Was ist die minimal sichere Passwortlänge?

NIST SP 800-63B legt 8 Zeichen als erforderliches Minimum für selbst gewählte Geheimnisse fest, betont aber ausdrücklich, dass dies eine Untergrenze ist — der Standard empfiehlt zudem, dass Dienste mindestens 64 Zeichen akzeptieren, was nur Sinn ergibt, wenn längere Passwörter als üblich und vorteilhaft erwartet werden.

Ist ein längeres Passwort immer sicherer als ein kürzeres mit mehr Sonderzeichen?

Bei zufällig generierten Passwörtern fast immer ja. Jedes zusätzliche Zeichen multipliziert die Zahl der möglichen Passwörter mit der Größe des Zeichensatzes, während eine zusätzliche Zeichenklasse nur einmalig mit einem kleineren Faktor multipliziert. Zwei zusätzliche Zeichen Länge schlagen typischerweise das Hinzufügen von Sonderzeichen zu einem Passwort, das vorher keine hatte.

Warum begrenzen Banking-Websites die Passwortlänge manchmal auf 12 oder 16 Zeichen?

Historisch hashten manche Systeme Passwörter mit Algorithmen oder abgeschnittenen Speicherfeldern mit Längenbegrenzung, oder liefen mit Legacy-Code, der lange Eingaben nie vorsah. Das gilt heute als schwache Praxis — OWASP empfiehlt, dass Anwendungen mindestens 64 Zeichen unterstützen —, aber viele ältere Banking- und Legacy-Systeme setzen weiterhin niedrige Obergrenzen.

Zählt ein längeres Master-Passwort für den Passwortmanager mehr als bei normalen Website-Logins?

Ja. Das Master-Passwort Ihres Passwortmanagers ist das eine Passwort, das, wenn kompromittiert, jedes andere von Ihnen besessene Passwort offenlegt. Es ist auch das Passwort, das Sie am häufigsten von Hand eingeben, weshalb eine lange Passphrase — nicht eine kurze komplexe Zeichenfolge — für dieses spezielle Passwort die übliche Empfehlung ist.

Guide

Passwortlänge: wie viele Zeichen je Konto

8 Zeichen sind ein gesetzliches Minimum, kein sicheres. Was für eine Länge je Konto tatsächlich sinnvoll ist, und warum.

By Buğra SözeriPublished September 25, 2026

“Wie lang sollte mein Passwort sein?” hat keine einzige universelle Antwort, weil die richtige Länge davon abhängt, was hinter dem Login steckt und wie das Passwort eingegeben wird. Es folgt eine Längentabelle je Kontotyp, aufgebaut auf der Entropie-Mathematik und der Längen-zuerst-Haltung, die NIST SP 800-63B seit der Ablösung der Komplexitätsregeln als empfohlener Standard einnimmt.

Die Untergrenze: 8 Zeichen, und warum sie kein Ziel ist

NIST SP 800-63B verlangt von Diensten, selbst gewählte Geheimnisse mit mindestens 8 Zeichen zu akzeptieren und mindestens 64 zu unterstützen — ein starker Hinweis darauf, in welche Richtung der Standard Passwörter tatsächlich entwickeln möchte. Acht Zeichen sind eine Konformitätsuntergrenze, kein Sicherheitsziel: Bei 8 vollständig zufälligen alphanumerischen Zeichen plus Sonderzeichen liegt die Entropie nur bei rund 52 Bit, bequem innerhalb dessen, was moderne Cracking-Hardware bei einem geleakten Hash angreifen kann. Behandeln Sie 8 als “das Minimum, das eine Website Sie eingeben lässt”, nicht als Länge, die Sie tatsächlich wählen sollten.

Empfohlene Länge je Kontotyp

Kontotyp	Empfohlene Länge	Warum
Geringes Risiko / Wegwerfkonto (Forum, Testzugang)	12+ zufällige Zeichen	Geringer Wert bei Kompromittierung, verdient aber dennoch ein einzigartiges Passwort, damit ein Leck hier nicht andere Konten öffnet.
E-Mail, soziale Medien, Online-Shopping	16+ zufällige Zeichen	Besonders E-Mail ist ein Wiederherstellungsweg zu allem anderen, was Sie besitzen — behandeln Sie es wie ein hochwertiges Konto.
Banking, Steuer, Gesundheitsportale	16–20+ zufällige Zeichen (soweit das Website-Maximum erlaubt)	Hochwertiges Ziel mit echten finanziellen oder medizinischen Folgen bei Kompromittierung.
Master-Passwort des Passwortmanagers	6+ zufällige Diceware-Wörter (~77+ Bit)	Das eine Passwort, das aus dem Gedächtnis eingegeben wird; eine Passphrase ist schneller und zuverlässiger zu merken als eine gleich starke zufällige Zeichenfolge.
Heim-WLAN (WPA2/WPA3)	16+ zufällige Zeichen	Wird nach der Einrichtung selten eingegeben (Geräte merken es sich), daher entstehen bei größerer Länge keine Lesbarkeitskosten.

