Seit über einem Jahrzehnt verwenden wir Passwörter gleich und das ist ein Problem: Nur 15 Prozent sind komplex genug

Passwörter gelten weiterhin als Schwachstelle: Eine aktuelle Analyse geleakter Zugangsdaten zeigt, wie wenig sich seit 2015 verändert hat. (© VZ_Art über Adobe Stock)

Die digitale Welt hat sich in den vergangenen zehn Jahren im fast schon gewohnt rasanten Tempo weiterentwickelt, doch in einem entscheidenden Punkt herrscht offenbar gefährlicher Stillstand.

Dies erklärt der Sicherheitsforscher Jeremiah Fowler (via ExpressVPN), der sich genauer angesehen hat, wie wir unsere digitalen Konten mit Passwörtern schützen.

Sein Schluss: Unsere Angewohnheiten haben sich seit einem Jahrzehnt kaum verändert. Rund 85 Prozent der untersuchten Passwörter lassen sich demnach als vorhersagbar oder schwach einstufen.

50:28 Neue Spiele im März - Video-Vorschau für PC und Konsolen

Fehlende Komplexität als konstante Sicherheitslücke

Als Grundlage für seine Untersuchungen nahm Fowler eine offen zugängliche Datenbank mit 149 Millionen Zugangsdaten her, die er im vergangenen Januar entdeckte.

• Diese Datenbank umfasste laut Fowler rund 96 Gigabyte an Rohdaten, darunter Log-ins für Gmail, Facebook, Bankkonten und sogar Regierungssysteme mehrerer Länder.
• Lediglich 15 Prozent dieser Kennwörter erfüllten die Kriterien für echte Komplexität – also mindestens zwölf Zeichen, bestehend aus Groß- und Kleinbuchstaben, Ziffern oder Sonderzeichen ohne erkennbares Muster.

Weniger Tastaturmuster, mehr Namen mit Zahlen: Was sich verändert hat

Die Analyse zeigt im Vergleich zu 2015 aber auch Verschiebungen. Rein numerische Zeichenfolgen dominierten damals die schwachen Passwörter; heute sind es laut Fowler häufiger Namen in Kombination mit Zahlen und einem einzelnen Sonderzeichen.

• Sogenannte »Keyboard-Walks« (also Muster wie »qwertzuiop«) sind demnach um 15 bis 20 Prozent zurückgegangen.
• Auch klassische Standardbegriffe wie »admin« oder »password« tauchen seltener auf. Der Anteil offensichtlich maschinell erzeugter Passwörter stieg um rund 10 bis 12 Prozent.

Trotzdem bleibt ein entscheidender Schwachpunkt bestehen: die Wiederverwendung.

Laut einer im Bericht erwähnten GoDaddy Consumer Pulse-Umfrage von 2025 nutzen 61 Prozent der Verbraucher dasselbe Passwort für mehrere Konten. Im Vergleich zu früheren Erhebungen ist das laut Fowler ein geschätzter Anstieg von 11 Prozentpunkten.

Infostealer-Malware als wachsende Bedrohung

Ein wesentlicher Faktor für die aktuelle Gefahrenlage ist laut Fowler der rasante Anstieg von Infostealer-Malware. Diese Schadsoftware extrahiert gespeicherte Passwörter, Sitzungs-Cookies und Autofill-Daten direkt aus dem System, ohne auf Nutzerinteraktion angewiesen zu sein.

• Der IBM X-Force Threat Intelligence Index 2025 untermauert diesen Trend: Die Zahl der Phishing-E-Mails mit Infostealer-Payload stieg 2024 im Vergleich zum Vorjahr um 84 Prozent.
• Für Anfang 2025 meldete IBM sogar ein wöchentliches Volumen, das 180 Prozent über dem Niveau von 2023 lag.

Passkeys und Passwort-Manager: Der langsame Wandel

Trotz der wachsenden Verfügbarkeit von Alternativen ist der Umstieg schleppend.

Laut einer weiteren Google-Erhebung aus dem vergangenen Juni nutzen über 60 Prozent der Generation X und der Babyboomer weiterhin klassische Passwörter als primäre Anmeldemethode.

Nur rund 30 Prozent setzen auf Passkeys oder sogenannte »Social Sign-ins«. Fowler empfiehlt in seiner Analyse daher ausdrücklich den Einsatz eines Passwort-Managers.

Dieser generiert auf Wunsch automatisch hochkomplexe Passwörter und speichert sie verschlüsselt – in der Regel mit AES-256-Verschlüsselung.

Mehr zum Thema

Mit diesen 9 Tricks macht ihr eure Passwörter wirklich sicher

von Maxe Schwind

Entscheidend sei dabei, das Master-Passwort selbst mit Multi-Faktor-Authentifizierung zu schützen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat hierzu jüngst zehn solche Passwort-Manager überprüft, von denen immerhin drei eine BSI-Empfehlung erhalten.

Immerhin gibt es hierbei Fortschritte, wie Fowler zum Abschluss seiner Analyse nachzeichnet.

• So waren solche Passwort-Manager und Zwei-Faktor-Authentifizierung bis 2014 weitgehend optional und höchstens im Unternehmensumfeld verankert.
• 2015 markiert der Forscher hingegen als Wendepunkt, an dem Sicherheit vom optionalen Feature zur erwarteten Infrastruktur wurde.
• Seit 2022 vollzieht sich laut Fowler der Übergang von statischer Passwortsicherheit hin zu gerätebasierter Vertrauensarchitektur und Zero-Trust-Modellen.

Dennoch zeigt seine Datenanalyse, dass diese Fortschritte im Alltag vieler Nutzer noch nicht angekommen sind.

Fowler selbst ordnet seine Ergebnisse als Trendanalyse ein und weist darauf hin, dass die verglichenen Datensätze in Größe und Methodik voneinander abweichen.

Die Richtung sei jedoch eindeutig: »Kriminelle werden raffinierter, der Einsatz von KI in der Cyberkriminalität wächst, und wir müssen mehr tun, um unsere Zugangsdaten zu schützen«.