Warum Passwortkomplexitätsregeln überholt sind (und was stattdessen funktioniert)

Passwortkomplexität ist eine Richtlinienregel, die verlangt, dass ein Passwort verschiedene Zeichentypen (Großbuchstaben, Kleinbuchstaben, Ziffern und Symbole) kombiniert — in der Annahme, dass mehr Zeichenvielfalt höhere Entropie und stärkeren Schutz gegen das Erraten von Passwörtern erzeugt.

P@ssw0rd123! erfüllt wahrscheinlich jede Komplexitätsregel, die Ihre Gruppenrichtlinie vorschreibt. Trotzdem benötigt ein modernes GPU-System nur etwa 2 Sekunden, um es zu knacken, da das dahinterliegende Muster zu den ersten gehört, die jedes Cracking-Wörterbuch ausprobiert.

Das ist das Kernproblem. Komplexitätsregeln wurden entwickelt, um die Entropie zu erhöhen, aber Benutzer sind stattdessen auf vorhersehbare Ersetzungen ausgewichen, haben Passwörter aufgeschrieben und dieselben Anmeldedaten über ein Dutzend Dienste hinweg wiederverwendet. Im Jahr 2024 hat NIST die Komplexitätsvorgaben in SP 800-63B-4 offiziell aufgegeben. Hier erfahren Sie, warum — und was sie ersetzt.

Sechs Dinge, die Sie beheben sollten, bevor Sie diesen Tab schließen

Verzichten Sie auf vorgeschriebene Zeichenkombinationen. NIST SP 800-63B-4 streicht die verbindlichen Zusammensetzungsregeln — sie treiben Benutzer zu vorhersehbaren Formeln wie Password1!, die Cracking-Tools zuerst testen.
Erhöhen Sie die Mindestlänge und machen Sie Passwörter wirklich zufällig. 8 Zeichen sind das Minimum bei aktivierter MFA, 15 sind das Minimum ohne MFA, und 12+ ist das realistische Ziel für die meisten Unternehmensrichtlinien. Generieren Sie Passwörter mit einem Tool, da ein langes Passwort, das ein Mensch sich ausdenkt, immer noch vorhersehbar ist.
Streichen Sie den erzwungenen Rotationszyklus. Ändern Sie ein Passwort nur, wenn es Hinweise auf eine Kompromittierung gibt — nicht nach einem 60- oder 90-Tage-Timer, der nur Summer2026!-ähnliche Anpassungen erzeugt.
Fügen Sie eine Breach-Prüfung bei der Erstellung hinzu. Diese blockiert genau die Passwörter, die Angreifer bereits ausprobieren — etwas, das keine Zusammensetzungsregel jemals geleistet hat.
Fügen Sie MFA hinzu und wechseln Sie zu Passkeys, wo immer möglich. MFA verhindert, dass ein geleaktes Passwort allein ausreicht. Passkeys gehen noch weiter und eliminieren das geteilte Geheimnis vollständig, sodass für einen Angreifer nichts mehr übrig bleibt, das er phishen oder stehlen könnte.
Übertragen Sie die Durchsetzung einem Passwort-Manager. Gruppenrichtlinien können weder den Breach-Status prüfen noch protokollieren, wer auf ein geteiltes Passwort zugegriffen hat. Ein Passwort-Manager ist genau für diese Aufgabe konzipiert.

Was sind Passwortkomplexitätsregeln

Passwortkomplexitätsregeln sind Richtlinienanforderungen, die ein Passwort dazu zwingen, verschiedene Zeichentypen zu kombinieren — typischerweise mindestens einen Großbuchstaben, einen Kleinbuchstaben, eine Ziffer und ein Symbol — in der Annahme, dass mehr Zeichenvielfalt höhere Entropie und stärkeren Schutz gegen Rateangriffe erzeugt.

Diese Regeln wurden in den 2000er und 2010er Jahren zum Standard in der Unternehmens-IT, meist in Kombination mit einer Mindestlänge von 8 Zeichen und einer obligatorischen Rotation alle 60 bis 90 Tage. Die Standard-Passwortrichtlinie von Active Directory wird immer noch mit aktivierten Zusammensetzungsanforderungen ausgeliefert, und die meisten Compliance-Checklisten aus dieser Ära gingen davon aus, dass Komplexität und Rotation die Basis für Kontosicherheit bilden.

