Kontaktieren Sie uns
Wir von accompio helfen Ihnen gerne.
19.08.2026
Passwort-Sicherheit gehört zu den Grundlagen der IT-Sicherheit – und wird trotzdem häufig unterschätzt. Noch immer verwenden Menschen einfache Passwörter wie „123456“, persönliche Informationen oder dieselben Zugangsdaten für mehrere Dienste. Für Angreifer kann genau das zum entscheidenden Einfallstor werden.
Timur Yilmaz, Service Owner für Security Validation bei accompio, erlebt in der Praxis regelmäßig, wie unsichere Passwörter Unternehmen gefährden. Bei Sicherheitsüberprüfungen und Password Checks werden Passwörter gezielt auf ihre Sicherheit geprüft – mit teilweise ernüchternden Ergebnissen. Im Experteninterview erklärt er, wie Angreifer an Passwörter gelangen, welche Fehler besonders häufig vorkommen und wie sich sichere Passwörter im Alltag tatsächlich umsetzen lassen.
Was macht sichere Passwörter tatsächlich aus? Welche Tools können Ihnen bei der Passwort-Erstellung und -verwaltung helfen? Und welche Folgen haben schwache oder sich wiederholende Passwörter auf Enterprise-Ebene? Alle Antworten gibt Timur Yilmaz im vollständigen Video-Interview.
00:06 | Claudia van Veen: Passwort-Sicherheit. Darum dreht sich jetzt alles bei unserem accompio Fokus-Thema für Sie. Herzlich willkommen! Ich bin Claudia van Veen, Moderatorin und Journalistin aus Hannover. Bei mir ist Timur Yilmaz. Herzlich willkommen.
00:19 | Claudia van Veen: Was ist dein Job und wie kommst du zu den Passwörtern?
00:22 | Timur Yilmaz: Ich bin bei accompio Service Owner für Security Validation und führe mit unseren Kunden Sicherheitsaudits und Sicherheitsüberprüfungen durch. Dazu gehören regelmäßige Passwort-Checks. Wir versuchen, die im Unternehmen verwendeten Passwörter zu knacken, und sehen dabei, wie viele Passwörter unsicher sind.
00:43 | Claudia van Veen: Was ist das absurdeste Passwort, das dir beruflich oder privat begegnet ist?
00:49 | Timur Yilmaz: Es gibt viele unsinnige Passwörter. Häufig finden wir Kombinationen wie „SommerPflanze2025!“ oder eine Jahreszeit mit Jahreszahl und Ausrufezeichen. Auch Geburtsdaten oder „123456“ werden noch immer gerne verwendet.
01:11 | Claudia van Veen: Wie kommen Angreifer überhaupt an unsere Passwörter?
01:16 | Timur Yilmaz: Einerseits durch Phishing. Man erhält eine E-Mail, klickt auf einen Link und gibt auf einer gefälschten Seite sein Passwort ein. Andererseits gelangen Passwörter über Datenlecks nach Angriffen auf andere Dienste in Umlauf. Diese Zugangsdaten werden in Datenbanken gesammelt und miteinander abgeglichen. Wenn ein Passwort mehrfach verwendet wurde, kann ein älteres Datenleck dadurch auch für ein Unternehmen zum Problem werden.
01:43 | Claudia van Veen: Das Thema gibt es schon lange und trotzdem wird es noch immer unterschätzt.
01:49 | Timur Yilmaz: Definitiv. Ich sehe Woche für Woche viele schlechte Passwörter und spreche mit Kunden darüber, dass sie ihre Passwörter ändern und neue Passwörter ausrollen sollten.
02:05 | Claudia van Veen: Was machen wir typischerweise falsch? Ich verwende öfter dasselbe Passwort. Ist das ein typischer Fehler?
02:16 | Timur Yilmaz: Ja, Passwort-Wiederverwendung ist ein großer Fehler. Wird ein anderer Dienst gehackt, können die dort erbeuteten Passwörter auch bei weiteren Zugängen ausprobiert werden. Wer dasselbe Passwort privat und im Unternehmen nutzt, schafft dadurch eine Schwachstelle. Problematisch sind außerdem Passwörter mit persönlichem Bezug, etwa Namen aus der Familie, Haustiere, Orte oder andere leicht recherchierbare Informationen.