Warum Länge das Hinzufügen von Zeichenklassen schlägt

Die Begründung ist dieselbe Formel, die jedem Entropie-Ratgeber dieser Website zugrunde liegt: Entropie = Länge × log2(Größe des Zeichensatzes). Der Wechsel von einem 62-Zeichen-Satz (Buchstaben und Ziffern) zu einem rund 94-Zeichen-Satz (mit Sonderzeichen) erhöht die Bits pro Zeichen von etwa 5,95 auf etwa 6,55 — ein kleiner multiplikativer Gewinn, einmalig angewendet. Vier weitere Zeichen Länge hinzuzufügen addiert diese 5,95–6,55 Bit dagegen vier separate Male. Wenn eine Website Sie zwingt, zwischen einem kürzeren Passwort mit jeder Zeichenklasse oder vier weiteren Zeichen ohne Sonderzeichen zu wählen, nehmen Sie immer die Länge.

Wenn Sie nicht lang gehen können

Manche Legacy-Systeme begrenzen die Passwortlänge weiterhin auf 12 oder 16 Zeichen — eine Praxis, die unser allgemeiner Passwort-Ratgeber ausführlicher behandelt und der OWASPs Leitlinien ausdrücklich widersprechen. Stoßen Sie auf eine niedrige Obergrenze, nutzen Sie jede verfügbare Zeichenklasse, um den Zeichensatz zu maximieren, da Länge nicht mehr der Hebel ist, den Sie kontrollieren. Ein auf 12 Zeichen begrenztes Passwort mit vollem Sonderzeichensatz (~79 Bit) ist immer noch spürbar stärker als dieselbe Länge ohne Sonderzeichen (~71 Bit) — klein, aber der einzig verbliebene Regler. Wo möglich, kombinieren Sie ein begrenztes oder anderweitig schwaches Login mit Zwei-Faktor-Authentifizierung, die überhaupt nicht von der Passwortlänge abhängt.

Frequently asked questions

Was ist die minimal sichere Passwortlänge?: NIST SP 800-63B legt 8 Zeichen als erforderliches Minimum für selbst gewählte Geheimnisse fest, betont aber ausdrücklich, dass dies eine Untergrenze ist — der Standard empfiehlt zudem, dass Dienste mindestens 64 Zeichen akzeptieren, was nur Sinn ergibt, wenn längere Passwörter als üblich und vorteilhaft erwartet werden.
Ist ein längeres Passwort immer sicherer als ein kürzeres mit mehr Sonderzeichen?: Bei zufällig generierten Passwörtern fast immer ja. Jedes zusätzliche Zeichen multipliziert die Zahl der möglichen Passwörter mit der Größe des Zeichensatzes, während eine zusätzliche Zeichenklasse nur einmalig mit einem kleineren Faktor multipliziert. Zwei zusätzliche Zeichen Länge schlagen typischerweise das Hinzufügen von Sonderzeichen zu einem Passwort, das vorher keine hatte.
Warum begrenzen Banking-Websites die Passwortlänge manchmal auf 12 oder 16 Zeichen?: Historisch hashten manche Systeme Passwörter mit Algorithmen oder abgeschnittenen Speicherfeldern mit Längenbegrenzung, oder liefen mit Legacy-Code, der lange Eingaben nie vorsah. Das gilt heute als schwache Praxis — OWASP empfiehlt, dass Anwendungen mindestens 64 Zeichen unterstützen —, aber viele ältere Banking- und Legacy-Systeme setzen weiterhin niedrige Obergrenzen.
Zählt ein längeres Master-Passwort für den Passwortmanager mehr als bei normalen Website-Logins?: Ja. Das Master-Passwort Ihres Passwortmanagers ist das eine Passwort, das, wenn kompromittiert, jedes andere von Ihnen besessene Passwort offenlegt. Es ist auch das Passwort, das Sie am häufigsten von Hand eingeben, weshalb eine lange Passphrase — nicht eine kurze komplexe Zeichenfolge — für dieses spezielle Passwort die übliche Empfehlung ist.

Sources & references

Authoritative references cited by this piece. Verified by Buğra Sözeri on the dates shown and re-checked at every deploy.

NIST SP 800-63B — Digital Identity Guidelines (Authentication and Lifecycle Management) — Legt das 8-Zeichen-Minimum für selbst gewählte, gemerkte Geheimnisse fest und empfiehlt, mindestens 64 Zeichen zuzulassen(as of 2026-09-25)
CISA — Secure Our World: Use Strong Passwords — Empfehlung der US-Regierung an Verbraucher zu längeren und pro Konto einzigartigen Passwörtern(as of 2026-09-25)
OWASP — Authentication Cheat Sheet — Empfohlene Mindest- und Höchstlängen für Passwörter in Authentifizierungssystemen von Anwendungen(as of 2026-09-25)

Published September 25, 2026