Die Annahme hinter der Regel war theoretisch fundiert: Ein größerer Zeichensatz pro Position bedeutet mehr mögliche Kombinationen, was eine längere Brute-Force-Suche bedeutet. In der Praxis interagiert die Regel mit dem menschlichen Verhalten auf eine Weise, die ihr eigenes Ziel untergräbt — das Thema des nächsten Abschnitts.

Was NIST geändert hat — und warum es wichtig ist

NIST SP 800-63B-4 streicht die obligatorischen Zeichenzusammensetzungsregeln und periodischen Passwort-Resets und begründet dies damit, dass beide Praktiken die reale Sicherheit eher verschlechtern als verbessern. Das Update ersetzt vorschreibende Komplexität durch längenbasierte Anforderungen und Breach-Screening.

Die Begründung findet sich in Anhang A der Publikation: Zusammensetzungsregeln treiben Benutzer zu vorhersehbaren, formelhaften Passwörtern, während erzwungene Rotation dazu führt, dass Personen triviale Änderungen vornehmen (Summer2025! wird zu Summer2026!) oder alte Passwörter mit einer angehängten Ziffer wiederverwenden. Keines dieser Verhaltensweisen erhöht den Schutz gegen Erraten oder Knacken.

„Forschungen haben gezeigt, dass Benutzer auf sehr vorhersehbare Weise auf die Anforderungen reagieren, die durch Zusammensetzungsregeln (Richtlinien) auferlegt werden. Beispielsweise würde ein Benutzer, der vielleicht „password" als Passwort gewählt hätte, relativ wahrscheinlich „Password1" wählen, wenn ein Großbuchstabe und eine Zahl erforderlich sind, oder „Password1!", wenn zusätzlich ein Symbol verlangt wird." — NIST SP 800-63B-4

Hier die Änderung in der Praxis:

Zeichenzusammensetzung:
- Alt — Großbuchstaben, Kleinbuchstaben, Ziffer und Sonderzeichen vorschreiben.
- Neu — keine Zusammensetzungsregeln. Alle druckbaren Zeichen akzeptieren, einschließlich Leerzeichen.
Rotation:
- Alt — Passwörter alle 60-90 Tage ablaufen lassen.
- Neu — keine erzwungene Rotation. Änderung nur bei Hinweisen auf Kompromittierung.
Mindestlänge:
- Alt — 8 Zeichen wurden oft als allein ausreichend behandelt.
- Neu — 8 Zeichen sind das absolute Minimum für Passwörter, die mit Multi-Faktor-Authentifizierung verwendet werden. Wenn ein Passwort die einzige Sicherheitsmaßnahme ist, müssen Systeme mindestens 15 Zeichen verlangen. 12+ Zeichen werden als praktischer Unternehmensstandard empfohlen.
Passworthinweise:
- Alt — wissensbasierte Hinweise waren erlaubt.
- Neu — keine Hinweise, da sie Informationen preisgeben, die ein Angreifer direkt nutzen kann.
Breach-Prüfung:
- Alt — in Richtlinien weitgehend fehlend.
- Neu — jedes Passwort bei der Erstellung und bei jeder Änderung gegen bekannte Breach-Datenbanken prüfen.

Wenn Ihr Active Directory GPO noch die Checkliste aus den 2010er Jahren durchsetzt, arbeitet es jetzt gegen die Richtlinien, für deren Erfüllung es entwickelt wurde.

Das Verhaltensversagen von Komplexitätsregeln

Komplexitätsregeln scheitern, weil sie vorhersehbares Verhalten erzwingen. Unter einer Zusammensetzungsanforderung konvergieren Benutzer auf dieselben wenigen Ersetzungsmuster: @ für a, 1 für i oder l, ein Großbuchstabe am Anfang, eine Ziffer oder ein Symbol am Ende. Cracking-Tools testen diese Muster zuerst — genau das Gegenteil dessen, was die Richtlinie beabsichtigte.