02:59 | Claudia van Veen: Wie würdest du ein sicheres Passwort definieren?
03:04 | Timur Yilmaz: Die Länge ist entscheidend. Passwörter sollten möglichst lang sein. Passphrasen sind eine gute Möglichkeit, weil Menschen sie sich leichter merken können. Oft scheitert Passwort-Sicherheit daran, dass wir bereits sehr viele Passwörter haben und sie uns nicht merken können.
03:28 | Claudia van Veen: Was machen wir dann?
03:29 | Timur Yilmaz: Ich nutze privat und im Unternehmen einen Passwort-Manager. Dann muss man sich ein einziges, sehr langes Master-Passwort merken. Alle anderen Passwörter werden dort gespeichert und können automatisch generiert werden. Ich kenne meine einzelnen Passwörter deshalb nicht. Es sind lange, zufällige Zeichenfolgen. Wichtig ist natürlich, dass auch das Master-Passwort lang und sicher ist.
04:11 | Claudia van Veen: Brauchen wir zusätzlich Multi-Faktor-Authentifizierung?
04:14 | Timur Yilmaz: Definitiv. Multi-Faktor-Authentifizierung sichert den letzten Schritt. Selbst wenn jemand mein Passwort knackt, benötigt die Person noch mein Smartphone und dort wiederum Biometrie oder einen Code, um den Zugang zu bestätigen.
04:33 | Claudia van Veen: Wo sollte ein Unternehmen anfangen, Passwort-Sicherheit kritisch zu prüfen? Mit Schulungen oder Richtlinien?
04:41 | Timur Yilmaz: Schulungen sind besonders wichtig. Richtlinien haben ihre Berechtigung, können aber umgangen werden. Ein Passwort wie „SommerPflanze2025!!“ erfüllt möglicherweise formale Anforderungen an Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen und bleibt trotzdem vorhersehbar. Mitarbeitende sollten konkret lernen, wie sichere Passwörter entstehen. Das ist entscheidend.
05:16 | Claudia van Veen: Können wir Passwörter nicht einfach abschaffen?
05:20 | Timur Yilmaz: Es gibt bereits Alternativen wie biometrische Verfahren. Der Fallback ist jedoch häufig weiterhin ein Passwort. Wenn Face ID nicht funktioniert, greift man wieder darauf zurück. Biometrie macht die Nutzung komfortabler, weil wir sehr lange Passwörter einsetzen können, ohne sie jedes Mal eintippen zu müssen.
05:59 | Claudia van Veen: Wir haben geklärt, dass ein Passwort möglichst lang sein sollte. Wie lang ist dein Passwort für den Passwort-Manager?
06:12 | Timur Yilmaz: Mein Passwort ist 24 Zeichen lang. Sagen kann ich es dir natürlich nicht.
06:18 | Claudia van Veen: Das ist auch richtig so. Vielen Dank, Timur Yilmaz. Prüfen Sie Ihre Passwörter, nutzen Sie gegebenenfalls einen Passwort-Manager und schulen Sie Mitarbeitende im Unternehmen. Danke fürs Zuschauen und bis bald.
„SommerPflanze2025!“ oder „123456“ – Passwörter dieser Art begegnen Security-Experten noch immer regelmäßig. Auch Passwörter mit persönlichem Bezug, etwa Namen aus der Familie, Haustiere, Geburtsdaten oder bekannte Orte, sind problematisch.
Timur Yilmaz kennt diese Muster aus seiner täglichen Arbeit. Als Service Owner für Security Validation begleitet er Sicherheitsüberprüfungen und Security Audits bei Kunden. Dazu gehören auch Passwort-Checks, bei denen geprüft wird, wie sicher die im Unternehmen verwendeten Passwörter tatsächlich sind.
Das Ergebnis zeigt ein grundlegendes Problem: Technische Sicherheitsmaßnahmen können noch so umfangreich sein; wenn Zugangsdaten einfach zu erraten oder bereits an anderer Stelle kompromittiert worden sind, entsteht eine erhebliche Schwachstelle.
