Die DSGVO schreibt keine bestimmte Passwortlänge vor. Sie verlangt aber Zugangssicherung nach dem Stand der Technik (Art. 32 DSGVO). Konkrete Maßstäbe liefern die Datenschutzkonferenz (DSK) für Online-Dienste und das BSI für die interne IT: lange Passwörter, keine geleakten Passwörter, Speicherung nur als gesalzener Hash und Mehr-Faktor-Anmeldung, wo das Risiko hoch ist.
Was verlangt die DSGVO?
Art. 32 Abs. 1 DSGVO verpflichtet Sie zu technischen und organisatorischen Maßnahmen, die dem Risiko angemessen sind. Dabei berücksichtigen Sie den Stand der Technik, die Kosten und die Art der Daten. Art. 25 Abs. 1 DSGVO verlangt, dass Sie den Schutz schon bei der Auswahl und Gestaltung Ihrer Systeme einplanen. Wer Gesundheitsdaten, Steuerunterlagen oder Bankdaten verarbeitet, braucht mehr Schutz als ein Verein mit einer Mitgliederliste.
Passwörter sind nur ein Teil Ihrer Sicherheitsmaßnahmen. Den Gesamtüberblick finden Sie im Beitrag zu den technischen und organisatorischen Maßnahmen.
Zwei Bereiche: interne Systeme und Kundenkonten
- Interne Systeme wie E-Mail, Cloud, Fernzugang und Fachsoftware: Hier ist das IT-Grundschutz-Kompendium des BSI der Maßstab, Baustein ORP.4 (Edition 2023). Nach ORP.4.A8 muss jede Organisation den Passwortgebrauch verbindlich regeln.
- Kundenkonten in Online-Shop, Portal oder App: Hier gilt die DSK-Orientierungshilfe "Anforderungen an Anbieter von Online-Diensten zur Zugangssicherung" (Stand 29.03.2019). Sie beschreibt, was die Aufsichtsbehörden als Stand der Technik ansehen.
Musterrichtlinie: Passwörter und Zugänge
Die folgende Tabelle können Sie als Grundlage für Ihre Passwortrichtlinie nutzen. Die Vorgaben sind ein Vorschlag, den Sie an Ihr Risiko anpassen.
| Regel | Vorgabe | Begründung |
|---|---|---|
| Mindestlänge | mindestens 12 Zeichen, Passphrasen ausdrücklich erlaubt | DSK: in der Regel mindestens 10 Zeichen für mittlere Güte. BSI: 8 bis 12 Zeichen mit vier Zeichenarten oder 20 bis 25 Zeichen mit zwei Zeichenarten |
| Höchstlänge | mindestens 64 Zeichen zulassen | NIST SP 800-63B-4 empfiehlt das für Passphrasen |
| Gesperrte Passwörter | Abgleich mit Listen häufiger und geleakter Passwörter | DSK Nr. 2.1, BSI ORP.4.A8 |
| Mehrfachnutzung | eigenes Passwort für jedes System | BSI ORP.4.A8 |
| Wechsel | nur bei Anlass, etwa Verdacht auf Kompromittierung | BSI ORP.4.A23 rät von rein zeitgesteuerten Wechseln ab, DSK Nr. 2.2 |
| Persönliche Konten | keine geteilten Zugänge | BSI ORP.4.A1: jede Kennung eindeutig einer Person zuordnen |
| Fehlversuche | wachsende Wartezeit, danach Sperre | BSI ORP.4.A13, DSK Nr. 2.3 |
| Mehr-Faktor-Anmeldung | Pflicht für Admin, E-Mail, Cloud, Fernzugang | BSI ORP.4.A10 für Konten mit weitreichenden Rechten |
| Passwort-Manager | zentral bereitstellen | BSI ORP.4.A8: Einsatz prüfen |
| Standardpasswörter | vor Inbetriebnahme ändern | BSI ORP.4.A9 und ORP.4.A23 |
| Austritt | Zugänge am letzten Arbeitstag sperren | BSI ORP.4.A2 |
Strenge Zeichenregeln wie "ein Sonderzeichen, eine Ziffer" sind kein Muss. Die US-Behörde NIST verzichtet in SP 800-63B-4 (2025) ganz darauf und verlangt stattdessen Länge: mindestens 15 Zeichen, wenn das Passwort allein schützt, mindestens 8 Zeichen als Teil einer Mehr-Faktor-Anmeldung.
Mehr-Faktor-Authentisierung: wo sie erwartet wird
Für Online-Dienste soll nach der DSK eine Zwei-Faktor-Authentisierung angeboten werden. Bei Verarbeitungen mit hohem Risiko ist sie keine reine Empfehlung mehr, sondern nötig für ein angemessenes Schutzniveau. Die DSK bevorzugt offene Verfahren wie TOTP per Authenticator-App, weil dafür keine Mobilfunknummer nötig ist, und empfiehlt die Unterstützung von WebAuthn. Das BSI hebt hardwaregestützte Verfahren wie Sicherheitsschlüssel hervor.
