Ein Passwort oder Kennwort ist eine geheime Zeichenfolge, die zur Zutritts-, Zugangs- oder Zugriffskontrolle eingesetzt wird. In der Informationssicherheit werden Passwörter zur Authentifizierung von Personen oder IT-Systemen genutzt.
Abgrenzung und verwandte Begriffe Der Begriff Passwort ist seit dem 16. Jahrhundert belegt und stammt aus dem militärischen Bereich. Damals reichte noch ein einzelnes Wort aus, um passieren zu dürfen.
Eng damit verwandt ist das Kennwort, das nicht das Passieren betont, sondern die Kennung als gemeinsam bekanntes Geheimnis.
Als Computer Passwörter schnell durchprobieren konnten, wurden einzelne Wörter als Passwort zu unsicher, und in einigen Bereichen wurde der Begriff Passphrase bzw. Passsatz etabliert, um die Notwendigkeit längerer Passwörter zu betonen.
Eher selten verwendet sind SchlüsselwortPasswort, in duden.de und Codewort (auch Kodewort).
Im militärischen Bereich wurden auch Losung, Losungswort oder Parole (von „das Wort“) verwendet.
Eine Persönliche Identifikationsnummer (PIN) ist ein Passwort, das in der Regel ausschließlich aus Ziffern besteht.
Einsatzgebiete mini|Anmeldung bei Wikipedia
Eine Parole beim Militär ist ursprünglich ein als Erkennungszeichen dienendes Wort, um bei Dunkelheit oder bei unbekannten Kombattanten Freund und Feind zu unterscheiden. Noch heute wird von nachtpatrouillierenden Soldaten bei der Wache oder auf Manövern die Frage nach der Parole gestellt. Im Laufe der Geschichte wurden manche Belagerungen durch den Verrat des Losungswortes entschieden.
In der Computerwelt werden Passwörter häufig zusammen mit einem Benutzernamen eingesetzt, um sich bei einem IT-System, zum Beispiel bei einer Website, zu authentifizieren. Der Nutzer kann das Passwort üblicherweise frei wählen, dabei schränken Passwortrichtlinien die möglichen Passwörter oft ein. Einige Systeme generieren Passwörter auch automatisch.
Passwörter werden in zahlreichen Bereichen verwendet, zum Beispiel als Element der Kindersicherung, um Kindern den Zugriff auf Fernseher, Receiver oder ungeeignete Programminhalte zu verwehren.
Neben der Aufgabe Identifizieren von Personen werden Passwörter auch dazu verwendet, um bestimmte Berechtigungen nachzuweisen: Wer das Passwort (den richtigen Code) kennt, gilt als berechtigt. Beispiele: Parole beim Militär oder ein Zugangscode zum Öffnen von Türen.
Die Authentizität des sich so Ausweisenden bleibt nur höchstens so lange gewahrt, wie das Passwort geheim bleibt, das heißt, es Dritten nicht bekannt ist. Der Zusammenhang zwischen Passwort und dessen Nutzer muss gesondert hergestellt und überprüft werden (zum Beispiel durch die Bank auf dem (laut Gesetz) besonders vor Manipulation geschützten Postweg).
Nutzungsarten Gemeinsam bekanntes Passwort Das einfachste Verfahren besteht darin, innerhalb einer klar definierten Gruppe von Eingeweihten ein gemeinsam bekanntes Passwort zu vereinbaren. In der Informationstechnik spricht man von einem „Shared Secret“. Das Wesentliche bei diesem Verfahren ist es, dass alle Kommunikationspartner das gleiche „richtige“ Passwort kennen. Ein Nachteil dieses Verfahrens ist es, dass bei einem Passwort-Verrat alle Beteiligten gleichermaßen verdächtigt werden müssen, nicht vertraulich mit dem Passwort umgegangen zu sein. Außerdem müssen sich nach Bekanntwerden des Passworts alle Kommunikationspartner auf ein neues Passwort einigen.
Persönliches Passwort Der übliche Anwendungsfall von Passwörtern ist, dass ein Passwort einer einzelnen Person zugeordnet ist und dass diese Person das Passwort geheim hält.
Einmalpasswort Einmalkennwörter können nur einmal zur Authentifizierung benutzt werden und sind danach ungültig. So entsteht kein Schaden, wenn das Passwort während der Authentifizierung ausgespäht wird. Traditionell werden mehrere Einmalkennwörter auf Vorrat festgelegt und in Form einer Liste vermerkt, die sicher verwahrt werden muss. Solche Einmalkennwörter werden zum Beispiel als Transaktionsnummern (TAN) beim Online-Banking verwendet. Sie können aber auch erst kurz vor ihrer Benutzung unter Einbeziehung der Uhrzeit und einer PIN erzeugt werden und nur zur Benutzung binnen weniger Minuten geeignet sein.
