News Hasso-Plattner-Institut: Das meistgenutzte Passwort in 2025 bleibt eine Zahlenreihe

[Himbeerdone]

Gut solche 08/15 Passwörter sollte man freilich nicht nutzen und wichtig ist zudem für jede Seite ein eigenes Passwort zu haben.
Ansonsten ist es meines Erachtens ziemlich egal ob das Passwörter (für normale Anwendungen) einzigartig und relativ "schwach" ist oder aus 80 (Sonder-)Zeichen besteht.
Der Zugang bzw. das Abgreifen erfolgt fast immer über andere Wege, Sicherheitslücken oder Phishing etc.

Mit immer leistungsstärkeren (Quanten-) Computern wird es meines Erachtens auch wieder wesentlich wichtiger das Passwort bei Sicherheitsanwendungen regelmäßiger zu wechseln und sowieso 2FA oder 3FA zu nutzen.

 

[wuselsurfer]

Für die Panasonic-TVs war es lange 123654 fürs Einstellungsmenü.

 

[DERHansWurst]

Puh!

Ich lasse inzwischen die meisten Passwörter einfach am iPhone generieren und habe sie dann direkt per FaceID sicher abgespeichert.

Also angeblich sicher, bitte bestätigt mich kurz darin

2-Faktor ist für mich ansonsten auch ein Muss bei allem was halbwegs wichtig ist. Ohne Bestätigung per Smartphone geht dann nämlich eigentlich nix.

 

[Nebula123]

Was bringt MFA & PW-Manager, wenn viele eh alles auf dem Handy machen?

 

[Rescripted]

Das ist doch alles Humbug(ck)! Diese ganzen Schrottpasswörter werden doch zu 99% nur in 1x Wegwerfportalen genutzt.

Meine Eltern würden gerne ein Wörtchen mitreden wollen.

 

[eax1990]

Ich finde ja "falsch" ist das beste Passwort, muss ich mir auch nicht merken. Steht ja oft da: "Das Passwort ist falsch".

N Kumpel von mir hatte früher ähnliche Passwörter, wir haben uns Spaßeshalber an seinen PC gehockt um den zu knacken, 10 Minuten benötigt auf Basis von Menschenkenntnis und Logik, war ziemlich leicht ein Passwort herauszufinden nur auf dieser Basis.
Sprich theoretisch muss man nur aufmerksam die Sätze einer Person mitlesen auf SocialMedia und bisschen ums Eck denken.
Das is zwar sone abstruse Logik, die so offensichtlich ist, dass man widersprechen will im Verstand.

 

[Piktogramm]

Das ist doch alles Humbug(ck)! Diese ganzen Schrottpasswörter werden doch zu 99% nur in 1x Wegwerfportalen genutzt. Und die werden wohl am Leichtesten "abgegriffen".

Die 99% sind halt fröhlich ausgedacht. Viele professionelle Portale pfuschen mit ihrer Sicherheit und da können wunderbar Passwörter gezogen werden. Da viele Nutzer ihre Passwörter bzw. Bestandteile fröhlich recyclen kann davon ausgehend fröhlich weiter erkundet werden.

So eine Top Liste der meistgenutzen Passwörter ohne die Nennung der jeweiligen Häufigkeit ist halt komplett sinnlos.* Die Top10 können nur solche Trivialpasswörter sein, anders geht es nicht, ein sicheres Passwort kann per Definition keines sein welches so viele nutzen, dass es in den Top10 landen könnte.

Du hast Relation nicht verstanden.

Gegenargument: Wieso sollten Kriminelle die Energie aufwenden, diese abzugreifen?

Zum einen kann man mit den gewonnen Logins/Passwörtern fröhlich versuchen bei anderen Diensten Logins zu betreiben und zum Anderen kann man mit größeren Passwortverzeichnissen wunderbar seine eigenen Werkzeuge schärfen. Es ist ja mindestens anzunehmen, dass die Nutzer·innen alle sehr ähnliche Fehler machen. Es ist also durchaus sinnvoll das knacken bekannter Passwörter zu üben (Algorithmen zum Erzeugen der PWs anpassen bzw. heute "KI" drauf werfen).