Es ist das Standardergebnis, wenn Menschen aufgefordert werden, spontan Entropie zu erzeugen. Personen unter kognitiver Belastung greifen zum Weg des geringsten Widerstands: ein einprägsames Wort, eine vorhersehbare Transformation, ein Muster, das sie schon einmal verwendet haben. Password1! und Summer2026! sind das Ergebnis von Komplexitätsrichtlinien, die auf echte Menschen angewendet werden.

Passwortentropie misst, wie unvorhersehbar ein Passwort ist, in Bits. Jedes zusätzliche Bit verdoppelt die Versuche, die ein Angreifer für einen Brute-Force-Angriff benötigt. Sie hängt von der Zeichensatzgröße und der Länge ab, wobei die Länge mehr Gewicht hat — und sie setzt eine vollständig zufällige Auswahl voraus, die von Menschen gewählte Passwörter selten erreichen.

Die Konsequenz verstärkt sich. Sobald ein Benutzer eine Formel gefunden hat, die die Richtlinie erfüllt, wendet er dieselbe Formel überall an: dasselbe Basiswort, dieselben Ersetzungen, leicht pro Website angepasst. Das ist Passwortwiederverwendung mit zusätzlichen Schritten, und genau deshalb funktioniert Credential Stuffing im großen Maßstab. Der 2025 Data Breach Investigations Report von Verizon stellte fest, dass gestohlene oder wiederverwendete Anmeldedaten der häufigste Initialzugriffsvektor bei Sicherheitsverletzungen bleiben und bei der großen Mehrheit der Webanwendungsvorfälle beteiligt sind.

Passwortmüdigkeit verschärft das Problem. Mitarbeiter, die Richtlinienanforderungen über Dutzende von Systemen hinweg jonglieren, werden mit jeder neuen Regel nicht vorsichtiger. Sie werden müde, und müde Benutzer schreiben Passwörter auf Haftnotizen oder speichern sie in einer Tabelle, die niemand verschlüsselt.

Länge und Zufälligkeit schlagen Komplexität — die Mathematik

Ein 8-Zeichen-Passwort, das wirklich zufällig aus einem 95-Zeichen-Satz gezogen wird, hat etwa 52 Bits Entropie. Ein von Menschen gewähltes „komplexes" Passwort kommt selten auch nur annähernd daran heran. Studien zu benutzergenerierten Passwörtern unter Zusammensetzungsregeln beziffern die reale Entropie auf etwa 20-30 Bits, weil die Zeichenauswahl nicht zufällig ist. Sie folgt den oben beschriebenen Ersetzungsmustern.

Passworttyp	Max. Entropie	Tatsächliche Entropie	Warum
8 Zeichen komplex, von Menschen gewählt	~52 Bits	~20-30 Bits	Vorhersehbare Ersetzungen (@, 1, Großbuchstabe am Anfang)
8 Zeichen komplex, wirklich zufällig	~52 Bits	~52 Bits	Keine menschliche Verzerrung bei der Zeichenauswahl
4-Wort-Passphrase (Diceware)	~52 Bits	~44-52 Bits	Zufälligkeit kommt aus der Wortwahl, nicht aus gedächtnisbasierten Mustern

Die Lücke zwischen den ersten beiden Zeilen ist das gesamte Problem mit Komplexitätsregeln: Die theoretische Obergrenze und das reale Ergebnis sind zwei verschiedene Zahlen, und die Richtlinie kontrolliert nur die Obergrenze.

Eine Passphrase schließt diese Lücke. Vier Wörter, die zufällig aus einer 7.776-Wort-Liste ausgewählt werden (die Standard-EFF/Diceware-Wortlistengröße), erzeugen etwa 52 Bits Entropie — entsprechend dem theoretischen Maximum des 8-Zeichen-komplexen Passworts, sind dabei aber dramatisch leichter zu merken. correct horse battery staple ist das kanonische Beispiel, und es funktioniert, weil die Zufälligkeit aus der Wortauswahl kommt, nicht aus Zeichenersetzungen, die ein Mensch spontan erfinden muss.

