Kontaktieren Sie uns
Wir von accompio helfen Ihnen gerne.
19.08.2026
Passwort-Sicherheit gehört zu den Grundlagen der IT-Sicherheit – und wird trotzdem häufig unterschätzt. Noch immer verwenden Menschen einfache Passwörter wie „123456“, persönliche Informationen oder dieselben Zugangsdaten für mehrere Dienste. Für Angreifer kann genau das zum entscheidenden Einfallstor werden.
Timur Yilmaz, Service Owner für Security Validation bei accompio, erlebt in der Praxis regelmäßig, wie unsichere Passwörter Unternehmen gefährden. Bei Sicherheitsüberprüfungen und Password Checks werden Passwörter gezielt auf ihre Sicherheit geprüft – mit teilweise ernüchternden Ergebnissen. Im Experteninterview erklärt er, wie Angreifer an Passwörter gelangen, welche Fehler besonders häufig vorkommen und wie sich sichere Passwörter im Alltag tatsächlich umsetzen lassen.
Was macht sichere Passwörter tatsächlich aus? Welche Tools können Ihnen bei der Passwort-Erstellung und -verwaltung helfen? Und welche Folgen haben schwache oder sich wiederholende Passwörter auf Enterprise-Ebene? Alle Antworten gibt Timur Yilmaz im vollständigen Video-Interview.
„SommerPflanze2025!“ oder „123456“ – Passwörter dieser Art begegnen Security-Experten noch immer regelmäßig. Auch Passwörter mit persönlichem Bezug, etwa Namen aus der Familie, Haustiere, Geburtsdaten oder bekannte Orte, sind problematisch.
Timur Yilmaz kennt diese Muster aus seiner täglichen Arbeit. Als Service Owner für Security Validation begleitet er Sicherheitsüberprüfungen und Security Audits bei Kunden. Dazu gehören auch Passwort-Checks, bei denen geprüft wird, wie sicher die im Unternehmen verwendeten Passwörter tatsächlich sind.
Das Ergebnis zeigt ein grundlegendes Problem: Technische Sicherheitsmaßnahmen können noch so umfangreich sein; wenn Zugangsdaten einfach zu erraten oder bereits an anderer Stelle kompromittiert worden sind, entsteht eine erhebliche Schwachstelle.
Passwörter können auf unterschiedlichen Wegen in die Hände von Angreifern gelangen. Ein besonders häufiges Szenario ist Phishing: Nutzer erhalten beispielsweise eine E-Mail mit einem Link, der zu einer gefälschten Login-Seite führt. Wird dort das Passwort eingegeben, können Angreifer die Zugangsdaten abgreifen.
Eine weitere Gefahr sind Datenlecks. Wird ein Online-Dienst kompromittiert, können dabei gespeicherte Zugangsdaten beziehungsweise Passwortdaten in die Hände von Angreifern gelangen. Diese Informationen können anschließend mit anderen bekannten Zugangsdaten abgeglichen werden.
Genau hier zeigt sich, warum Passwort-Wiederverwendung so gefährlich ist: Ein Passwort, das bei einem privaten Dienst kompromittiert wurde, kann zum Risiko für den Zugang zu Unternehmenssystemen werden, wenn dasselbe Passwort dort ebenfalls verwendet wird.
Bei der Frage, was ein sicheres Passwort ausmacht, steht für Timur Yilmaz vor allem ein Faktor im Mittelpunkt: die Länge.
Je länger ein Passwort ist, desto besser. Statt kurzer, komplex wirkender Zeichenfolgen können deshalb auch lange Passphrasen eingesetzt werden. Sie haben einen weiteren Vorteil: Lange Passwörter lassen sich häufig leichter merken, wenn sie aus mehreren Wörtern bestehen.
Gleichzeitig sollte ein Passwort keinen persönlichen Bezug haben. Namen, Geburtsdaten, Haustiere, Lieblingsorte oder andere Informationen, die sich über die betreffende Person herausfinden lassen, sollten nicht Bestandteil eines Passworts sein.
„Alles was einen persönlichen Bezug hat, sollte kein Passwort sein. Ich kenne meine Passwörter nicht. Ich kenne ein einziges Passwort – das für meinen Passwortmanager.“
— Timur Yilmaz, Service Owner bei accompio
Ein gutes Passwort ist also nicht zwingend das komplizierteste Passwort. Entscheidend ist vor allem, dass es lang, einzigartig und nicht aus persönlichen oder leicht vorhersehbaren Informationen abgeleitet ist.
Ein Passwort-Manager löst eines der größten praktischen Probleme bei der Passwort-Sicherheit: Niemand muss sich mehr dutzende komplexe Passwörter merken.
Stattdessen wird ein starkes Master-Passwort benötigt. Darin können die übrigen Zugangsdaten gespeichert und verwaltet werden. Ein Passwort-Manager kann zudem sichere, zufällige Passwörter generieren, die aus vielen Zeichen bestehen und keinen persönlichen Bezug haben.
Timur Yilmaz nutzt selbst einen Passwort-Manager – sowohl privat als auch im Unternehmen. Dadurch kennt er seine einzelnen Passwörter nicht einmal auswendig. Stattdessen wird für jeden Dienst ein eigenes, langes Passwort verwendet.
Auch ein starkes Passwort sollte nicht die einzige Schutzmaßnahme sein. Eine wichtige zusätzliche Sicherheitsstufe ist die Multi-Faktor-Authentifizierung (MFA).