Speichern von Passwörtern Beim Speichern von Passwörtern ist seit 1975 Stand der Technik, dass das Passwort selbst nicht gespeichert wird. Das Klartextpasswort ist idealerweise allein im Kopf einer einzigen Person gespeichert. Statt das Passwort im Klartext zu speichern, wird aus dem Passwort ein kryptographischer Hash berechnet, der dann anstelle des Passworts gespeichert wird. Wird nun das Passwort verwendet, um einen Einlass in das System zu bekommen, wird zu dem eingegebenen Passwort wieder der Hash berechnet. Der Zugriff wird gewährt, wenn dieser Hash mit dem abgespeicherten Hash übereinstimmt.
Der kryptographische Hash wird so berechnet, dass aus der Kenntnis des Hashes das Passwort nicht in realistischer Zeit zurückberechnet werden kann. Dadurch können Administratoren, oder bei einem Datenleck die Angreifer, das Passwort nicht direkt auslesen. Sie können jedoch immer noch in einer Datenbank mit bereits bekannten Passwörtern und deren Hashes nachsehen, ob das gesuchte Passwort dabei ist. Um das zu verhindern, wird beim Berechnen des Hashes dem Passwort noch ein Zufallswert angehängt, der sogenannte Salt. Der sorgt dafür, dass es zu einem einzelnen Passwort viele mögliche Hashes gibt (1975 waren es 4096, das war noch ziemlich unsicher, Stand der Technik 2020 sind mehrere Trillionen mal Trillionen), so dass es sich für einen Angreifer nicht lohnt, die Hashes im Voraus zu berechnen.
Wenn ein Angreifer in den Besitz eines gehashten Passworts gelangt, kann er durch systematisches Probieren (Brute-Force-Methode) versuchen, das Passwort zu erraten. Um dieses Raten zu verlangsamen, wird eine spezielle Hashfunktion verwendet, die absichtlich viel Rechenzeit und Speicher braucht (Passwortableitfunktion). Dadurch wird das massenhafte Durchprobieren von Passwörtern aufwendig und weniger attraktiv. Das rechtmäßige Prüfen des Passworts auf dem eigentlichen Server wird dadurch auch verlangsamt, aber das fällt bei den meisten Systemen nicht weiter ins Gewicht. Sollte eine Passwortüberprüfung weniger als eine Zehntelsekunde brauchen, ist das ein Zeichen dafür, dass das System nicht auf dem Stand der Technik ist.
Sicherheitsfaktoren Die Sicherheit eines Passwortes hängt vor allem von 2 Faktoren ab: Das Passwort muss geheim bleiben. Das Passwort darf nicht leicht zu erraten sein.
Geheimhaltung Passwörter zur Authentifizierung bieten die größte Sicherheit, wenn diese nur einmalig verwendet werden. Jeder wiederholte Einsatz des Passwortes erhöht die Gefahr, bei unverschlüsseltem Transfer oder Spionage-Maßnahmen (wie z. B. durch Keylogging oder Phishing) das Passwort zu verraten. Dadurch, dass Passwörter dauerhaft gültig sind, können die so erlangten Passwörter wiederverwendet werden, ganz im Gegensatz zu Transaktionsnummern, die nur einmal verwendbar sind.
Aus dieser Überlegung heraus stammt die Anforderung, dass Passwörter regelmäßig geändert werden. Gegen diese Anforderung spricht jedoch, dass es für Menschen schwierig ist, sich alle 3 Monate ein neues Passwort zu merken. In der Praxis passiert es häufig, dass derartige Passwörter mit einer Zahl aufhören, die alle 3 Monate um 1 erhöht wird. Dieses Verfahren erhöht die Sicherheit des Passworts nicht wesentlich, da ein einmal bekannt gewordenes Passwort auf zukünftige Passwörter schließen lässt. Unter anderem aus diesem Grund wurden die Vorgaben des BSI, wann ein Passwort geändert werden muss, im Jahr 2020 angepasst – seitdem müssen Passwörter nicht mehr regelmäßig ablaufen.
Die Übertragung des Passwortes vom Benutzer zum System sollte sicher sein, z. B. durch Verwendung von verschlüsselten Kanälen zur Übertragung (siehe auch TLS). Dadurch wird es bei sicherer Implementierung und ausreichender Stärke der Verschlüsselung für den Angreifer nahezu unmöglich, das Passwort in Erfahrung zu bringen, da die Rechenkapazität heutiger Rechner bei weitem nicht ausreicht, um moderne Verschlüsselungen in angemessener Zeit zu knacken.
