Sichere Passwörter und 2FA: So schützen Sie Ihre Website wirklich

Sichere Passwörter und 2FA: So schützen Sie Ihre Website wirklich

Ganz ehrlich, wenn ich Kunden frage, wie das Passwort für ihr Website-Login lautet, wird es oft still. Und wenn dann doch eine Antwort kommt, ist es erschreckend häufig irgendetwas mit dem Firmennamen und einer Jahreszahl. Ich verstehe das. Man hat tausend Dinge im Kopf und das Passwort soll einfach funktionieren. Aber genau hier fängt das Problem an. Denn die meisten Angriffe auf Firmenwebsites brauchen keinen genialen Hacker, sie brauchen nur ein schwaches Passwort.

Warum ausgerechnet das Passwort das Einfallstor ist

Machen wir uns nichts vor: Die romantische Vorstellung vom Hacker, der sich mühsam durch eine Firewall kämpft, hat mit der Realität wenig zu tun. In den allermeisten Fällen läuft es viel banaler. Irgendwo im Netz wird ein Dienst gehackt, bei dem Sie vor Jahren mal ein Konto hatten. Ihre E-Mail-Adresse und Ihr Passwort landen in einer riesigen Liste, die im Netz kursiert. Und dann passiert etwas, das sich Credential Stuffing nennt: Automatische Programme probieren diese gestohlenen Kombinationen einfach massenhaft bei tausend anderen Diensten durch. Bei Ihrem Website-Login, Ihrem Hosting-Konto, Ihrem E-Mail-Postfach.

Das Perfide daran: Es funktioniert nur, weil so viele Menschen dasselbe Passwort überall benutzen. Und die Zahlen sind längst alles andere als harmlos. In einer einzigen Sammlung, die Sicherheitsforscher 2025 zusammengetragen haben (bekannt als Synthient-Daten), stecken rund 1,96 Milliarden E-Mail-Adressen und über eine Milliarde Passwörter. Der überwiegende Teil aller erfolgreichen Angriffe hängt heute mit gestohlenen oder schwachen Zugangsdaten zusammen. Nicht mit Zauberei.

Übrigens können Sie in zwei Minuten selbst nachsehen, ob es Sie schon erwischt hat. Auf der kostenlosen Seite haveibeenpwned.com geben Sie Ihre E-Mail-Adresse ein und sehen, in welchen bekannten Datenlecks sie bereits aufgetaucht ist. Bei den meisten ist die Überraschung groß.

Was ein gutes Passwort heute ausmacht

Und jetzt kommt der Teil, über den sich viele wundern. Das Bundesamt für Sicherheit in der Informationstechnik, kurz BSI, hat Anfang 2025 seine Empfehlungen deutlich geändert. Die alte Regel, das Passwort alle paar Monate zu wechseln, ist vom Tisch. Der Grund ist einleuchtend: Wer ständig wechseln muss, denkt sich keine starken Passwörter aus, sondern hängt einfach eine Zahl hinten dran. Aus "Sommer2024" wird "Sommer2025". Das schützt niemanden.

Die neue Linie ist entspannter und gleichzeitig sicherer. Sie lautet sinngemäß:

• Lieber ein wirklich starkes Passwort, das dafür jahrelang bleiben darf.
• Wechseln nur dann, wenn ein konkreter Verdacht besteht, dass es gestohlen wurde.
• Länge schlägt Kompliziertheit. Ein langer Ausdruck aus mehreren Wörtern ist besser als eine kurze Folge aus sieben kryptischen Zeichen.

Ein praktischer Trick, den auch das BSI empfiehlt: Denken Sie in Passphrasen statt in Passwörtern. Vier zufällige Wörter, die für Sie einen Sinn ergeben, werden zu einem sehr langen und trotzdem merkbaren Passwort. Und das Allerwichtigste dabei: für jeden Dienst ein eigenes. Klingt nach viel Arbeit. Ist es aber nicht, und damit sind wir beim nächsten Punkt.

Der Passwortmanager nimmt Ihnen die Arbeit ab

Ich weiß, für viele klingt "Passwortmanager" erst mal nach noch mehr Technik, um die man sich kümmern muss. In Wahrheit ist es genau andersherum. Ein Passwortmanager ist ein Programm, das für jeden Ihrer Zugänge ein eigenes, sehr starkes Passwort erzeugt und verschlüsselt speichert. Sie müssen sich nur noch ein einziges gutes Master-Passwort merken. Den Rest füllt das Programm automatisch aus.