Comic, der Passwortentropie illustriert: Vergleich komplexes Passwort vs. Vier-Wort-Passphrase — *Quelle:* *xkcd.com*

Die praktische Erkenntnis: Ein 12-Zeichen-Passwort, das nur aus Kleinbuchstaben besteht und zufällig aus 26 Zeichen gezogen wird, hat mehr reale Entropie als ein 8-Zeichen-„komplexes" Passwort, das ein Mensch tatsächlich wählt, weil Menschen vorhersehbar sind und die Mathematik nicht.

Länge skaliert die Entropie exponentiell mit jedem zusätzlichen Zeichen. Zusammensetzungsregeln fügen einen kleinen, leicht zu erratenden Suchraum auf eine kurze Zeichenkette. Gegen moderne GPU-Hash-Raten bestimmt dieser Unterschied, ob ein Brute-Force-Angriff Stunden oder Jahrhunderte dauert.

Wie Sie sich von Komplexitätsregeln verabschieden

Die Abkehr von veralteten Komplexitätsregeln erfordert kein mehrmonatiges Projekt. Der Großteil der Arbeit besteht aus Richtlinien und Konfiguration, nicht aus neuer Infrastruktur, und entspricht eng dem, was sowohl NIST SP 800-63B-4 als auch das OWASP Authentication Cheat Sheet empfehlen: das Passwortrichtliniendokument aktualisieren, die Einstellungen des Identity Providers anpassen und den Benutzern eine Übergangsfrist geben, um bestehende Passwörter bei der nächsten Anmeldung zu aktualisieren.

Die 5-Schritte-Checkliste für die Migration von Komplexitätsregeln:

Aktualisieren Sie zuerst die schriftliche Richtlinie. Ersetzen Sie Zeichenzusammensetzungsanforderungen durch eine Mindestlänge von 15 Zeichen, die zufällig generiert statt manuell zusammengestellt werden. Streichen Sie die obligatorischen Ziffern-, Symbol- und Großbuchstabenregeln zusammen mit periodisch erzwungenen Resets — beides erhöht den Aufwand ohne entsprechenden Sicherheitsgewinn, sobald die Mindestlänge durchgesetzt wird.
Konfigurieren Sie den Identity Provider neu. Die meisten AD/LDAP- und SSO-Systeme ermöglichen es, die Komplexitätsdurchsetzung zu deaktivieren und eine Mindestlänge unabhängig festzulegen. Testen Sie die Änderung an einer Pilotgruppe, bevor Sie sie organisationsweit ausrollen.
Fügen Sie Breach-Datenbank-Screening hinzu. Prüfen Sie neue Passwörter bei der Erstellung gegen bekannte geleakte Passwortlisten. Dies leistet mehr gegen Credential Stuffing als eine erzwungene Ziffer und ein Symbol, weil es genau die Passwörter blockiert, die Angreifer bereits ausprobieren — nicht nur schwache Muster.
Implementieren Sie phishing-resistente MFA. Ein langes, nicht geleaktes Passwort ist immer noch ein Single Point of Failure, wenn es gephisht wird. Priorisieren Sie FIDO2/WebAuthn-Sicherheitsschlüssel oder Passkeys für den Produktivzugriff. TOTP funktioniert als Fallback, aber Sicherheitsschlüssel und Passkeys sollten das Ziel sein.
Gewähren Sie eine Übergangsfrist, keinen erzwungenen Reset. Wenn Sie alle zwingen, ihre Passwörter am selben Tag zu ändern, erhalten Sie eine Flut von Winter2026!-ähnlichen Mustern. Lassen Sie Passwörter stattdessen natürlich bei der nächsten Anmeldung oder beim Ablauf rotieren.

Teams, die diese Umstellung vornehmen, erleben tendenziell einen Nebeneffekt, den niemand im Richtliniendokument erwähnt: Das Helpdesk-Ticketvolumen für Passwort-Resets sinkt, weil es keinen erzwungenen Rotationszyklus mehr gibt, der vierteljährlich „Ich habe mein neues Passwort vergessen"-Tickets generiert.

Für Dienstkonten und Secrets, die sich überhaupt nicht auf das menschliche Gedächtnis verlassen können, ist die Kalkulation anders: generierte 32+-Zeichen-Secrets, die in einem Passwort-Manager gespeichert werden, anstatt etwas, das jemand aus dem Gedächtnis eingibt.

