Wie oft muss man das Passwort ändern? Nur wenn es einen Grund gibt

Fangen wir hinten an, denn die Antwort ist kurz und wird fast nie vollständig gegeben: wenn es einen Grund gibt. Nicht alle neunzig Tage.

Die Gewohnheit, nach Kalender zu wechseln, sitzt so tief, dass sie sich nach Hygiene anfühlt, wie Zähneputzen. Sie war aber eine Empfehlung mit Verfallsdatum, und das ist abgelaufen: Das US-amerikanische NIST schrieb sie 2003, zog sie 2017 zurück, und der Autor jenes Dokuments entschuldigte sich im selben Jahr öffentlich. Diese Geschichte erzählen wir vollständig in Was ein Passwort ist; hier zählt das andere, das fast nie erklärt wird: was du heute mit deinen Passwörtern machen sollst.

Ein Kalender weiß nicht, ob dir etwas gestohlen wurde

Das Problem am Wechsel nach Datum ist, dass das Datum keinerlei Information trägt.

Wenn jemand an einem Dienstag im Februar dein Passwort erbeutet hat, schenkst du ihm mit dem Wechsel am 1. April, weil er eben fällig ist, gute sechs Wochen Zugriff. Und wenn niemand es angerührt hat, hat der Wechsel vor nichts geschützt: Du hast ein gutes Passwort durch eines ersetzt, das vermutlich schlechter ist, denn Passwörter, die aus Pflicht entstehen, entstehen lustlos.

Darin steckt der ganze Mechanismus des Scheiterns. Erzwungene Rotation erzeugt keine neuen Passwörter, sie erzeugt Varianten. Aus Sommer2026! wird Herbst2026! und dann Winter2026!, und wer dich angreift, weiß das, denn diese Reihe ist so vorhersehbar wie der Wandkalender, aus dem sie stammt. Das System ist zufrieden — das Passwort «hat sich geändert» — und die tatsächliche Sicherheit ist gesunken, nicht gestiegen.

Deshalb sagt das NIST im SP 800-63B beides in einem Atemzug: keine willkürlichen Wechsel nach Uhr, und einen Wechsel erzwingen, sobald es Anzeichen einer Kompromittierung gibt. Es geht nicht darum, dass Ändern egal wäre. Es geht darum, dass der Auslöser eine Tatsache sein muss und kein Datum.

Die Gründe, die wirklich zählen

Das ist die Liste. Wenn dir eines davon passiert, wird das Passwort heute geändert, nicht nächsten Monat:

• Es ist in einem Leak aufgetaucht. Bei diesem Dienst oder bei irgendeinem anderen, wo du dasselbe benutzt hast.
• Du hast es mehrfach verwendet. Wenn X geleakt ist und auf vier weiteren Seiten steht, sind fünf Passwörter zu ändern, nicht eines.
• Du hast es auf einer Seite eingegeben, die nicht die Seite war. Eine eilige Mail, ein Link, ein Formular, das so aussah. Es hilft nicht, dass du es zwei Sekunden später gemerkt hast: Abgeschickt war es schon.
• Du hast es weitergegeben. An die Partnerin, an einen Kollegen, in einen Arbeitschat, auf einen Zettel. Ein Passwort, das durch einen Kanal ging, in dem du nicht kontrollierst, wer mitliest, gehört dir nicht mehr.
• Du siehst seltsame Aktivität. Eine Anmeldung von einem Ort, an dem du nie warst, Zurücksetzen-Mails, die du nicht angefordert hast, eine gesendete Nachricht, die du nicht geschrieben hast.
• Das Gerät war kompromittiert. Ein Rechner mit Schadsoftware, ein verlorenes Handy, ein Notebook, das bei einer unbekannten Werkstatt war.
• Der Dienst warnt dich. Wenn ein Unternehmen diese Mail schickt, handle noch am selben Tag. Das ist buchstäblich der Fall, den SP 800-63B meint.
• Ein Zusammenleben ist zu Ende. Ein Ex, eine WG, ein Geschäftspartner. Konten, die zu zweit waren und jetzt zu einem gehören.

Achte darauf, was sie gemeinsam haben: Es sind alles Ereignisse. Keines davon lautet «es sind neunzig Tage vergangen».

Für den ersten Fall gibt es ein Werkzeug. Wenn du wissen willst, ob ein bestimmtes Passwort auf den bereits kursierenden Listen steht — und wie lange es standhielte —, schick es durch den Passwort-Checker: Er analysiert es in deinem Browser, und dort bleibt es auch.

Wenn es einen Grund gibt, zählt die Reihenfolge

Das Passwort zu ändern ist der naheliegende Schritt, und oft ist er nicht der erste. Das ist die Reihenfolge, die dir die Arbeit zweimal erspart:

Zuerst das Gerät. Wenn du vermutest, dass etwas installiert ist, das mitliest, was du tippst, heißt das Passwort von genau diesem Rechner aus zu ändern nichts anderes, als das neue gleich mitzuliefern. Räum vorher auf oder nimm ein anderes Gerät.

Dann die E-Mail. Dein Mailkonto ist kein Konto unter vielen: Es ist das, das die «Passwort vergessen»-Links aller anderen empfängt. Wer die Mail kontrolliert, kontrolliert den Rest durch die Vordertür. Wenn du mit einem einzigen Passwort anfängst, dann mit diesem.

