KI-gestützte Werkzeuge können Milliarden von Passwortkombinationen pro Sekunde testen und nutzen dafür gestohlene Listen aus alten Datenpannen. Die eigentliche Gefahr ist aber einfacher: Wenn Sie dasselbe Passwort auf mehreren Seiten verwenden, kann ein einziges geleaktes Passwort Dutzende Konten öffnen. Die Lösung ist ein Passwort-Manager, Zwei-Faktor-Authentifizierung und eine kostenlose Datenpannen-Prüfung — das alles können Sie an einem Nachmittag einrichten, ohne technische Vorkenntnisse.
In einer AARP-Umfrage unter US-amerikanischen Erwachsenen ab 50 Jahren belegte die Sorge vor dem Einsatz von KI zum Knacken von Passwörtern mit 87 % den ersten Platz — vor Deepfakes (85 %) und Stimmenklonung (84 %). (Quelle: AARP Public Policy Institute.) Diese Sorge ist berechtigt. KI-Werkzeuge können heute riesige Listen gestohlener Passwörter automatisch und schneller als jeder Mensch auf Hunderten von Webseiten testen.
Das Beruhigende: Sie brauchen keine technischen Kenntnisse, um sich zu schützen. Die vier Schritte unten funktionieren, egal ob Sie ein iPhone, ein Android-Smartphone, einen Windows-PC oder einen Mac haben — und der wichtigste erste Schritt dauert etwa fünf Minuten.
Was „KI-gestütztes Passwort-Erraten" wirklich bedeutet
Wenn Sie hören, dass KI Passwörter „knacken" kann, läuft Folgendes ab: Kriminelle beschaffen sich Listen von Benutzernamen und Passwörtern aus alten Datenpannen — Leaks von großen Webseiten, die vor Jahren passierten. Diese Listen werden online verkauft. Software, zunehmend durch KI gestützt, probiert diese Kombinationen dann automatisch auf Hunderten anderen Webseiten aus. Das nennt sich Credential Stuffing.
Der KI-Anteil macht es schneller und klüger. Statt zufälliger Kombinationen konzentriert sich die Software auf statistisch wahrscheinlichere Treffer: gebräuchliche Wörter, Namen, Geburtsjahre, einfache Muster. Sie lernt, welche Versuche erfolgreich sind.
Das Ziel ist selten Ihr stärkstes Passwort. Es ist Ihr schwächstes — auf einer Seite, die Sie vergessen haben — das Sie gleichzeitig irgendwo verwendet haben, wo es wichtig ist.
Die eigentliche Gefahr: Wiederverwendete Passwörter
Wenn Sie dasselbe Passwort auf mehr als einer Seite verwenden, kann eine Datenpanne auf einer davon die anderen öffnen. Das ist die einzige größte Passwortschwachstelle der meisten Menschen. Ein Passwort, das stark aussieht, aber auf fünf Seiten verwendet wird, ist weniger sicher als ein einfacheres Passwort, das nur einmal eingesetzt wird.
Stellen Sie es sich so vor: Jede Seite, die Ihre E-Mail-Adresse und Ihr Passwort kennt, hält eine Kopie Ihres Schlüssels. Wenn eine Seite ihren Schlüssel verliert und Kriminelle ihn aufheben, probieren sie ihn bei Ihrer Bank, Ihrem E-Mail-Konto, Ihren Behördenkonten und Ihren Gesundheitsdaten.
Die Lösung sind nicht schwerer zu merkende Passwörter. Es geht darum, sicherzustellen, dass keine zwei Seiten ein Passwort teilen — und der nächste Schritt zeigt Ihnen den einfachsten Weg dorthin.
Schritt 1: Nutzen Sie einen Passwort-Manager
Ein Passwort-Manager erfüllt eine Aufgabe: Er speichert für jede Seite, die Sie nutzen, ein anderes, zufällig generiertes Passwort. Sie müssen sich nur ein Hauptpasswort merken, um den Manager zu öffnen. Jedes andere Passwort ist lang, zufällig und einzigartig — eines, das kein Mensch und keine KI erraten kann.
