CyberPlay-Redaktion · Veröffentlicht am · Aktualisiert am · 8 Min. Lesezeit
Leitfaden und Übungen auf Deutsch
Eine Passphrase ist ein Passwort aus mehreren Wörtern. Sie lässt sich oft leichter merken, doch Länge allein macht sie weder unvorhersehbar noch einzigartig oder sicher teilbar. Verwenden Sie für Arbeitskonten den von Ihrer Organisation freigegebenen Passwortmanager, um für jedes einzelne Konto ein separates Passwort zu generieren und zu speichern. Müssen Sie sich ein Geheimnis merken, nutzen Sie das genehmigte Verfahren für eine lange, unvorhersehbare Passphrase.
Der entscheidende Vergleich liegt darin, wie ein Geheimnis gewählt und geschützt wird, nicht bloß darin, ob es Symbole oder Wörter enthält. Dieser Leitfaden erläutert vorhersagbare Muster, Mehrfachnutzung, aktuelle NIST-Richtlinien und die Wiederherstellung. Alle Beispiele sind zur Veranschaulichung frei erfunden. Fügen Sie niemals echte Passwörter in Übungen, Chats, Umfragen oder Spiele ein.
Das Wichtigste zum Mitnehmen
- Ein langes, mehrfach genutztes Passwort gefährdet mehrere Konten gleichzeitig.
- Zufällig ausgewählte, unzusammenhängende Wörter unterscheiden sich von Zitaten oder Merksätzen.
- Nutzen Sie den freigegebenen Passwortmanager und sichern Sie den Wiederherstellungsweg ab.
- Passwortregeln, MFA und Passkeys erfüllen jeweils andere Aufgaben beim Kontoschutz.
1. Setzen Sie bei Ihren eigenen Kontogewohnheiten an
Listen Sie Ihre Kontokategorien auf, ohne deren Zugangsdaten aufzuschreiben: beispielsweise geschäftliche E-Mails, ein separat verwaltetes Lieferantenportal und ein privates Shopping-Konto. Identifizieren Sie, wo dasselbe Passwort mehrfach genutzt wird. Ersetzen Sie diese Mehrfachnutzung über den offiziellen Kontoprozess – beginnend mit Arbeitskonten und jenen Konten, über die andere Zugänge zurückgesetzt werden können.
Das Single-Sign-On (SSO) einer Organisation ist nicht dasselbe wie die eigenmächtige Wiederverwendung desselben Passworts auf Drittseiten. SSO delegiert die Anmeldung über ein konfiguriertes Identitätssystem; das manuelle Eintragen desselben Geheimnisses auf einer externen Lieferantenseite bietet diesen Schutz nicht. Verlangt ein Portal ein eigenes Passwort, wählen Sie einen neuen, einzigartigen Wert – außer die IT bestätigt ein offizielles SSO-Verfahren.
2. Passphrase und vorhersagbare Muster im Vergleich
Länge vergrößert den Raum möglicher Kombinationen, doch Menschen greifen oft auf kleine, vorhersagbare Muster zurück. Eine bekannte Songzeile, der Unternehmensslogan oder vier Wörter über die Familie sind zwar lang, aber dennoch leicht zu erraten. Das Anhängen der aktuellen Jahreszahl und eines Ausrufezeichens ändert nichts am zugrunde liegenden Muster.
Für eine gemerkte Passphrase sind unabhängig gewählte Zufallswörter sinnvoll, da dieser Auswahlprozess offensichtliche Zusammenhänge vermeidet. Nutzen Sie den vom Arbeitgeber freigegebenen Generator oder Prozess, statt Phrasen aus diesem Text zu übernehmen. Für Konten, die Sie sich nicht merken müssen, generiert ein Passwortmanager lange Zufallspasswörter und übernimmt das Ausfüllen.