Danach die offenen Sitzungen beenden. Ein Passwortwechsel wirft nicht immer den hinaus, der schon drin ist. Such in den Kontoeinstellungen die Option, dich auf allen Geräten abzumelden, und nutze sie — sonst bleibt der Eindringling in einer Sitzung verbunden, die dein Passwort gar nicht mehr braucht.

Und zuletzt: Sieh nach, was er hinterlassen hat. Diesen Schritt lassen die meisten aus. Wer in ein Konto kommt, schaut nicht nur: Er ändert die Wiederherstellungsadresse, hängt eine Telefonnummer an, schaltet einen eigenen zweiten Faktor ein, verbindet eine App, legt eine Weiterleitungsregel im Postfach an. Wenn du das Passwort änderst und das nicht prüfst, kommt er morgen durch eine Tür zurück, die weiter offensteht. Geh Wiederherstellungsmethoden, autorisierte Geräte, verbundene Apps und Weiterleitungsregeln durch.

Noch etwas, offensichtlich und deshalb am häufigsten missachtet: Wenn du wechselst, muss das neue neu sein. Nicht das übliche mit einer anderen Zahl. Erzeuge es im Generator und leg es dort ab, wo es nicht von deinem Gedächtnis abhängt.

Was du an den übrigen dreihundertsechzig Tagen tust

Wenn der Auslöser eine Tatsache ist und Tatsachen selten sind, wird die Frage eine andere: Also gar nichts tun? Im Gegenteil. Was die Rotation schlecht lösen wollte, lösen vier Dinge gut — und alle nur einmal.

Lang sollen sie sein. SP 800-63B stellt die Länge vor die Verrenkung: Ein langes Passwort schlägt ein kurzes voller Sonderzeichen. Dort liegt der größte Teil der Arbeit.

Auf jeder Seite ein anderes. Das ist das, was den Leak eines anderen zu einem kleinen Vorfall statt zu einem Flächenbrand macht. Hat jedes Konto sein eigenes, trifft ein Leck die übrigen nicht; teilst du ein Passwort, entscheidet ein Dienst, an dessen Nutzung du dich kaum erinnerst, über die Sicherheit deiner Bank.

Gegen Leak-Listen abgeglichen. Das ist genau der Tausch, den das NIST vorgenommen hat: statt ein Sonderzeichen zu verlangen, prüfen, ob dein Passwort nicht schon kursiert. Diese Prüfung verfällt tatsächlich — ein Passwort, das heute nicht auf den Listen steht, kann nächstes Jahr darauf stehen —, und deshalb wiederholen gute Passwortmanager sie von selbst und sagen dir Bescheid.

Zweiter Faktor, wo es geht. Mit einem zweiten Faktor ist ein gestohlenes Passwort kein Schlüssel mehr, sondern ein halber.

Zusammen leisten diese vier, was die Rotation nie geleistet hat: Sie ändern das Passwort genau dann, wenn es einen Grund gibt, weil du erfährst, dass es einen gibt. Ein Manager, der die Listen beobachtet, ist ein Warnsystem; ein Kalender warnt vor nichts, er vergeht bloß.

Und wenn die Firma es alle neunzig Tage verlangt

Das kommt vor, und zwar oft, weil es Richtlinien gibt, die vor fünfzehn Jahren geschrieben und seither nicht wieder aufgeschlagen wurden. Zwei Dinge.

Erstens, praktisch: Wenn du wechseln musst, wechsle wirklich. Erzeuge ein komplett neues und leg es in den Manager. Die saisonale Variante ist das Einzige, was schlimmer ist als gar nicht zu wechseln, weil sie das Gefühl gibt, etwas getan zu haben.

Zweitens, für alle, die an der Richtlinie drehen können: Das Argument muss man nicht erfinden. Es steht im SP 800-63B, es ist die offizielle Leitlinie des NIST, und sie sagt wörtlich, dass ein periodischer Passwortwechsel nicht verlangt werden soll und dass ein Wechsel bei Anzeichen einer Kompromittierung erzwungen werden soll. Wer heute an der Neunzig-Tage-Regel festhält, folgt einem Dokument, das die Behörde, die es veröffentlicht hat, vor Jahren ersetzt hat.

Die kurze Antwort, noch einmal

Wie oft muss man das Passwort ändern? Wenn etwas passiert.

Und weil «wenn etwas passiert» nur funktioniert, wenn du davon erfährst, lautet die lange Antwort: Sorg dafür, dass jedes Passwort lang, einzigartig und überwacht ist. Dann weißt du an dem Tag, an dem eines gewechselt werden muss, Bescheid, es ist genau eines, und es kostet dich zwei Minuten.

Alles andere ist ein Häkchen im Kalender, damit man sich sicher fühlt.

Quellen: NIST SP 800-63, «Electronic Authentication Guideline» (2003), worin die Kompositionsregeln und der periodische Wechsel stehen · NIST SP 800-63B, «Digital Identity Guidelines: Authentication and Lifecycle Management» (2017): Länge vor Komplexität, kein willkürlicher periodischer Wechsel, erzwungener Wechsel bei Anzeichen einer Kompromittierung und Abgleich mit Listen kompromittierter Passwörter · Aussagen von Bill Burr, dem Autor der Leitlinie von 2003, gegenüber dem Wall Street Journal im August 2017.

Foto von Hatice Baran · Pexels

← Zurück zum Blog