Ihr Smartphone hat sehr wahrscheinlich einen eingebaut. Auf einem iPhone gehen Sie zu Einstellungen und dann zu Passwörter. Auf einem Android-Smartphone gehen Sie zu Einstellungen, dann zu Google und dann zu AutoFill. Beide sind kostenlos und funktionieren automatisch, sobald Sie sie aktivieren. Wenn Sie eine Seite besuchen, füllt der Passwort-Manager Ihre Anmeldedaten für Sie aus.
Für den Anfang brauchen Sie keine kostenpflichtige App. Die eingebauten Manager auf iPhones und Android-Smartphones sind für die meisten Menschen ausgezeichnet. Fangen Sie dort an.
Eine Regel: Ihr Hauptpasswort — das, das den Manager öffnet — sollte eine Passphrase sein. Das bedeutet vier oder fünf gewöhnliche Wörter, die aneinandergereiht werden, zum Beispiel „lila Küche Decke Sonnenuntergang". Leicht zu merken, für Software sehr schwer zu erraten. Das deckt sich mit aktuellen Empfehlungen von BSI und NIST: Der US-Standard NIST SP 800-63B (Revision 4, 2025) setzt inzwischen auf Länge statt Komplexität und verlangt ausdrücklich keine Pflicht zu Sonderzeichen oder regelmäßigem Passwortwechsel mehr. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt deutschen Verbraucherinnen und Verbrauchern dieselbe Grundidee: entweder ein kurzes, komplexes Passwort mit mindestens acht Zeichen aus vier verschiedenen Zeichenarten, oder — einfacher zu merken — ein langes, einfacheres Passwort mit mindestens 25 Zeichen, etwa fünf bis sechs zufällige, durch Leerzeichen getrennte Wörter.
Schritt 2: Probieren Sie Passkeys — melden Sie sich mit Fingerabdruck oder Gesicht an
Ein Passkey ist eine neuere, einfachere Anmeldemethode. Statt eines Passworts verwenden Sie Ihren Fingerabdruck, Ihr Gesicht oder die PIN Ihres Handys. Die Webseite erhält überhaupt kein Passwort, sodass Kriminelle bei einer Datenpanne nichts stehlen können.
Immer mehr große Dienste — Google, Apple, Microsoft, Amazon, PayPal — bieten Passkeys an. Wenn eine Seite fragt, ob Sie „einen Passkey speichern" oder „sich mit einem Passkey anmelden" möchten, sagen Sie Ja. Das ist sicherer als jedes Passwort, das Sie tippen könnten.
Sie nutzen wahrscheinlich bereits eine Version davon, wenn Sie Ihr Handy mit Gesicht oder Fingerabdruck entsperren. Passkeys bringen diese Einfachheit auf Webseiten und Apps.
Schritt 3: Schalten Sie die Zwei-Faktor-Authentifizierung ein
Zwei-Faktor-Authentifizierung (oft als 2FA bezeichnet) bedeutet, dass selbst wenn jemand Ihr Passwort bekommt, er sich immer noch ohne eine zweite Prüfung nicht anmelden kann — in der Regel ein Code, der an Ihr Handy gesendet wird.
Es gibt zwei Arten von 2FA, und sie sind nicht gleich sicher:
SMS-Codes — die Seite schickt Ihnen einen sechsstelligen Code per Textnachricht. Das ist besser als nichts, aber Handynummern können unter bestimmten Umständen von Betrügern übernommen werden, was es zur schwächeren Option macht.
Eine Authenticator-App — kostenlose Apps wie Google Authenticator oder Microsoft Authenticator generieren alle 30 Sekunden einen neuen Code auf Ihrem Handy. Selbst wenn ein Betrüger Ihr Passwort hat, kann er diesen Code nicht ohne Ihr Gerät in der Hand erhalten. Das ist viel sicherer.