Dabei wird der Login nicht allein durch das Passwort abgesichert. Zusätzlich muss ein weiterer Faktor bestätigt werden – beispielsweise über ein Smartphone, einen Code oder ein biometrisches Verfahren.
Das erhöht die Sicherheit erheblich. Selbst wenn ein Angreifer ein Passwort kennt oder knacken konnte, reicht das Passwort allein nicht zwangsläufig aus, um sich Zugang zu einem geschützten Konto zu verschaffen.
Für Unternehmen sollte Multi-Faktor-Authentifizierung deshalb ein wichtiger Bestandteil einer ganzheitlichen Strategie für Identity & Access Security sein.
Unternehmen versuchen häufig, sichere Passwörter über verbindliche Passwortrichtlinien durchzusetzen. Vorgaben zu Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen können zwar sinnvoll sein, garantieren jedoch nicht automatisch ein sicheres Passwort.
Ein Beispiel aus der Praxis zeigt das Problem: Ein Nutzer kann ein Passwort wie „SommerPflanze2025!!“ erstellen und damit formell verschiedene Komplexitätsanforderungen erfüllen. Trotzdem bleibt das Passwort vorhersehbar und damit unsicher.
Deshalb sieht Timur Yilmaz Schulungen als einen besonders wichtigen Bestandteil der Passwort-Sicherheit. Mitarbeitende müssen verstehen, wie sichere Passwörter entstehen, warum Passwort-Wiederverwendung gefährlich ist und welche Verhaltensweisen Angreifer ausnutzen können.
Passwort-Sicherheit ist damit nicht ausschließlich eine technische Aufgabe. Sie ist auch eine Frage von Wissen und Verhalten.
accompio identifiziert Schwachstellen in Ihrer Passwort- und Sicherheitsstruktur, bevor sie zu Einfallstoren für reale Angriffe werden.
Der erste Schritt besteht darin, den tatsächlichen Zustand zu kennen. Password-Checks und Sicherheitsüberprüfungen können dabei helfen, Schwachstellen sichtbar zu machen.
Darauf aufbauend sollten Unternehmen ihre Mitarbeitenden gezielt sensibilisieren und ihnen konkrete Methoden an die Hand geben. Dazu gehören insbesondere:
So wird aus einer abstrakten Passwortrichtlinie ein Sicherheitskonzept, das sich auch im Arbeitsalltag umsetzen lässt.
Wer seine eigene Passwort-Sicherheit verbessern möchte, kann mit wenigen Schritten beginnen: Werden Passwörter mehrfach verwendet? Enthalten sie persönliche Informationen? Sind wichtige Konten zusätzlich durch Multi-Faktor-Authentifizierung geschützt? Und wird bereits ein Passwort-Manager eingesetzt?
Der wichtigste Schritt ist, nicht erst nach einem Sicherheitsvorfall aktiv zu werden. Passwort-Sicherheit sollte ein fester Bestandteil der persönlichen und unternehmerischen IT-Sicherheit sein.
Timur Yilmaz ist Experte für Passwortsicherheit und Sicherheitslösungen. Er berät Kunden bei der Absicherung ihrer Zugänge und Anwendungen.
Ein sicheres Passwort ist vor allem lang und individuell. Es sollte keinen persönlichen Bezug haben und nicht bei mehreren Diensten verwendet werden. Lange Passphrasen oder zufällig generierte Passwörter sind besonders geeignet.
Grundsätzlich gilt: Je länger ein Passwort, desto besser. Im Interview empfiehlt Timur Yilmaz deshalb möglichst lange Passwörter beziehungsweise Passphrasen. Bei der Nutzung eines Passwort-Managers können auch sehr lange, zufällig generierte Passwörter verwendet werden.
Lange Passphrasen können eine gute Möglichkeit sein, sichere und gleichzeitig merkbare Zugangsdaten zu erstellen. Entscheidend ist insbesondere die Länge. Eine Passphrase sollte außerdem nicht aus leicht erratbaren persönlichen Informationen bestehen.
Wird ein Passwort bei einem Dienst durch ein Datenleck kompromittiert, können Angreifer versuchen, dasselbe Passwort bei anderen Diensten einzusetzen. Wird es beispielsweise sowohl privat als auch für einen Unternehmensaccount verwendet, kann ein privates Datenleck zu einem Sicherheitsrisiko für das Unternehmen werden.
Passwort-Manager ermöglichen es, für jeden Dienst ein eigenes und sehr langes Passwort zu verwenden, ohne dass Nutzer sich alle Zugangsdaten merken müssen. Stattdessen wird nur ein starkes Master-Passwort benötigt. Die übrigen Passwörter können vom Passwort-Manager generiert und gespeichert werden.
Ja. Multi-Faktor-Authentifizierung stellt eine zusätzliche Schutzschicht dar. Selbst wenn ein Angreifer das Passwort kennt, benötigt er einen weiteren Faktor, beispielsweise ein Smartphone, einen Code oder biometrische Bestätigung.
Unternehmen sollten neben technischen Maßnahmen vor allem auf Schulungen setzen. Passwortrichtlinien allein reichen nicht aus, wenn Mitarbeitende zwar formell komplexe, aber dennoch leicht vorhersehbare Passwörter verwenden. Schulungen sollten konkret vermitteln, wie sichere Passwörter entstehen und warum Passwort-Wiederverwendung riskant ist.
Erstgespräch vereinbaren