Passwork generiert und speichert Passwörter und Secrets mit hoher Entropie und unterstützt passwortlose Anmeldung mit Biometrie, Passkeys und WebAuthn-Sicherheitsschlüsseln, sodass Ihr Team nie wieder ein „komplexes" Passwort aus dem Gedächtnis erfinden muss. Entdecken Sie Passwork mit einer kostenlosen Testversion

Warum MFA und Passkeys das eigentliche Ziel sind

Selbst eine gut konzipierte Passwortrichtlinie ist eine Übergangsmaßnahme. Die Richtung, in die sich die Sicherheit entwickelt, ist passwortlose Authentifizierung auf Basis von FIDO2 und WebAuthn, bei der es überhaupt kein geteiltes Geheimnis mehr gibt, das gestohlen werden könnte.

Passkeys sind von Grund auf phishing-resistent: Der private Schlüssel verlässt niemals das Gerät, und die Relying Party speichert nur einen öffentlichen Schlüssel, der für einen Angreifer ohne die passende Hardware wertlos ist. Apple, Google und Microsoft unterstützen Passkeys nativ auf ihren Plattformen gemäß der W3C WebAuthn-Spezifikation, und die Verbraucherakzeptanz hat sich schneller entwickelt als die meisten vorhergesagt hatten.

Die Unternehmenseinführung läuft langsamer. Drei Faktoren halten die meisten Organisationen noch Jahre davon ab, Passwörter vollständig abzuschaffen:

Legacy-Anwendungen, die sich gegen On-Premise-Verzeichnisse authentifizieren oder vor der WebAuthn-Unterstützung entwickelt wurden und nicht über Nacht umgeschrieben werden können
Föderierte Identitäts-Setups, bei denen SSO, SAML und LDAP-Integrationen Passkeys neben bestehenden Protokollen unterstützen müssen, nicht diese vollständig ersetzen
Rollout-Logistik im Unternehmensmaßstab: Geräteregistrierung, Kontowiederherstellung bei Verlust eines Hardware-Schlüssels und Helpdesk-Kapazität zur Unterstützung des Übergangs

In diesem Zeitfenster ist die oben beschriebene Passwortrichtlinie (Länge, Breach-Screening, MFA) — durchgesetzt durch Tools statt durch ein PDF — das, was eine Organisation sicher hält, während der Übergang voranschreitet.

Was ein Passwort-Manager durchsetzt, was Gruppenrichtlinien nicht können

Ein Gruppenrichtlinienobjekt definiert Passwortzusammensetzungsregeln, hat aber keine Möglichkeit zu prüfen, ob ein Passwort bereits geleakt wurde, und keinen Mechanismus zur Nachverfolgung, wer danach auf ein geteiltes Passwort zugegriffen hat. Ein Passwort-Manager schließt diese Lücke: Er prüft Anmeldedaten gegen Breach-Datenbanken, setzt die Länge organisationsweit durch und protokolliert jedes Zugriffsereignis. Das ist die Durchsetzungsebene, die GPO strukturell fehlt.

Passwork, ein selbst gehosteter Unternehmens-Passwort-Manager, wendet dies auf Tresor-Ebene an: Er setzt die Mindestlänge organisationsweit durch, ohne Zeichenmix-Regeln wieder einzuführen, und organisiert Team-Anmeldedaten in geteilten Tresoren mit rollenbasierter Zugriffskontrolle, die Berechtigungen nach Gruppe statt nach individuellem Konto festlegt.

Der integrierte Generator von Passwork erzeugt kryptografisch zufällige Passwörter mit hoher Entropie — die Art, die eine Person nicht zuverlässig von Hand erfinden kann — und speichert sie direkt im Tresor. Autofill übernimmt dann die Anmeldung, sodass niemand jemals das vom Generator Erstellte auswendig lernen oder erneut eingeben muss. Das eliminiert den letzten Punkt, an dem ein Mensch das Passwort noch schwächen könnte: den Moment, in dem jemand versucht, eine lange, zufällige Zeichenkette merkbar zu machen und sie dabei stillschweigend vorhersehbar macht.

