Ein einzelnes Passwort-Reset kostet ein Unternehmen rund 70 US-Dollar, wenn IT-Aufwand, Produktivitätsverlust und Betriebsverzögerungen eingerechnet werden — so die Kalkulation des Identity-Management-Anbieters Matrix42. In einem mittelständischen Betrieb mit 500 Beschäftigten und quartalsweisem Passwortwechsel summiert sich das auf über 140.000 US-Dollar pro Jahr, allein durch Resets. Dabei hat das Bundesamt für Sicherheit in der Informationstechnik (BSI) die Empfehlung zum regelmäßigen Passwortwechsel bereits 2020 aus dem IT-Grundschutz gestrichen. Viele Unternehmen erzwingen ihn trotzdem.
Die Lücke zwischen Empfehlung und Betrieb
Die Passwort-Debatte hat sich in den letzten sechs Jahren grundlegend verschoben. Sowohl das BSI als auch das US-amerikanische National Institute of Standards and Technology (NIST) in seinen Richtlinien SP 800-63-4 verfolgen denselben Kurs: Länge schlägt Komplexität, und routinemäßige Passwortwechsel schaden mehr als sie nützen. Microsoft hat die Passwortablauf-Richtlinie aus seiner Windows-10-Sicherheitsbaseline entfernt.
Die betriebliche Realität in Deutschland sieht anders aus. Mittelständische Unternehmen verlangen weiterhin 12 bis 20 Zeichen, erzwungene Mischung aus Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen — dazu Wechselintervalle von 60 bis 90 Tagen. Ein IT-Leiter eines bayerischen Maschinenbauers mit 800 Beschäftigten, der anonym bleiben möchte, berichtet gegenüber Branchenmedien von „drei verschiedenen Passwortregimes für ERP, E-Mail und VPN — jedes mit eigenem Wechselzyklus". Die Folge: Beschäftigte schreiben Passwörter auf Post-its, verwenden Varianten desselben Stammpassworts oder rufen den Helpdesk an.
Gartner schätzt, dass 20 bis 50 Prozent aller IT-Helpdesk-Tickets auf Passwort-Resets entfallen. Das bindet IT-Personal, das für Sicherheitsarchitektur, Patch-Management oder Incident Response fehlt.
Was die Daten über Komplexität und Sicherheit sagen
Die Annahme hinter strengen Passwort-Policies lautet: Je komplexer das Passwort, desto sicherer das System. Die Evidenz stützt diese Annahme nur teilweise.
Ein 12-stelliges Passwort aus einem 94-Zeichen-Satz (Groß-/Kleinbuchstaben, Ziffern, Sonderzeichen) hat rund 94¹² ≈ 4,8 × 10²³ mögliche Kombinationen. Ein 16-stelliges Passwort erhöht den Brute-Force-Aufwand um das rund 78-Millionenfache. Die Länge dominiert die Entropie — nicht die Zeichenvielfalt. Das NIST empfiehlt deshalb mindestens 15 Zeichen bei maximal 64, ohne erzwungene Zeichenmischung.
Entscheidend aber: Der typische Angriffsvektor ist nicht Brute Force gegen ein Einzelpasswort, sondern Credential Stuffing mit kompromittierten Datenbanken und Phishing. 85 Prozent der Social-Engineering-Angriffe zielen auf den Diebstahl von Zugangsdaten. Gegen beide Vektoren hilft ein 20-Zeichen-Passwort mit Sonderzeichen genau dann nicht, wenn es auch für den privaten E-Mail-Account oder das Branchenportal verwendet wird. Eine Specops-Analyse ergab, dass 98,5 Prozent der untersuchten Passwörter schwach waren — obwohl sie formale Längen- und Zeichenkriterien erfüllten. Das Muster: Nutzer erfüllen die Regel minimal und vorhersagbar, etwa „Sommer2025!" statt einer echten Zufallsfolge.
Das BSI formuliert die Konsequenz direkt: Ein Passwortwechsel soll nur noch bei konkretem Verdacht auf Kompromittierung erfolgen, nicht nach Kalender.
Die Gegenposition: Warum Unternehmen zögern
Die stärkste Position für strenge Passwort-Policies liegt im Haftungsrahmen. Die DSGVO verlangt in Art. 32 „angemessene technische und organisatorische Maßnahmen" zum Schutz personenbezogener Daten, ohne konkrete Passwort-Parameter vorzuschreiben. Viele Compliance-Abteilungen lesen das als: mehr Zeichen, mehr Sonderzeichen, kürzere Wechselintervalle — weil im Schadensfall die Nachweislast bei ihnen liegt. Ein IT-Sicherheitsbeauftragter, der 2024 die Policy gelockert hat und dann einen Breach erleidet, steht schlechter da als einer, der „alles Menschenmögliche" erzwungen hat — so die betriebliche Kalkulation.
