# Was ein Passwort ist — und warum wir seit sechzig Jahren falschliegen > Das Computer-Passwort entstand 1961, das erste Leck kam ein Jahr später. Fast alles, was man uns über Passwörter beibrachte, stammt aus einer Vermutung von 2003, die ihr eigener Autor bereut. 2026-07-17 · David Carrero · password.es Original: https://password.es/de/blog/was-ist-ein-passwort/ --- Ein Passwort ist die Antwort auf eine sehr alte Frage: **Gehörst du zu uns?** Die Informatik hat es nicht erfunden. Polybios beschreibt im zweiten Jahrhundert v. Chr., wie das römische Heer jede Nacht ein Wort auf einem Holztäfelchen — der *tessera* — von Einheit zu Einheit weitergab und zurück zum Kommando. Wer es kannte, gehörte dazu. Wer nicht, nicht. Zweitausend Jahre später machen wir genau dasselbe. Geändert hat sich nur, wer fragt — und wie schnell er die Antwort erraten kann. ## 1961: Das Passwort kommt in den Computer Im November 1961 führte das MIT **CTSS** (*Compatible Time-Sharing System*) vor, geleitet von **Fernando Corbató**. Eine neue Idee: ein einziger, sehr teurer Computer, den mehrere Menschen gleichzeitig nutzen. Und da tauchte das Problem auf. Wenn die Maschine allen gehört, müssen die Dateien jedes Einzelnen ihm gehören. Der Computer brauchte eine Möglichkeit zu wissen, wer gerade tippt. Die Lösung war die naheliegendste — und die römischste, die es gab: jeder Nutzer bekommt ein eigenes Wort. Man sollte es genau sagen: Corbató hat das Passwort nicht erfunden. Er hat das **Passwort pro Nutzer auf einem Mehrbenutzer-Computer** erfunden, und das ist etwas anderes. Im Alter sagte er selbst, die Sache sei zu „einem Albtraum" geworden. ## 1962: Das erste Leck — und es ging um Rechenzeit Ein Jahr später hatte **Allan Scherr**, Doktorand an eben diesem MIT, ein sehr banales Problem: Ihm standen vier Stunden Rechenzeit pro Woche zu, und er brauchte mehr für seine Dissertation. Also bat er das System, die **Passwortdatei auszudrucken**. Mehr nicht. Sie lag da, im Klartext, und niemand hatte damit gerechnet, dass jemand danach fragt. Mit dem Ausdruck in der Hand nutzte er fremde Konten, um weiterzuarbeiten. Interessant ist nicht der Trick. Interessant ist das Motiv: **das erste Passwort-Leck der Geschichte ging nicht auf einen Kriminellen zurück, sondern auf jemanden, der weiterarbeiten wollte**. Sechzig Jahre später entstehen die meisten Sicherheitslücken noch immer so: vernünftige Leute suchen die Abkürzung. ## 1979: Jemand merkt, dass man sie gar nicht speichern sollte Fast zwei Jahrzehnte lang speicherten viele Systeme Passwörter im Klartext. Wer die Datei las, hatte alles. 1979 veröffentlichten **Robert Morris und Ken Thompson** in *Communications of the ACM* einen Aufsatz mit dem Titel „Password Security: A Case History" über das, was sie in Unix gemacht hatten. Zwei Ideen, auf denen heute alles ruht: - **Nicht das Passwort speichern, sondern seinen Hash.