Ich verstehe immer noch nicht, wieso Passwortmanager so unglaublich sicher sein sollen. Schließlich hängt dort alles an einem einzigen Masterpasswort. Ist das kompromittiert, steht man sofort komplett nackig da.

Die gescheiten Passwortmanager nutzen schwer skalierbare Algorithmen zur Schlüsselableitung für die Verschlüsselung. Einen entsprechenden Container in die Finger zu bekommen nutzt Angreifern entsprechend wenig. Zudem viele PW-Manager heute auch 2FA können und damit den Aufwand abermals steigern.
Zusätzlich, so ein PW-Manager verwaltet die Zugangsdaten zu öffentlichen Logins von Dritten. Daher die können angegriffen werden, ohne dass du es merkst. Wenn dir wer nach dem PW-Manager trachtet, hast du mehr Chancen es mitzubekommen. Aus einem nicht vertrauenswürdigem System würde ich aber keinen PW-Manager nutzen!

Woher weiss HPI das? Haben die das ausprobiert? Das is doch nur ein Schätzwert.

Es gibt von erfolgreichen Hacks immer wieder komplette Dumps von Datenbanken mit Klartextpasswörtern oder zumindest trivial knackbaren Passworthashes. Entweder gegen Geld im Darknet, OpenWeb, Hackerkonferenzen, guten Freunden, ..

Und dann kommt wieder die Website an: 'Ihr Passwort hat aber gar keine Sonderzeichen; somit kann es nicht sicher sein. Bitte vergeben Sie ein anderes.'

Für Leetspeak gibt es für Hashcat simpelste Generatoren:
https://github.com/hashcat/hashcat/blob/master/rules/leetspeak.rule

Das dagegen die Passwortpolicy aktiv wird ist vernünftigt, Leetspeak gibt allenfalls wenige Bits anzusätzlicher Entropie und damit praktisch keinen Sicherheitsgewinn.

 

[Magellan]

Du hast Relation nicht verstanden.

Würdest du das ausführen? Und um das klar zu stellen mir geht es selbstverständlich um die Angabe der relativen, nicht der absoluten Häufigkeit.

 

[Araska]

Für Leetspeak gibt es für Hashcat simpelste Generatoren:

Das dagegen die Passwortpolicy aktiv wird ist vernünftigt, Leetspeak gibt allenfalls wenige Bits anzusätzlicher Entropie und damit praktisch keinen Sicherheitsgewinn.

Ich sah im Beispiel kein Leetspeak. 'Au434to164En574te' ist für mich eine 2:3-Verschachtelung von AutoEnte und 434164574.

 

[Kokuswolf]

Wisst ihr was noch sicherer als Password x, y oder z ist? Ein Passwort je Seite.

Diese Darknet-Auswertung macht dies ja nochmal deutlich. Die haben die PWs von hackbaren DBs, also sicherheitstechnisch äußerst miserabel umgesetzte Dienste. Das mag schlimm für diese Dienste sein, aber schlimmer noch, wenn das PW auch anderswo mit gleichen Username und/oder eMail hinterlegt ist.

Wenn ihr also jemanden erwischt, geb ihm/ihr links und rechts eine ... also verbal natürlich, warum schlimmer als ein schlechtes PW das immergleiche PW ist. Denn nur eine einzige Seite muss gehackt werden (, die ihre PWs nicht ausreichend hashed) und schon hat man Zugriff auf alle anderen Seiten, wo das gleiche PW liegt. Ganz egal wie genial (oder nicht) das PW selbst ist.

 

[empower]

Hat hier jemand eines der passwörter?

• hallo123
• kaffeetasse

da wär ich nicht draufgekommen

 

[SSD960]

Zuhause, am PC, vielleicht egal. Aber mobile Geräte oder bei Zugängen geht es gar nicht.
Gibt ja schließlich auch Keepass für alle Geräte.

 

[Slayterix]

plemplem77 ist mein Favorit😄

 

[DaBo87]

Achtung, stark subjektiv: Bei der Gen Z ist es fast so schlimm wie mit den "Alten". Viele kennen dort nichts außer das Handy, Sie finden sich am PC/Mac nicht zurecht und scheitern an vielen einfachen Dingen.