Das ist ehrlich gesagt der eine Schritt, der für die meisten am wirksamsten ist. Sie haben plötzlich überall unterschiedliche, starke Passwörter, ohne sich auch nur eines davon merken zu müssen. Viele Passwortmanager warnen sogar, wenn Sie gerade auf einer gefälschten Seite Ihr Passwort eingeben wollen, weil die Adresse nicht stimmt. Ein Schutz gegen Phishing gleich mit dazu. Auch das BSI empfiehlt ausdrücklich den Einsatz eines solchen Programms.

Zwei-Faktor-Authentifizierung: das zweite Schloss an der Tür

So gut ein Passwort auch ist, es kann trotzdem in falsche Hände geraten. Deshalb kommt hier die wichtigste Ergänzung. Die Zwei-Faktor-Authentifizierung, oft nur 2FA genannt, ist wie ein zweites Schloss an Ihrer Tür. Nach dem Passwort verlangt der Dienst noch einen zusätzlichen Code, meistens aus einer kleinen App auf Ihrem Handy.

Der Effekt ist enorm. Selbst wenn ein Angreifer Ihr Passwort kennt, steht er ohne Ihr Handy vor verschlossener Tür. Das BSI rät klar dazu, 2FA überall zu aktivieren, wo ein Dienst das anbietet. Für Ihre Firmenwebsite heißt das ganz konkret: beim Login zum Content-Management-System, beim Hosting-Anbieter und ganz besonders beim E-Mail-Postfach, über das die "Passwort vergessen"-Funktionen aller anderen Dienste laufen. Fangen Sie bei der E-Mail an, das ist der Generalschlüssel zu fast allem anderen.

Ein kleiner Hinweis noch: Wenn Sie die Wahl haben, nehmen Sie lieber eine Authenticator-App als den Code per SMS. Die App gilt als deutlich sicherer.

Passkeys: der Blick nach vorn

Vielleicht ist Ihnen der Begriff schon einmal begegnet. Passkeys sind sozusagen die nächste Stufe und werden das Passwort in den kommenden Jahren mehr und mehr ablösen. Statt etwas einzutippen, melden Sie sich per Fingerabdruck, Gesichtserkennung oder der PIN Ihres Geräts an. Das Schöne daran: Es gibt kein Passwort mehr, das gestohlen oder über eine gefälschte Seite abgegriffen werden könnte. Noch bietet nicht jeder Dienst das an, aber wo es angeboten wird, lohnt sich der Umstieg. Sie müssen heute nicht alles umstellen. Aber es schadet nicht, den Begriff im Hinterkopf zu haben.

Für Ihre Website ganz konkret

Damit das hier nicht graue Theorie bleibt, hier die Punkte, die ich jedem Website-Betreiber ans Herz lege:

• Jedes Konto rund um die Website (CMS, Hosting, Domain, E-Mail) bekommt ein eigenes, langes Passwort aus dem Passwortmanager.
• 2FA überall aktivieren, wo es geht. Zuerst beim E-Mail-Postfach.
• Alte, nicht mehr genutzte Benutzerkonten auf der Website löschen. Der ehemalige Praktikant braucht seinen Admin-Zugang nicht mehr.
• Wenn mehrere Leute Zugriff haben, bekommt jeder seinen eigenen Zugang. Keine geteilten Sammel-Logins.
• Einmal im Jahr in Ruhe durchgehen und aufräumen. Das reicht in den meisten Fällen schon.

Mein ehrlicher Rat

Sicherheit klingt immer nach einem riesigen Projekt, für das man eine eigene IT-Abteilung braucht. Bei den Grundlagen ist das schlicht nicht wahr. Die drei Dinge, die den größten Unterschied machen, kosten Sie einen einzigen Nachmittag: einen Passwortmanager einrichten, überall unterschiedliche Passwörter vergeben und bei den wichtigen Konten 2FA anschalten. Damit haben Sie schon mehr getan als der Großteil aller kleinen Betriebe hier im Ruhrgebiet.

Und wenn Sie unsicher sind, wo Sie bei Ihrer Website überhaupt anfangen sollen, schaue ich mir das gerne gemeinsam mit Ihnen an. Ich sage Ihnen ehrlich, welche Zugänge wirklich kritisch sind und welche Handgriffe sich lohnen. Meistens ist es weniger, als Sie denken, und danach schlafen Sie ein gutes Stück ruhiger.

Kleiner Hinweis noch: Dieser Beitrag gibt den Stand nach bestem Wissen wieder und ersetzt keine individuelle Sicherheitsberatung für Ihren konkreten Fall.