Im Gegensatz zu Tools, die nur menschliche Logins verwalten, kombiniert Passwork Passwortverwaltung und Secrets Management in einem Tresor: API-Schlüssel, Zugriffstoken, Datenbank-Anmeldedaten und TLS-Zertifikate befinden sich neben Benutzerpasswörtern unter denselben Zugriffskontrollen und im selben Audit-Log.

Die Umstellung vollziehen

Komplexitätsregeln sind ein Überbleibsel aus einer Ära, als Angreifer sich auf Brute-Force-Raten statt auf automatisierte Tools verließen. Sobald Credential-Stuffing-Angriffe Tausende von Passwortvarianten pro Sekunde testen können, macht es keinen Sinn mehr, Benutzer zu bitten, manuell Entropie zu erzeugen. Länge und MFA erledigen die Aufgabe, die Zusammensetzungsregeln erfüllen sollten, ohne sich auf das Gedächtnis von irgendjemandem zu verlassen.

Das NIST-Update ist eine formelle Anerkennung dessen, was Sicherheitsexperten seit über einem Jahrzehnt beobachten: Menschen sind das schwächste Glied in jeder Richtlinie, die sie auffordert, auf Abruf Zufälligkeit zu erzeugen.

Beginnen Sie mit dem Audit. Rufen Sie Ihre aktuellen GPO-Passworteinstellungen ab, prüfen Sie, ob sie noch Zusammensetzung und Rotation vorschreiben, und vergleichen Sie das mit SP 800-63B-4.

Wenn Ihre Gruppenrichtlinie noch Zeichenzusammensetzungsregeln von 2010 durchsetzt, ist die Lösung einfacher als gedacht. Beginnen Sie mit der Länge, fügen Sie Breach-Screening hinzu und überlassen Sie einem Passwort-Manager die Durchsetzung. Sehen Sie, wie Passwork die Unternehmens-Passwort-Governance handhabt

Häufig gestellte Fragen

Gilt NIST für meine Organisation, wenn ich keine US-Bundesbehörde bin?

NIST SP 800-63 ist der de facto globale Standard für Passwortrichtlinien, auch außerhalb von Bundesanforderungen. Das OWASP Authentication Cheat Sheet bezieht sich direkt darauf, und nationale Behörden einschließlich des deutschen BSI und der französischen ANSSI richten ihre eigenen Empfehlungen zunehmend an denselben Prinzipien aus.

Was ist die von NIST jetzt empfohlene Mindestpasswortlänge?

NIST SP 800-63B-4 legt 8 Zeichen als absolutes Minimum für Passwörter fest, die zusammen mit Multi-Faktor-Authentifizierung verwendet werden. Wenn ein Passwort die einzige Sicherheitskontrolle ist (keine MFA), müssen Systeme mindestens 15 Zeichen verlangen. In der Praxis sollten die meisten Unternehmensteams 12 oder mehr Zeichen als realistischen Arbeitsstandard betrachten, da 8 Zeichen allein wenig Spielraum gegen aktuelle Cracking-Hardware bieten — selbst bei aktivierter MFA.

Sollte ich weiterhin periodische Passwortänderungen durchsetzen?

Nein. NIST SP 800-63B-4 streicht ausdrücklich die obligatorische Rotation. Ändern Sie ein Passwort nur, wenn es Hinweise auf eine Kompromittierung gibt, wie z. B. eine Übereinstimmung in einer Breach-Datenbank oder eine verdächtige Anmeldung, oder wenn der Benutzer es selbst wünscht.

Ersetzen Passkeys Passwörter vollständig?

Noch nicht, und für die meisten Umgebungen nicht so bald. Passkeys sind die langfristige Richtung, aber die Einführung erfolgt schrittweise aufgrund von Legacy-Systemen und der Komplexität des Rollouts. Passwort-Manager überbrücken diese Lücke, indem sie heute Passworthygiene, Breach-Screening und Zugriffskontrolle übernehmen.

Wie kann ich prüfen, ob ein Passwort geleakt wurde, ohne es preiszugeben?

Verwenden Sie die Have I Been Pwned k-Anonymity API. Das Passwort wird clientseitig mit SHA-1 gehasht, und nur die ersten fünf Zeichen des Hashs werden an den Dienst übertragen. Das vollständige Passwort und der komplette Hash werden niemals über das Netzwerk übertragen.