Exakt meine Beobachtung aus 5 Jahren Servicedesk Consultant und 2 Jahren Leitung Servicedesk, einmal Konzern mit 16k Mitarbeitern, Gesundheitsbereich. Einmal mittelständisches Familienunternehmen in der Chemiebranche:

Menschen ab ca. 55 und Menschen bis ca. 30 haben wenig bis keine IT-Skills die über die Bedienung von MS Excel, Word, Outlook, Powerpoint und bisl Teams, evtl. SAP (aber da auch nur die Standardtransaktionen, die sie beim Onboarding gezeigt bekommen und Smartphones (und auch hier nur eher oberflächlich) hinausgehen.

 

[Weedlord]

Mein passwort bekommt keiner raus, das viel zu krass

``f1ck3ndeW4schm4sch1ne€

 

[adnigcx]

'Dreifacherespressotasse' ist sogar noch stärker...

'IchKaueKaffeeBohnen!" Wäre sogar noch noch stärker

 

[wagga]

Ich glaube, dass hat unter anderem damit zu tun, dass Passwörter mit Sonderzeichen (ß, € usw) häufig gar nicht zulässig sind, je nach verwendeter Programmiersprache.

Ich nutze Keepass aber oft muss ich dann das Passwort manuell ändern weil die Website oder Anwendung zwingend ein Sonderzeichen möchte. Ich füge dann hinten ein @ dran und speichere das dann als neues Passwort.

Ergänzung (27. Januar 2026)

Und dann kommt wieder die Website an: 'Ihr Passwort hat aber gar keine Sonderzeichen; somit kann es nicht sicher sein. Bitte vergeben Sie ein anderes.'

Das Problem habe ich mit Keepass auch manchmal dann nehme ich das Passwort von Keepass und füge ein @ hinten dran und speichere es in Keepass auch ab.

Ergänzung (27. Januar 2026)

Eigentlich richtig erkannt nur die falsche Schlussfolgerung gezogen, nicht der Passwortmanager ist unsicher sondern eventuell das Masterpasswort. Das bedeutet es benötigt nur ein einziges Passwort was sehr lang und komplex ist, am besten noch mit einem Hardwaretoken wie ein YubiKey mit Challenge-Response abgesichert.

Ich muss zum öffnen des Passwortmanager mein Passwort eingeben und zusätzlich den im USB-Anschluss eingesteckten YubiKey berühren damit ein Challenge-Response ausgeführt wird. Das ist schon ziemlich sicher, absolute Sicherheit gibt es nicht.

Es gibt ja in Keepass eine Schlüsseldatei die man erstellen kann ich traue aber dem nicht was ist wenn mit der Datei mal was ist.

 

[Janoe]

Ist die Liste "bereinigt"? Kann mir eigentlich nicht vorstellen, dass kein Schimpfwort in den Top 10 vertreten ist..

 

[Piktogramm]

Würdest du das ausführen? Und um das klar zu stellen mir geht es selbstverständlich um die Angabe der relativen, nicht der absoluten Häufigkeit.

Bei der Aussage, eine Liste wurde nach Häufigkeit sortiert. Die 10 häufigsten Einträge sind ..
Egal ob relative oder absolute Häufigkeiten angegeben werden, ändert sich nichts an der Sortierung, nichts an der Aussage.
Und die Feststellung, dass Einträge mit höherer Distinktion ja garnicht einer entsprechendem Ranking auftauchen könne ist der Definition des Rankings zu verdanken.

Ich sah im Beispiel kein Leetspeak. 'Au434to164En574te' ist für mich eine 2:3-Verschachtelung von AutoEnte und 434164574.

Hoppala.
In dem Falle ist es eine Permutation von AutoEnte und einer 11-stelligen Ziffernfolge. AutoEnte sollte mit einem Standardwörterbuch mit n=500..1000 knackbar sein. Soooo richtig geil wird die Entropie bei pessimistischer Schätzung also auch nicht, aber wohl besser als Leetspeak.

 

[kartoffelpü]

Ich frage mich ja, wo man solche simplem Passwörter überhaupt noch nutzen kann...
Habe ich wohl seit ein paar Jahren nicht mehr gesehen, dass man irgendwo so ein Passwort überhaupt hätte nutzen können.