Passwörter können auf unterschiedlichen Wegen in die Hände von Angreifern gelangen. Ein besonders häufiges Szenario ist Phishing: Nutzer erhalten beispielsweise eine E-Mail mit einem Link, der zu einer gefälschten Login-Seite führt. Wird dort das Passwort eingegeben, können Angreifer die Zugangsdaten abgreifen.
Eine weitere Gefahr sind Datenlecks. Wird ein Online-Dienst kompromittiert, können dabei gespeicherte Zugangsdaten beziehungsweise Passwortdaten in die Hände von Angreifern gelangen. Diese Informationen können anschließend mit anderen bekannten Zugangsdaten abgeglichen werden.
Genau hier zeigt sich, warum Passwort-Wiederverwendung so gefährlich ist: Ein Passwort, das bei einem privaten Dienst kompromittiert wurde, kann zum Risiko für den Zugang zu Unternehmenssystemen werden, wenn dasselbe Passwort dort ebenfalls verwendet wird.
Bei der Frage, was ein sicheres Passwort ausmacht, steht für Timur Yilmaz vor allem ein Faktor im Mittelpunkt: die Länge.
Je länger ein Passwort ist, desto besser. Statt kurzer, komplex wirkender Zeichenfolgen können deshalb auch lange Passphrasen eingesetzt werden. Sie haben einen weiteren Vorteil: Lange Passwörter lassen sich häufig leichter merken, wenn sie aus mehreren Wörtern bestehen.
Gleichzeitig sollte ein Passwort keinen persönlichen Bezug haben. Namen, Geburtsdaten, Haustiere, Lieblingsorte oder andere Informationen, die sich über die betreffende Person herausfinden lassen, sollten nicht Bestandteil eines Passworts sein.
„Alles was einen persönlichen Bezug hat, sollte kein Passwort sein. Ich kenne meine Passwörter nicht. Ich kenne ein einziges Passwort – das für meinen Passwortmanager.“
— Timur Yilmaz, Service Owner bei accompio
Ein gutes Passwort ist also nicht zwingend das komplizierteste Passwort. Entscheidend ist vor allem, dass es lang, einzigartig und nicht aus persönlichen oder leicht vorhersehbaren Informationen abgeleitet ist.
Ein Passwort-Manager löst eines der größten praktischen Probleme bei der Passwort-Sicherheit: Niemand muss sich mehr dutzende komplexe Passwörter merken.
Stattdessen wird ein starkes Master-Passwort benötigt. Darin können die übrigen Zugangsdaten gespeichert und verwaltet werden. Ein Passwort-Manager kann zudem sichere, zufällige Passwörter generieren, die aus vielen Zeichen bestehen und keinen persönlichen Bezug haben.
Timur Yilmaz nutzt selbst einen Passwort-Manager – sowohl privat als auch im Unternehmen. Dadurch kennt er seine einzelnen Passwörter nicht einmal auswendig. Stattdessen wird für jeden Dienst ein eigenes, langes Passwort verwendet.
Auch ein starkes Passwort sollte nicht die einzige Schutzmaßnahme sein. Eine wichtige zusätzliche Sicherheitsstufe ist die Multi-Faktor-Authentifizierung (MFA).
Dabei wird der Login nicht allein durch das Passwort abgesichert. Zusätzlich muss ein weiterer Faktor bestätigt werden – beispielsweise über ein Smartphone, einen Code oder ein biometrisches Verfahren.
Das erhöht die Sicherheit erheblich. Selbst wenn ein Angreifer ein Passwort kennt oder knacken konnte, reicht das Passwort allein nicht zwangsläufig aus, um sich Zugang zu einem geschützten Konto zu verschaffen.
Für Unternehmen sollte Multi-Faktor-Authentifizierung deshalb ein wichtiger Bestandteil einer ganzheitlichen Strategie für Identity & Access Security sein.
Unternehmen versuchen häufig, sichere Passwörter über verbindliche Passwortrichtlinien durchzusetzen. Vorgaben zu Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen können zwar sinnvoll sein, garantieren jedoch nicht automatisch ein sicheres Passwort.
Ein Beispiel aus der Praxis zeigt das Problem: Ein Nutzer kann ein Passwort wie „SommerPflanze2025!!“ erstellen und damit formell verschiedene Komplexitätsanforderungen erfüllen. Trotzdem bleibt das Passwort vorhersehbar und damit unsicher.