Passwörter sollten nicht aufgeschrieben werden, sondern idealerweise nur im Kopf der jeweils berechtigten Personen gespeichert sein. Dazu ist erforderlich, dass das Passwort sich leicht merken lässt. Das steht jedoch im Konflikt dazu, dass alle Unberechtigten das Passwort nicht durch Erraten herausfinden dürfen. In diesem Spannungsfeld versuchen Passwortrichtlinien einen pragmatischen Kompromiss zu finden.
Das Passwort darf nicht im Klartext gespeichert werden. (Siehe Speichern von Passwörtern)
Entropie Die Sicherheit eines Passworts ergibt sich direkt daraus, wie lange ein Angreifer braucht, um es herauszufinden. Sofern der Angreifer nicht auf Folter, Datenlecks oder ähnliche Seitenkanalattacken zurückgreifen kann, bleibt nur die Möglichkeit, das Passwort gezielt zu erraten. Um dieses Erraten möglichst aufwendig zu machen, sollte das Passwort eine große Entropie haben. Die Entropie eines Passworts ist die Anzahl der Ja/Nein-Fragen, die ein Angreifer nacheinander stellen muss, um das Passwort erst einzugrenzen und schließlich zu erraten. Da der Angreifer üblicherweise nicht auf jede dieser Ja/Nein-Fragen direkt eine Antwort bekommt, muss er die Ja/Nein-Fragen alle im Voraus kombinieren. Bereits bei 40 Ja/Nein-Fragen muss er dafür mehr als 1 Billion mögliche Passwörter ausprobieren.
Wahl sicherer Passwörter mini|Video: Unknackbar aber einfach zu merken! – Passwörter Einfach Erklärt
Empfehlungen zur Länge und Komplexität Die Mindestlänge eines Passwortes hängt davon ab, wofür es verwendet wird. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt für Onlinezugänge Passwörter mit mindestens acht Groß- und Kleinbuchstaben sowie Sonderzeichen und Ziffern zu verwenden, für WLAN-Zugänge hingegen Passwörter aus mindestens zwanzig Zeichen. Dies ist insbesondere dann nötig, wenn eine unbeschränkte Anzahl von Versuchen mit verschiedenen Passwörtern einen Zugang zulässt und damit einen Angriff („Erraten“) nach der sogenannten Brute-Force-Methode ermöglicht. Diese Empfehlung weicht hinsichtlich der Verwendung verschiedener "Zeichenarten" von den 2017 erneuerten Regeln des National Institute of Standards and Technology ab.NIST Special Publication 800-63B: Digital Identity Guide, Authentication and Lifecycle Management. (PDF; 1,2 MB), (englisch).
Im August 2017 veröffentlichte das National Institute of Standards and Technology (NIST) der USA neue Regeln für sichere Passwörter. Den Autoren nach erzeugten viele der alten Regeln – wie etwa Groß- und Kleinschreibung, Sonderzeichen, häufiges Wechseln der Passwörter –, die in den letzten Jahren als wichtige Empfehlung galten, nur wenig bis gar keine zusätzliche Sicherheit. Im Juli 2025 wurden Version 4 der Regeln veröffentlicht, um auf die wandelnde digitale Landschaft zu reagieren, die seit 2017 entstanden war. Die Regeln von 2017 besagen unter anderem:
Ein vom Nutzer selbst gewähltes Passwort muss mindestens 15 Zeichen haben (Bis Juli 2025: 8 Zeichen). Jedes kürzere Passwort ist auf jeden Fall abzulehnen, da unsicher. Passwortrichtlinien wie „muss mindestens 1 Sonderzeichen enthalten“ oder „muss Ziffern, Klein- und Großbuchstaben enthalten“ sollen nicht verwendet werden. Passwortrichtlinien sollen nicht in regelmäßigen Abständen den Wechsel zu einem neuen Passwort vorschreiben. Falls Anzeichen für die Kompromittierung des Authentifikators vorliegen, muss der Wechsel des Passworts aber erzwungen werden. Menschen können sich nur schlecht zufällige Zeichenketten merken, daher wählen sie lieber einfache Passwörter, die sich dann auch leicht erraten lassen. Die Länge eines Passworts sollte nach oben hin nicht begrenzt sein, soweit aus Nutzersicht sinnvoll. Es sollte also möglich sein, Passwörter mit 1000 Zeichen zu verwenden. Extrem lange Passwörter mit über einer Million Zeichen dürfen jedoch abgelehnt werden.