| Fiktiver Ansatz | Worauf es ankommt | Besserer nächster Schritt |
|---|---|---|
| Unternehmensname plus Jahreszeit und Jahr | Das Muster ist vorhersagbar und lässt sich leicht über Konten hinweg variieren. | Generieren Sie ein neues, einzigartiges Geheimnis mit dem freigegebenen Manager. |
| Ein langes Zitat | Länge schützt nicht vor einer allgemein bekannten Wortfolge. | Nutzen Sie ein freigegebenes Verfahren zur Zufallsauswahl. |
| Dasselbe Zufallspasswort auf zwei Seiten | Wird das Geheimnis einmal offengelegt, greift es auf beiden Seiten. | Erstellen Sie separate Geheimnisse für getrennte Konten. |
| Unabhängig ausgewählte Wörter, nur einmal verwendet | Auswahl und Einzigartigkeit zählen; die Wortanzahl allein garantiert nichts. | Richtlinien einhalten sowie das Geheimnis und den Wiederherstellungsweg schützen. |
3. Warum Mehrfachnutzung selbst gute Passwörter entwertet
Angenommen, eine fiktive Person nutzt ein langes Passwort für eine alte Hobby-Webseite und verwendet genau dieses für ein separat verwaltetes Arbeitswerkzeug. Wird das Passwort der Hobby-Webseite bekannt, können Angreifende exakt diesen Wert beim Arbeitskonto ausprobieren. Das lange Passwort muss nicht erneut erraten werden. Auch kleine Modifikationen wie das Anhängen des Dienstnamens hinterlassen leicht erkennbare Muster.
Ein Passwortmanager entlastet das Gedächtnis von separaten Passwörtern. Speichern Sie geschäftliche Zugangsdaten im freigegebenen Unternehmenstresor oder im verwalteten Profil und beachten Sie die internen Vorgaben zu Cloud-Synchronisierung und Freigaben. Exportieren Sie den Tresor niemals in eine ungeschützte Datei und kopieren Sie Arbeitsgeheimnisse nicht auf private Konten, nur um sie auf anderen Geräten verfügbar zu machen.
Quellen dieses Abschnitts: Passwörter verwalten
4. Die aktuellen NIST-Leitlinien im richtigen Kontext verstehen
Die finale NIST-Richtlinie SP 800-63B-4 aus dem Jahr 2025 legt für Passwörter, die als einziger Authentisierungsfaktor dienen, eine Mindestlänge von 15 Zeichen fest. Sie erlaubt ein Minimum von 8 Zeichen, wenn das Passwort ausschließlich innerhalb einer Multi-Faktor-Authentisierung (MFA) eingesetzt wird. Für erfasste Verifizierungsdienste empfiehlt NIST eine maximal zulässige Passwortlänge von mindestens 64 Zeichen. Der Standard verlangt, häufig verwendete oder kompromittierte Werte zu sperren, Passwortmanager zuzulassen und auf willkürliche Zusammensetzungsregeln sowie regelmäßige Pflichtwechsel ohne Hinweise auf eine Kompromittierung zu verzichten.
Hierbei handelt es sich um Vorgaben und Empfehlungen für Systeme im Geltungsbereich des Standards – nicht um universelle Gesetze oder die Garantie, dass jede Zeichenfolge ab 15 Zeichen sicher ist. Sie betreffen zentral verifizierte Passwörter, nicht jede PIN zur Gerätesperre. Befolgen Sie die geltende Richtlinie Ihrer Organisation und sprechen Sie unpassende Einschränkungen mit der IT ab, anstatt sie zu umgehen. Ein kompromittiertes Passwort muss stets über den vertrauenswürdigen Wiederherstellungsprozess geändert werden.
Quellen dieses Abschnitts: Digitale Identität: Anforderungen an Authentikatoren und Verifizierungsdienste, SP 800-63B-4
5. Einen verlässlichen Ablauf für den Passwortmanager etablieren
Öffnen Sie die echten Kontoeinstellungen über ein bekanntes Portal. Generieren und speichern Sie dann einen einzigartigen Wert mit dem freigegebenen Manager. Prüfen Sie, ob der gespeicherte Eintrag zum richtigen Dienst und Arbeitskonto gehört. Befolgen Sie die Bestätigungsschritte des Dienstes und testen Sie den Eintrag durch eine normale Anmeldung. Funktioniert etwas nicht, nutzen Sie den offiziellen Supportweg, statt Zugangsdaten an Kolleginnen oder Kollegen zu senden.
Automatisches Ausfüllen (Autofill) kann helfen, Einträge der richtigen Zielseite zuzuordnen. Bleibt das Ausfüllen aus, ist das ein Anlass, Adresse und Eintrag zu prüfen, aber kein zwingender Beweis für Phishing: Auch Fehlkonfigurationen, geänderte Domains oder ein gesperrter Tresor können die Ursache sein. Umgekehrt legitimiert ein erfolgreiches Ausfüllen nicht jede nachfolgende Aufforderung auf der Seite. Achten Sie stets darauf, welche Aktion die Seite von Ihnen verlangt.