** Das System muss nicht wissen, wie dein Passwort lautet; es muss nur prüfen können, ob das eben Getippte dasselbe Ergebnis liefert. - **Das Salz**: jedem Passwort vor dem Hashen einen Zufallswert beimischen, damit zwei Menschen mit demselben Passwort nicht denselben Hash haben — und damit niemand eine Tabelle vorberechnen und alle auf einmal knacken kann. Wenn wir heute sagen, ein Dienst „sollte dein Passwort nicht kennen", zitieren wir einen Aufsatz von 1979. ## 2003: Die Regeln, die wir alle gelernt haben — und woher sie kamen 2003 schrieb **Bill Burr** beim amerikanischen NIST das Dokument, das bestimmen sollte, wie die halbe Welt nach Passwörtern fragt: **SP 800-63**. Daraus stammt alles, was du sofort wiedererkennst: > Mindestens ein Großbuchstabe, eine Ziffer und ein Symbol. Alle 90 Tage ändern. Es klang nach Wissenschaft. War es nicht. Burr hatte keine guten Daten über echte Passwörter — es gab kaum welche — also stützte er sich auf das Vorhandene und schloss auf das, was vernünftig schien: mehr Zeichenvielfalt, mehr Kombinationen, mehr Sicherheit. Das Problem ist: **Menschen sind keine Zufallsgeneratoren**. Verlang einen Großbuchstaben, und er steht vorn. Verlang eine Ziffer, und sie steht hinten. Verlang ein Symbol, und es ist ein `!`. Und wenn du alle drei Monate einen Wechsel erzwingst, wird aus `Sommer2024!` eben `Herbst2024!`. Das Ergebnis war eine ganze Generation von Passwörtern, die **komplex aussehen und trivial sind** — und erschöpfte Nutzer, die sie überall wiederverwenden, weil sie nicht mehr können. ## 2017: Das NIST rudert zurück, und Burr auch 2017 veröffentlichte das NIST **SP 800-63B** und nahm fast alles zurück: - **Länge zählt mehr als Komplexität.** - **Kein erzwungener Wechsel**, außer bei Hinweisen auf eine Kompromittierung. - **Das Passwort gegen Leak-Listen prüfen**, statt Symbole zu verlangen. Im selben Jahr sagte Burr dem *Wall Street Journal*, er bereue vieles von dem, was er geschrieben hatte. Es ist eine der ehrlichsten Richtigstellungen, die die IT-Sicherheit hervorgebracht hat — und noch heute verlangen Tausende Formulare ein Symbol wegen eines Dokuments, das sein eigener Autor verworfen hat. ## Warum das keine alte Geschichte ist All das hat eine sehr konkrete Folge, und du kannst sie hier sehen. Unser eigener [Passwort-Checker](/de/passwort-checker/) lief bis vor Kurzem nach der Logik von 2003: er zählte Großbuchstaben, Ziffern und Symbole. Er gab `Contraseña1!` — buchstäblich das spanische Wort für „Passwort" — **92 % „Sehr stark"**, und einer zufälligen Fünf-Wort-Phrase, die unvergleichlich besser ist, **0 % „Sehr schwach"**. Er belohnte genau das Falsche. Wir haben ihn ersetzt: Er schlägt dein Passwort jetzt in Wörterbüchern aus Wörtern, Namen, Städten und Tastaturmustern nach und sagt dir, wie lange es wirklich standhielte. Und darum zeigt dir der [Generator](/de/) **Entropie-Bits** statt eines Prozentwerts. Ein Prozentwert bedeutet nichts. Bits schon: sie sind, wie oft es jemand versuchen müsste, der nichts über dich weiß. ## Was zu tun ist, in zwei Zeilen - **Lang schlägt verschachtelt.** Vier oder fünf zufällige Wörter schlagen `P@ssw0rd` um viele Größenordnungen. - **Überall ein anderes, und in einen Manager.** Es ist die einzige Regel von 2003, die noch steht — und die, an die wir uns am wenigsten gehalten haben. Die Frage ist dieselbe wie im Rom des zweiten Jahrhunderts: *Gehörst du zu uns?* Geändert hat sich, dass der Fragende inzwischen eine Milliarde Antworten pro Sekunde ausprobieren kann. Deine sollte besser nicht im Wörterbuch stehen. --- *Quellen: F. J. Corbató und CTSS (MIT, 1961) · Allan Scherrs eigene Schilderung von 1962 · R. Morris und K. Thompson, „Password Security: A Case History", Communications of the ACM, 1979 · NIST SP 800-63 (2003) und SP 800-63B (2017) · Bill Burrs Äußerungen gegenüber dem Wall Street Journal, August 2017.*