Diese Logik ist nachvollziehbar, aber sie verwechselt Dokumentation mit Wirksamkeit. Die Landesdatenschutzbehörde Baden-Württemberg verweist auf die BSI-Empfehlungen und betont, dass „angemessen" nicht „maximal" bedeutet. Ein erzwungener 90-Tage-Wechsel, der nachweislich zu Passwort-Recycling führt, kann im Aufsichtsverfahren gerade als unangemessen gewertet werden — weil die Maßnahme das Schutzniveau senkt statt zu erhöhen.
Was stattdessen wirkt
Die Multi-Faktor-Authentifizierung (MFA) blockiert laut Microsoft und NIST bis zu 99 Prozent der automatisierten Angriffe auf Zugangsdaten. Dieser eine Hebel übertrifft jede Passwort-Policy um Größenordnungen. Die Kostenstruktur ist bekannt: Hardware-Token kosten 20–50 Euro pro Stück, Authenticator-Apps sind kostenlos, die Einrichtung dauert Minuten pro Nutzer.
Passkeys, die auf Public-Key-Kryptographie basieren, eliminieren das Passwort-Problem strukturell: Sie können nicht weitergegeben, nicht aufgeschrieben und nicht per Phishing abgefangen werden. Apple, Google und Microsoft unterstützen den FIDO2-Standard; 1Password und andere Passwort-Manager integrieren Passkeys bereits. Die Einschränkung: Noch unterstützen nicht alle Unternehmensanwendungen — insbesondere ältere ERP- und Branchensoftware — den Standard. Für den Übergang empfehlen BSI und NIST die Kombination aus Passwort-Manager (erzeugt und speichert einzigartige, zufällige Passwörter pro Dienst) und MFA.
Die Risikoabwägung bei biometrischer Authentifizierung verdient eine Anmerkung: Fingerabdrücke und Gesichtserkennung sind schwer zu fälschen, aber nicht änderbar, wenn die biometrischen Daten kompromittiert werden. Biometrie funktioniert als zweiter Faktor, nicht als alleiniger Ersatz.
Was das für die Effizienz-Achse bedeutet
Die Effizienz-Bilanz überzogener Passwort-Policies lässt sich in drei Posten beziffern:
Erstens: direkte Helpdesk-Kosten. Bei 70 US-Dollar pro Reset und einer konservativen Annahme von zwei Resets pro Mitarbeiter und Jahr (ein vergessenes Passwort, ein gesperrtes Konto) zahlt ein 500-Personen-Unternehmen 70.000 US-Dollar jährlich für ein Problem, das ein Passwort-Manager eliminiert.
Zweitens: Opportunitätskosten der IT-Abteilung. Wenn die Hälfte der Helpdesk-Tickets Passwort-Themen betrifft, fehlt diese Kapazität für Aufgaben mit höherem Sicherheitsertrag — Patch-Management, Netzwerksegmentierung, Incident-Response-Übungen.
Drittens: Produktivitätsverlust der Beschäftigten. Konkrete Studien, die den jährlichen Zeitaufwand pro Mitarbeiter für Passwort-Compliance isoliert messen, fehlen (Stand: Juni 2026). Die verfügbaren Schätzungen stammen aus Reset-Kosten-Kalkulationen und Helpdesk-Statistiken, nicht aus Zeiterfassungsstudien. Diese Datenlücke ist selbst ein Befund: Unternehmen messen die Kosten ihrer Passwort-Policies nicht, obwohl sie sie erzwingen.
Die Kernfrage
Das Problem ist nicht, dass Unternehmen Passwort-Sicherheit ernst nehmen. Das Problem ist, dass sie eine Maßnahme erzwingen, deren Wirksamkeit die zuständigen Behörden — BSI, NIST — seit Jahren relativieren, während sie die nachweislich wirksamere Maßnahme (MFA) oft als „zu aufwändig" oder „nicht nutzerfreundlich" aufschieben. Die Compliance-Abteilung schreibt 20 Zeichen mit Sonderzeichen vor, aber der VPN-Zugang kommt ohne zweiten Faktor aus. Das ist kein Sicherheitskonzept — das ist Bürokratie, die sich als Sicherheit verkleidet.