- Nur den für die Arbeit freigegebenen Passwortmanager installieren und nutzen.
- Den integrierten Generator für jedes separat verwaltete Konto einsetzen.
- Gespeicherte Dienstadresse und Benutzernamen auf Richtigkeit prüfen.
- Den Passworttresor bei Nichtbenutzung stets sperren.
- Zugriffe ausschließlich über den genehmigten Unternehmensprozess teilen.
Bild vergrößern · Screenshot aus dem Spiel · Englische Oberfläche
- Registrierbare Domain prüfen
Lesen Sie die registrierbare Domain sorgfältig; vertraute Begriffe an anderer Stelle einer Adresse belegen nicht ihren Eigentümer.
- Bekanntes Portal nutzen
Rufen Sie den Dienst über ein bekanntes Portal auf und beachten Sie den Kontext Ihres freigegebenen Passwort-Managers.
Quellen dieses Abschnitts: Passwörter verwalten
6. MFA und Passkeys gezielt einsetzen
Selbst ein langes, einzigartiges Passwort kann entwendet werden. Eine Zwei-Faktor-Authentisierung ergänzt einen weiteren Faktor, während ein FIDO/WebAuthn-Passkey einen kryptografischen, an den Dienst gebundenen Mechanismus nutzt. Setzen Sie die von Ihrer Organisation freigegebene Methode ein. Deaktivieren Sie einen bestehenden zweiten Faktor niemals nur deshalb, weil der Passwortmanager eine hohe Passwortstärke anzeigt.
Einmalcodes und Push-Bestätigungen können abgefangen oder manipuliert werden. Bestätigen Sie eine MFA-Anfrage nur, wenn Sie die Anmeldung selbst ausgelöst haben, und geben Sie Codes niemals an angebliche Support-Mitarbeitende weiter. Auch Passkeys erfordern ein geregeltes Registrierungs- und Wiederherstellungsverfahren; ihre Nutzung macht ein verlorenes Gerät oder unerwartete Kontoänderungen nicht bedeutungslos.
Quellen dieses Abschnitts: Digitale Identität: Anforderungen an Authentikatoren und Verifizierungsdienste, SP 800-63B-4
7. Muster mit Password Builder spielerisch erkennen
Password Builder nutzt herabfallende Wort-Tokens und Hindernisse in verschiedenen Missionen, darunter eine Arbeitskonto-Herausforderung und ein Haupttresor. Spielende sammeln Wörter und lernen praxisnah über vorhersagbare Muster, Kontenvermischung zwischen Beruf und Freizeit, Passwortmanager sowie die Zwei-Faktor-Authentisierung. Nutzen Sie die Nachbesprechung zur Reflexion der Entscheidungen, anstatt nur auf den Punktestand zu achten.
Dieser Leitfaden, die CyberPlay-Oberfläche und Password Builder sind auf Deutsch verfügbar. Die Abbildung zeigt das englischsprachige Spielgeschehen. Die angezeigten Stärkepunkte und Knackzeiten dienen rein didaktischen Zwecken und stellen keine verlässliche Einschätzung für Ihre realen Konten dar. Geben Sie niemals echte Zugangsdaten ein, übernehmen Sie keine Phrasen in Produktivsysteme und leiten Sie nicht ab, dass das Spiel einen Passwortmanager oder einen Passkey für Sie einrichtet.
Bild vergrößern · Screenshot aus dem Spiel · Englische Oberfläche
- Vorhersehbare Mehrfachverwendung vermeiden
Vermeiden Sie leicht erratbare Angaben und wiederverwendete Zugangsdaten; befolgen Sie die Vorgaben Ihrer Organisation für Dienstkonten.
- Die Stärkeanzeige richtig einordnen
Die Anzeige dient der Veranschaulichung; nutzen Sie für echte dienstliche Zugangsdaten einen freigegebenen Passwort-Manager.
8. Handlungsentscheidungen üben statt Passwörter eingeben
Ersetzen Sie herabfallende Wörter nach dem Spiel durch eine fiktive Entscheidung aus dem Arbeitsalltag. Lassen Sie die Teilnehmenden das Problem benennen und ein sicheres Vorgehen beschreiben. So prüfen Sie, ob Einzigartigkeit und geschützte Speicherung verstanden wurden, ohne schützenswerte Daten abzufragen.
