Wie oft sollten Sie Ihr Passwort ändern? (Leitfaden 2026)

Wenn Ihre IT-Abteilung oder eine alte Gewohnheit Ihnen sagt, jedes Passwort alle 90 Tage zu ändern, mag die moderne Antwort Sie überraschen: bei den meisten Konten nicht. Die Sicherheitsempfehlungen haben sich verschoben. Dieser Leitfaden erklärt, wie oft Sie ein Passwort wirklich ändern sollten, warum der erzwungene Wechsel aufgegeben wurde und was Sie stattdessen tun sollten.

Die kurze Antwort

Ändern Sie ein starkes, einzigartiges Passwort nicht nach einem festen Zeitplan. Ändern Sie es nur, wenn es einen echten Grund gibt. Das ist der aktuelle Konsens von Sicherheitsstellen wie NIST, das bereits 2017 die Empfehlung zum routinemäßigen Wechsel gestrichen hat. Ein starkes Passwort, das Sie behalten und durch Zwei-Faktor-Authentifizierung schützen, ist besser als eine Reihe schwächerer, die Sie immer wieder neu erfinden müssen.

Warum „alle 90 Tage ändern" nach hinten losgeht

Die alte Regel klang vernünftig, aber in der Praxis hat sie die Lage verschlechtert. Wenn Menschen gezwungen werden, Passwörter oft zu ändern, erfinden sie keine starken neuen. Sie nehmen kleine, vorhersehbare Änderungen vor - aus Spring2026! wird Summer2026! - und nutzen Muster über mehrere Konten hinweg. Das Ergebnis sind schwächere, leichter zu erratende Passwörter und mehr Mehrfachnutzung, also genau das, worauf Angreifer setzen.

Wann Sie ein Passwort tatsächlich ändern sollten

Ein Wechsel sollte durch Ereignisse ausgelöst werden, nicht durch den Kalender. Ändern Sie ein Passwort sofort, wenn:

• Der Dienst ein Datenleck meldet oder Sie Ihr Konto in einem solchen finden.
• Das Passwort schwach, mehrfach genutzt oder geteilt ist.
• Sie unbekannte Anmeldungen oder Aktivitäten am Konto bemerken.
• Sie es auf einer Phishing-Seite oder einem nicht vertrauenswürdigen Gerät eingegeben haben.
• Sie es jemals an jemanden geschickt haben, auch an sich selbst, per Chat oder E-Mail.

In jedem dieser Fälle ändern Sie es sofort und aktivieren Sie die Zwei-Faktor-Authentifizierung.

Was Sie stattdessen tun sollten

Das routinemäßige Ändern ist die falsche Gewohnheit. Diese drei sind die richtigen:

1. Nutzen Sie für jedes Konto ein einzigartiges Passwort. Ein Passwort-Manager erzeugt und speichert lange, zufällige Passwörter, sodass Sie nie eines wiederverwenden oder vergessen.
2. Aktivieren Sie die Zwei-Faktor-Authentifizierung. Sie blockiert ein gestohlenes Passwort schon allein, was weit mehr zählt als die Häufigkeit eines Wechsels.
3. Überwachen Sie Datenlecks. Dann wissen Sie genau, wann ein bestimmtes Passwort wirklich geändert werden muss, statt nach einem Zeitplan zu raten.

Was ein Passwort stark genug macht, um es zu behalten

Der gesamte Rat „keine routinemäßige Rotation" beruht auf einer Bedingung: Das Passwort muss von Anfang an stark und einzigartig sein. Ein schwaches Passwort, das Sie für immer behalten, ist nicht das Ziel. Was gilt als stark?

• Länge vor Komplexität. Die NIST-Richtlinie (SP 800-63B) sieht die Länge als Hauptfaktor für die Stärke und fordert Dienste auf, lange Passwörter zuzulassen - mindestens 64 Zeichen - statt seltsame Symbolregeln zu erzwingen. Eine zufällige Zeichenfolge mit 16 Zeichen oder eine merkbare Passphrase aus fünf oder mehr zufälligen Wörtern ist weitaus schwerer zu knacken als ein kurzes Passwort, vollgestopft mit einem ! und einer Zahl.
• Einzigartig für ein Konto. Wiederverwendung macht aus einem einzigen Leck viele. Wenn ein Passwort nur auf einer Website vorkommt, entsperrt ein Leck dort nichts anderes von Ihnen.
• Niemals aus einem Muster abgeleitet. Firma2026, der Name Ihres Haustiers oder eine Tastaturfolge (qwertz123) sind erratbar. Ein zufällig generiertes Passwort hat kein angreifbares Muster.

Treffen Sie diese drei Punkte, und das Passwort braucht wirklich keine Kalender-Erinnerung. Eine vollständige Anleitung finden Sie unter wie man ein starkes Passwort erstellt.

Was, wenn mein Arbeitgeber alle 90 Tage einen Wechsel erzwingt?

Viele Arbeitsplätze erzwingen weiterhin eine periodische Rotation, oft wegen einer alten Compliance-Checkliste - obwohl NIST, Microsoft und das britische NCSC inzwischen vom routinemäßigen Ablauf abraten. Sie können die Unternehmensrichtlinie meist nicht außer Kraft setzen, aber verhindern, dass sie Ihre Sicherheit verschlechtert:

• Nutzen Sie Ihren Passwort-Manager, um jedes Mal ein völlig neues Zufallspasswort zu erzeugen, statt das alte abzuwandeln. Das durchbricht das vorhersehbare Muster Frühling → Sommer, das die erzwungene Rotation gefährlich macht.
• Verwenden Sie ein ausgemustertes Arbeitspasswort niemals für ein privates Konto erneut.
• Wenn Sie die Richtlinie beeinflussen können, lautet die dokumentierte moderne Position: den geplanten Ablauf streichen und nur bei Hinweisen auf eine Kompromittierung wechseln, kombiniert mit Multi-Faktor-Authentifizierung und Leck-Überwachung.

Es geht nicht darum, mit Ihrer IT-Abteilung zu streiten - sondern darum, sicherzustellen, dass jedes neue Passwort, falls Sie rotieren müssen, stark und einzigartig bleibt statt einer recycelten Variante. Und prüfen Sie weiterhin, ob Ihre Passwörter geleakt wurden, damit ein echter Auslöser nie unbemerkt bleibt.

Das Fazit

Die ehrliche, aktuelle Antwort auf „wie oft sollte ich mein Passwort ändern" lautet: nicht nach einem Zeitplan - nur, wenn etwas passiert. Der erzwungene Wechsel war gut gemeint, aber er hat Menschen zu schwächeren, wiederholten Passwörtern gedrängt. Tauschen Sie diese Gewohnheit gegen starke, einzigartige Passwörter, einen Manager, der sie verwahrt, und die Zwei-Faktor-Authentifizierung. Genau das hält Konten 2026 wirklich sicher.