Deshalb sieht Timur Yilmaz Schulungen als einen besonders wichtigen Bestandteil der Passwort-Sicherheit. Mitarbeitende müssen verstehen, wie sichere Passwörter entstehen, warum Passwort-Wiederverwendung gefährlich ist und welche Verhaltensweisen Angreifer ausnutzen können.
Passwort-Sicherheit ist damit nicht ausschließlich eine technische Aufgabe. Sie ist auch eine Frage von Wissen und Verhalten.
accompio identifiziert Schwachstellen in Ihrer Passwort- und Sicherheitsstruktur, bevor sie zu Einfallstoren für reale Angriffe werden.
Der erste Schritt besteht darin, den tatsächlichen Zustand zu kennen. Password-Checks und Sicherheitsüberprüfungen können dabei helfen, Schwachstellen sichtbar zu machen.
Darauf aufbauend sollten Unternehmen ihre Mitarbeitenden gezielt sensibilisieren und ihnen konkrete Methoden an die Hand geben. Dazu gehören insbesondere:
So wird aus einer abstrakten Passwortrichtlinie ein Sicherheitskonzept, das sich auch im Arbeitsalltag umsetzen lässt.
Wer seine eigene Passwort-Sicherheit verbessern möchte, kann mit wenigen Schritten beginnen: Werden Passwörter mehrfach verwendet? Enthalten sie persönliche Informationen? Sind wichtige Konten zusätzlich durch Multi-Faktor-Authentifizierung geschützt? Und wird bereits ein Passwort-Manager eingesetzt?
Der wichtigste Schritt ist, nicht erst nach einem Sicherheitsvorfall aktiv zu werden. Passwort-Sicherheit sollte ein fester Bestandteil der persönlichen und unternehmerischen IT-Sicherheit sein.
Timur Yilmaz ist Experte für Passwortsicherheit und Sicherheitslösungen. Er berät Kunden bei der Absicherung ihrer Zugänge und Anwendungen.
Ein sicheres Passwort ist vor allem lang und individuell. Es sollte keinen persönlichen Bezug haben und nicht bei mehreren Diensten verwendet werden. Lange Passphrasen oder zufällig generierte Passwörter sind besonders geeignet.
Grundsätzlich gilt: Je länger ein Passwort, desto besser. Im Interview empfiehlt Timur Yilmaz deshalb möglichst lange Passwörter beziehungsweise Passphrasen. Bei der Nutzung eines Passwort-Managers können auch sehr lange, zufällig generierte Passwörter verwendet werden.
Lange Passphrasen können eine gute Möglichkeit sein, sichere und gleichzeitig merkbare Zugangsdaten zu erstellen. Entscheidend ist insbesondere die Länge. Eine Passphrase sollte außerdem nicht aus leicht erratbaren persönlichen Informationen bestehen.
Wird ein Passwort bei einem Dienst durch ein Datenleck kompromittiert, können Angreifer versuchen, dasselbe Passwort bei anderen Diensten einzusetzen. Wird es beispielsweise sowohl privat als auch für einen Unternehmensaccount verwendet, kann ein privates Datenleck zu einem Sicherheitsrisiko für das Unternehmen werden.
Passwort-Manager ermöglichen es, für jeden Dienst ein eigenes und sehr langes Passwort zu verwenden, ohne dass Nutzer sich alle Zugangsdaten merken müssen. Stattdessen wird nur ein starkes Master-Passwort benötigt. Die übrigen Passwörter können vom Passwort-Manager generiert und gespeichert werden.
Ja. Multi-Faktor-Authentifizierung stellt eine zusätzliche Schutzschicht dar. Selbst wenn ein Angreifer das Passwort kennt, benötigt er einen weiteren Faktor, beispielsweise ein Smartphone, einen Code oder biometrische Bestätigung.
Unternehmen sollten neben technischen Maßnahmen vor allem auf Schulungen setzen. Passwortrichtlinien allein reichen nicht aus, wenn Mitarbeitende zwar formell komplexe, aber dennoch leicht vorhersehbare Passwörter verwenden. Schulungen sollten konkret vermitteln, wie sichere Passwörter entstehen und warum Passwort-Wiederverwendung riskant ist.