9. Den Zugang zum Konto dauerhaft absichern
Klären Sie vorab, wie Sie Ihren Tresor oder Arbeitszugang bei einem Geräteverlust wiederherstellen können. Beachten Sie die internen Vorgaben für Wiederherstellungscodes, Ersatz-Authentifikatoren und die Verifizierung über den Service-Desk. Bewahren Sie Wiederherstellungsdaten geschützt und über den freigegebenen Pfad auf; liegt die einzige Rettungsmöglichkeit im gesperrten Konto selbst, entsteht eine Blockade.
Überprüfen Sie alte Berechtigungen über das reguläre Offboarding oder die Kontenverwaltung. Meldet der Manager ein potenziell kompromittiertes Passwort, öffnen Sie den Dienst separat und ändern Sie den Zugang vorschriftsmäßig. Eine Warnung ist ein Anlass zur gezielten Änderung betroffener Konten – nicht dazu, den gesamten Tresor bei Drittanbietern hochzuladen. Stimmen Sie Ausfallprozesse frühzeitig mit der IT ab.
- Separate Geheimnisse für getrennt verwaltete Konten.
- Freigegebene Speicherorte für geschäftliche Zugangsdaten und Wiederherstellungsinformationen.
- MFA oder Passkeys dort einsetzen, wo die Organisation sie unterstützt.
- Ein bekannter Supportweg bei Zugangsverlust oder Sicherheitswarnungen.
- Ein späteres Praxisszenario stellt sicher, dass sich sichere Gewohnheiten dauerhaft festigen.
Quellen dieses Abschnitts: Sichere Passwörter erstellen und Konten schützen
Entscheidungen im Spiel trainieren
Nutzen Sie Password Builder, um die Entscheidungen aus diesem Leitfaden praktisch einzuüben. Dieser Leitfaden, die Benutzeroberfläche von CyberPlay und das Spiel stehen auf Deutsch zur Verfügung.
Password Builder spielenQuellen und weiterführende Informationen
- Digitale Identität: Anforderungen an Authentikatoren und Verifizierungsdienste, SP 800-63B-4 — NIST. Abgerufen am 2026-09-13
- Passwörter verwalten — Nationales Zentrum für Cybersicherheit des Vereinigten Königreichs. Abgerufen am 2026-09-13
- Sichere Passwörter erstellen und Konten schützen — CERT Polska. Abgerufen am 2026-09-13
Weitere Artikel entdecken
- Unerwartete MFA-Anfrage: Was tun, wenn Sie sich nicht angemeldet haben?
Unerwartete MFA-Anfrage erhalten? Erfahren Sie, wann Sie ablehnen, Support-Anrufe prüfen, versehentliche Freigaben melden und die Entscheidung üben.
DE · 8 Min. Lesezeit - Gefälschte Anmeldeseite erkennen – auch mit HTTPS
Prüfen Sie die echte Adresse, Signale des Passwortmanagers und den Kontext der Anmeldung. Erfahren Sie mit einer Übung, warum HTTPS kein Vertrauensbeweis ist.
DE · 8 Min. Lesezeit - IT-Sicherheitsschulung auf Deutsch: das passende Programm für Mitarbeitende
IT-Sicherheitsschulungen auf Deutsch vergleichen: praxisnahe Szenarien, verständliche Rückmeldungen und passende Programme für Mitarbeitende im Pilotprojekt prüfen.
DE · 9 Min. Lesezeit - Phishing-Mail-Beispiele für Schulungen: prüfen, verifizieren und melden
Nutzen Sie fiktive Phishing-Mail-Beispiele für HR, Rechnungen, Lieferungen und Logins sowie legitime Kontrollfälle – inklusive sicherer Entscheidung und Nachbesprechung.
DE · 8 Min. Lesezeit - QR-Code-Phishing-Schulung: erst das Ziel prüfen, dann handeln
Schulen Sie Mitarbeitende im Umgang mit QR-Code-Phishing: Zielprüfung, unabhängige Verifikation und realistische Übungen zu Parkplatz, Aushang und Anmeldung.
DE · 9 Min. Lesezeit - Social-Engineering-Übungen: Identitätstäuschung und Zahlungsfreigaben trainieren
Social-Engineering-Übungen für Mitarbeitende: Identitätstäuschung, Zahlungsänderungen und Rückrufe mit fiktiven Szenarien und konkreten Nachbesprechungen trainieren.
DE · 8 Min. Lesezeit