Im Unternehmen sollten Sie Mehr-Faktor-Anmeldung zuerst dort einschalten, wo ein einziges gestohlenes Passwort großen Schaden anrichtet: Administratorkonten, E-Mail-Postfächer, Cloud-Dienste, VPN und Fernwartung.
Kundenkonten im Shop oder Portal
Die DSK-Orientierungshilfe nennt für Online-Dienste unter anderem:
- Passwortstärke bei der Wahl messen und anzeigen.
- Fehlgeschlagene Anmeldeversuche beim nächsten Login anzeigen.
- Über Änderungen von E-Mail-Adresse oder Telefonnummer und über Logins aus anderen Ländern informieren.
- Passwort-Reset nur über einen Einmal-Link mit höchstens einer Stunde Gültigkeit, nie ein neues Passwort per E-Mail.
- Übertragung nur verschlüsselt, Speicherung nur mit einem gesalzenen Hashverfahren nach Stand der Technik. Für die passwortbasierte Schlüsselableitung nennt das BSI in seiner Technischen Richtlinie TR-02102-1 das Verfahren Argon2id.
- Anmeldedaten getrennt von den Inhaltsdaten speichern und die Datenbank regelmäßig testen lassen.
Beispiele aus Unternehmen
- Steuerkanzlei mit 8 Beschäftigten: Mandantendaten sind sensibel. Jede Person hat ein eigenes Konto, Passwörter liegen im Passwort-Manager, E-Mail und Fernzugang sind mit zweitem Faktor geschützt.
- Online-Shop mit Kundenkonten: Der Shop sperrt bekannte Passwörter, bremst Massenanmeldeversuche und bietet Kundinnen eine Authenticator-App an.
- Arztpraxis-Software: Gesundheitsdaten nach Art. 9 DSGVO bedeuten hohes Risiko. Statt eines gemeinsamen Logins am Empfang erhält jede Mitarbeiterin eine eigene Kennung, der Fernzugriff des Softwareanbieters läuft nur mit zweitem Faktor.
Phishing und Schulung
Starke Passwörter helfen wenig, wenn Beschäftigte sie auf gefälschten Anmeldeseiten eingeben. Die DSK verlangt von Anbietern regelmäßige Schulungen, insbesondere zu Social Engineering. Eine Datenschutzschulung mit Phishing-Beispielen gehört deshalb in jede Passwortrichtlinie.
Wenn Zugangsdaten abhandenkommen
Wird ein Konto übernommen oder tauchen Zugangsdaten in einem Leak auf, setzen Sie die Passwörter sofort zurück und prüfen, auf welche Daten zugegriffen wurde. Besteht ein Risiko für die Betroffenen, melden Sie die Datenpanne unverzüglich und möglichst binnen 72 Stunden der Aufsichtsbehörde (Art. 33 DSGVO). Bei hohem Risiko informieren Sie auch die Betroffenen (Art. 34 DSGVO). Jeden Vorfall dokumentieren Sie (Art. 33 Abs. 5 DSGVO).
Was droht bei schwacher Zugangssicherung?
Verstöße gegen Art. 25 und Art. 32 DSGVO können mit bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes geahndet werden (Art. 83 Abs. 4 lit. a DSGVO). Ein bekanntes Beispiel ist 1&1: Im Callcenter genügten Name und Geburtsdatum, um als berechtigt zu gelten. Der BfDI verhängte am 27.11.2019 ein Bußgeld von 9,55 Millionen Euro. Das LG Bonn bestätigte den Verstoß gegen Art. 32 DSGVO, setzte die Summe aber auf 900.000 Euro herab (Urteil vom 11.11.2020, 29 OWi 1/20). Zugangssicherung betrifft also auch Telefon-Hotlines.
Praktische Schritte
- Alle Systeme und Konten auflisten, auch Shop, Website und Hotline.
- Passwortrichtlinie nach der Tabelle oben schriftlich festlegen.
- Mehr-Faktor-Anmeldung für Admin, E-Mail, Cloud und Fernzugang aktivieren.
- Passwortspeicherung im eigenen Shop oder Portal technisch prüfen lassen.
- Austrittsprozess mit Sperrliste einführen.
- Beschäftigte jährlich zu Phishing schulen.
Datenkodex unterstützt als externer Datenschutzbeauftragter mit einem Datenschutz-Audit, das Ihre Passwortrichtlinie und Zugangssicherung an den Vorgaben von DSK und BSI misst.