Warum Sie bei Sicherheitsfragen nicht die Wahrheit sagen sollten
TOCA · WISSEN
Von TOCA Redaktion · 2026 · 5 Min. Lesezeit
Der Mädchenname Ihrer Mutter. Der Name Ihres ersten Haustiers. Die Stadt, in der Sie geboren wurden. Diese Fragen sollen Ihre Konten schützen. Tatsächlich gehören die Antworten oft zu den ersten Dingen, die sich über Sie herausfinden lassen.
Dieser Artikel ist der erste Teil unserer Reihe über digitale Gewohnheiten, die wenig Aufwand kosten und viel bewirken. Es geht um Sicherheitsfragen, um die Frage, wo Passwörter hingehören, und um Konten, die Sie eigentlich nicht brauchen.
Das Problem mit Sicherheitsfragen
Sicherheitsfragen wurden eingeführt, damit Sie ein vergessenes Passwort zurücksetzen können. Die Idee dahinter: Nur Sie kennen die Antwort. Das mag einmal gestimmt haben. Heute stehen Geburtsort, Schule, Haustiere und Familiennamen häufig in sozialen Netzwerken oder auf alten Vereinsseiten. Manchmal genügt auch ein beiläufiges Gespräch, um sie zu erfahren.
Dazu kommt, dass viele Antworten schlicht vorhersehbar sind. Eine Untersuchung von Google aus dem Jahr 2015 zeigte, dass sich typische Sicherheitsantworten oft mit wenigen Versuchen erraten lassen. Gleichzeitig wussten viele ihre eigenen Antworten später selbst nicht mehr. Die Sicherheitsfrage ist damit oft weder sicher noch zuverlässig.
Das eigentliche Risiko liegt in ihrer Funktion. Wer die Antwort kennt, kann in vielen Fällen das Passwort neu setzen. Ein starkes Passwort nützt wenig, wenn daneben eine Hintertür offensteht.
„Eine Sicherheitsfrage ist nur so geheim wie die Antwort, die bereits irgendwo im Internet steht.“
Die bessere Antwort ist eine falsche Antwort
Die Lösung ist einfach: Beantworten Sie Sicherheitsfragen nicht wahrheitsgemäß. Verwenden Sie stattdessen eine zufällige Wortkombination ohne jeden Bezug zu Ihrem Leben. Auf die Frage nach Ihrem ersten Haustier antworten Sie zum Beispiel „Kupferdach Neunzehn Ostwind“.
Entscheidend ist der zweite Schritt. Speichern Sie diese Antwort an derselben Stelle wie das zugehörige Passwort, idealerweise in einem Passwortmanager. Eine zufällige Antwort, die Sie selbst vergessen haben, sperrt Sie genauso aus wie ein vergessenes Passwort.
Ein praktischer Hinweis: Manche Banken und Mobilfunkanbieter fragen die Antwort am Telefon ab. Wählen Sie in diesem Fall eine Kombination aus normalen Wörtern, die sich gut aussprechen lässt, statt einer Folge von Sonderzeichen.
„Die sicherste Antwort auf die Frage nach Ihrem ersten Haustier hat nichts mit Ihrem Haustier zu tun.“
Wo Passwörter nicht hingehören
Die Notizen-App auf dem Smartphone, eine Tabelle namens „Passwörter“ auf dem Desktop, ein Zettel unter der Tastatur, eine E-Mail an sich selbst: All diese Orte sind bequem. In der Regel sind sie aber nicht zusätzlich geschützt. Wer Zugriff auf das Gerät oder das Cloud-Konto erhält, kann alles lesen.
Ebenso riskant ist es, dasselbe Passwort mehrfach zu verwenden. Wird ein einziger Dienst gehackt, probieren Angreifer die erbeuteten Zugangsdaten automatisiert bei Hunderten anderer Dienste aus. So kann ein Datenleck bei einem kleinen Onlineshop Angreifern den Weg in Ihr E-Mail-Postfach öffnen.
Ein Passwortmanager löst beide Probleme. Er speichert Ihre Zugangsdaten verschlüsselt, erzeugt für jedes Konto ein eigenes, langes Passwort. Sie selbst müssen sich nur noch ein Hauptpasswort merken. Auch das Bundesamt für Sicherheit in der Informationstechnik empfiehlt den Einsatz von Passwortmanagern.
Die in Browser und Betriebssysteme eingebauten Passwortmanager sind heute deutlich besser als ihr Ruf und für viele ein vernünftiger Anfang. Ein eigenständiger Passwortmanager lohnt sich vor allem dann, wenn Sie Geräte verschiedener Hersteller nutzen oder neben Passwörtern auch Sicherheitsantworten und andere sensible Notizen verwalten möchten.
Wo immer es angeboten wird, sollten Sie außerdem die Zwei-Faktor-Authentifizierung aktivieren. Dann reicht ein gestohlenes Passwort allein nicht mehr aus.
Jedes Konto ist eine offene Tür
Ein Rabattcode gegen Anmeldung, ein Kundenkonto für eine einzige Bestellung, ein Probeabo, das nie gekündigt wurde. Mit der Zeit sammeln sich Dutzende Konten an, an die Sie sich kaum noch erinnern.
Jedes dieser Konten speichert Daten über Sie: Name, E-Mail-Adresse, oft auch Anschrift und Zahlungsinformationen. Jedes Unternehmen, das diese Daten speichert, kann Ziel eines Angriffs werden. Besonders heikel sind alte Konten, die noch mit einem Passwort von vor zehn Jahren geschützt sind.
Ob Ihre E-Mail-Adresse bereits in bekannten Datenlecks aufgetaucht ist, können Sie kostenlos prüfen, etwa mit dem Identity Leak Checker des Hasso-Plattner-Instituts oder mit Have I Been Pwned. Wenn Sie nur einmal etwas bestellen, wählen Sie die Gastbestellung. Konten, die Sie nicht mehr nutzen, sollten Sie löschen. Nach Artikel 17 der DSGVO haben Sie das Recht, die Löschung Ihrer personenbezogenen Daten zu verlangen.
„Das sicherste Konto ist eines, das nie angelegt wurde.“
Ein guter Anfang für diese Woche
Sie müssen nicht alles an einem Tag erledigen. Ein Nachmittag reicht für die wichtigsten Schritte.
Das E-Mail-Konto zuerst. Über Ihr Postfach lassen sich die Passwörter fast aller anderen Konten zurücksetzen. Es verdient das stärkste Passwort und die Zwei-Faktor-Authentifizierung.
Sicherheitsfragen ersetzen. Beginnen Sie bei E-Mail, Bank und Ihrem Apple- oder Google-Konto. Tragen Sie zufällige Antworten ein und speichern Sie sie im Passwortmanager.
Mehrfach genutzte Passwörter ersetzen. Die meisten Passwortmanager zeigen Ihnen, welche Passwörter mehrfach verwendet werden oder in Datenlecks aufgetaucht sind.
Ein altes Konto löschen. Nur eines. Wer einmal damit anfängt, macht meist weiter.
Im nächsten Teil der Reihe geht es um das, was Sie über sich preisgeben, oft ohne es zu bemerken.
Digitale Selbstbestimmung endet nicht am Bildschirm. Auch Reisepass und Bankkarten lassen sich kontaktlos auslesen. Der TOCA Passport Shield und die RFID Safe Wallet schützen sie vor unbefugtem Auslesen per RFID und NFC. DEKRA-geprüft. In Deutschland entworfen. Für den täglichen Einsatz gebaut. Mehr dazu hier.