWASP.

Quellen

NIST SP 800-63B – Digital Identity Guidelines
OWASP Password Storage Cheat Sheet
OWASP Authentication Cheat Sheet
MDN Web Crypto API-Dokumentation
CISA Password Guidance

Warum Angreifer von Menschen erstellte Passwörter lieben