Beginnen Sie mit SMS, wenn das die einzige angebotene Option ist — es ist immer noch eine sinnvolle Verbesserung gegenüber keiner 2FA. Für Ihre wichtigsten Konten (E-Mail, Banking, soziale Medien) wechseln Sie jedoch zu einer Authenticator-App, sobald Sie können.
Schritt 4: Prüfen Sie, ob Ihre E-Mail-Adresse in einer Datenpanne war
Eine Webseite namens Have I Been Pwned (haveibeenpwned.com) ermöglicht es Ihnen, Ihre E-Mail-Adresse einzugeben und zu sehen, welche Datenpannen sie offengelegt haben. Sie wurde von einem Sicherheitsforscher erstellt und ist kostenlos nutzbar. Die Seite fragt nicht nach Ihrem Passwort — nur nach Ihrer E-Mail-Adresse.
Gehen Sie dorthin, geben Sie Ihre E-Mail ein und drücken Sie die Prüfschaltfläche. Die Seite zeigt Ihnen eine Liste der Datenpannen, in denen Ihre E-Mail-Adresse aufgetaucht ist. Wenn Ihre E-Mail in einer Panne erscheint, kennen Kriminelle Ihr Passwort für diese Seite. Ändern Sie es sofort — und ändern Sie es auf allen anderen Seiten, auf denen Sie dasselbe Passwort verwendet haben.
Worauf Sie achten sollten
Gefälschte E-Mails „Ihr Konto wurde gehackt". Kriminelle senden E-Mails, die wie offizielle Sicherheitswarnungen aussehen: „Wir haben ungewöhnliche Aktivitäten festgestellt. Klicken Sie hier, um Ihr Konto zu sichern." Das sind Phishing-Versuche. Klicken Sie nicht auf den Link. Gehen Sie stattdessen direkt auf die Seite, indem Sie die Adresse in Ihren Browser eingeben, oder rufen Sie das Unternehmen unter einer Nummer von seiner offiziellen Webseite an.
Phishing beim Passwort-Reset. Ein Betrüger löst eine echte Passwort-Reset-E-Mail von einem Dienst aus, den Sie nutzen, und ruft Sie dann an, indem er vorgibt, vom Sicherheitsteam des Unternehmens zu sein. Er bittet Sie, ihm den Code vorzulesen, der gerade auf Ihrem Handy ankam. Lesen Sie einem Anrufer niemals einen Sicherheitscode vor. Echte Unternehmensangestellte fragen nie danach.
Pop-up-Fälschungen, die Ihren Passwort-Manager imitieren. Ihr echter Passwort-Manager füllt Anmeldedaten automatisch aus — er bittet Sie nie, Ihr Hauptpasswort auf einer Webseite neu einzugeben. Wenn eine Seite nach Ihrem Hauptpasswort fragt, schließen Sie diese Registerkarte.
Was Sie als Nächstes ausprobieren sollten
Phishing-E-Mails sind oft der erste Schritt, den Kriminelle unternehmen, bevor sie versuchen, ein Konto zu übernehmen. Wie man KI-Phishing-E-Mails erkennt gibt Ihnen sechs schnelle Prüfungen, die gefälschte Nachrichten enthüllen — auch die, die völlig legitim aussehen. Wenn Sie sich auch fragen, welche persönlichen Daten Sie niemals mit einem KI-Chatbot teilen sollten, erklärt Was Sie einem KI-Chatbot nicht sagen sollten die spezifischen Informationen, die Sie gefährden könnten.
Quellen
- Sichere Passwörter erstellen — Bundesamt für Sicherheit in der Informationstechnik (BSI)
- Digital Identity Guidelines: Authentication and Authenticator Management (SP 800-63B-4) — NIST
- Have I Been Pwned — Troy Hunt
- FIDO Passkeys: Passwordless Authentication — FIDO Alliance
- Criminals Increasing SIM Swap Schemes to Steal Millions of Dollars from US Public — FBI Internet Crime Complaint Center (IC3)
- Older Adults Express High Concern and Limited Knowledge About AI Scams and Fraud — AARP Public Policy Institute
