--- id: CP-348 slug: passwort-wiederverwendung-privat-beruf lang: de title: Dasselbe Passwort für private Seite und Firmenkonto description: "Wie ein Datenleck bei einer privaten Website Ihr Firmenkonto öffnen kann und wie Sie es verhindern: eigenes Passwort, Passwortmanager, Zwei-Faktor-Login." canonical_url: https://startbrain.io/cyberpedia/de/articles/passwort-wiederverwendung-privat-beruf/ markdown_url: https://startbrain.io/cyberpedia/de/articles/passwort-wiederverwendung-privat-beruf.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Dasselbe Passwort für private Seite und Firmenkonto“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/passwort-wiederverwendung-privat-beruf/ (CC BY 4.0) wing: 5 theme: master_passwords reflex: cr-011 schema: G2 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/passwort-wiederverwendung-privat-beruf/ fr: https://startbrain.io/cyberpedia/fr/articles/reutilisation-mot-de-passe-perso-pro/ en: https://startbrain.io/cyberpedia/en/articles/password-reuse-personal-work-accounts/ es: https://startbrain.io/cyberpedia/es/articles/reutilizacion-contrasena-personal-profesional/ sources: - "n": 1 title: "Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/004/ accessed: "2026-11-03" - "n": 2 title: Credential Stuffing Prevention - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Credential_Stuffing_Prevention_Cheat_Sheet.html accessed: "2026-11-03" - "n": 3 title: Use a strong and separate password for your email publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/use-a-strong-and-separate-password-for-email accessed: "2026-11-03" - "n": 4 title: Managing your passwords publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/password-managers accessed: "2026-11-03" - "n": 5 title: Les conseils de la CNIL pour un bon mot de passe publisher: CNIL url: https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe published: "2017-01-26" accessed: "2026-11-03" - "n": 6 title: Use Strong Passwords | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/use-strong-passwords accessed: "2026-11-03" - "n": 7 title: Require Multifactor Authentication | CISA publisher: CISA url: https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authentication accessed: "2026-11-03" - "n": 8 title: "Mots de passe : recommandations pour maîtriser sa sécurité" publisher: CNIL url: https://www.cnil.fr/fr/mots-de-passe-recommandations-pour-maitriser-sa-securite published: "2022-10-14" accessed: "2026-11-03" --- # Dasselbe Passwort für private Seite und Firmenkonto Wird eine Website oder ein Dienst gehackt, werden mitunter Listen mit Paaren aus Benutzername und Passwort online veröffentlicht. Angreifer nutzen sie, um in andere Konten einzudringen, und machen sich dabei zunutze, dass viele Nutzer für private und berufliche Konten dasselbe Passwort behalten [1]. Diese Technik heißt Credential Stuffing. Die gehackte Seite kann also ein Forum oder ein Online-Shop ohne jede Verbindung zu Ihrem Arbeitgeber sein. Ist das Passwort dort dasselbe wie bei der Arbeit, öffnet der Datendiebstahl bei dieser Seite auch die Tür zum Unternehmen: MITRE beschreibt Angreifer, die darauf setzen, dass auf privaten und beruflichen Konten oft dasselbe Passwort verwendet wird [1]. ## In 30 Sekunden - Wo es passiert: beim E-Mail-Postfach, beim zentralen Anmeldeportal (SSO) oder bei den Online-Anwendungen des Unternehmens, die Angreifer mit Zugangsdaten aus einem anderen Datenleck testen [1]. - Was der Angreifer will: sich mit gültigen Zugangsdaten anmelden, die er über ein Konto ohne Bezug zum Unternehmen erhalten hat [1]. - Wenn es schon passiert ist: Ändern Sie das Passwort des E-Mail-Postfachs so schnell wie möglich, falls es wiederverwendet wird [3]. - Der Reflex: Für jedes Konto ein anderes Passwort, abgelegt in einem Passwortmanager, und die Zwei-Faktor-Authentifizierung eingeschaltet [4]. ## Direkte Fragen ### Wie wirkt sich ein Datenleck bei einer privaten Seite auf mein Firmenkonto aus? Angreifer sammeln die Paare, die nach der Kompromittierung einer Seite veröffentlicht wurden, und probieren sie bei anderen Diensten aus. Zu den von MITRE genannten Zielen gehören Online-Anwendungen mit Single Sign-on und aus dem Internet erreichbare E-Mail-Dienste wie Office 365 [1]. Ist Ihr Passwort dasselbe, gelingt der Versuch. ### Warum erhöht meine geschäftliche E-Mail-Adresse das Risiko? OWASP stellt fest, dass viele Seiten die E-Mail-Adresse als Benutzernamen verwenden und dass die meisten Menschen für alle Konten nur eine Adresse haben. Die Kombination aus Adresse und Passwort ist dann für Credential Stuffing sehr wirksam [2]. Eine Firmenadresse, die Sie einer privaten Seite geben, liefert dem Angreifer die Hälfte des Paares für das Arbeitskonto. ### Meine private Seite ist unwichtig. Warum sollte ich mich darum kümmern? Weil sich der Angreifer nicht für diese Seite interessiert, sondern dafür, was er mit den Daten anderswo ausprobieren kann. Das britische NCSC formuliert es so: Ein eigenes Passwort für das E-Mail-Postfach bedeutet, dass Kriminelle, wenn sie das Passwort eines weniger wichtigen Kontos stehlen, damit nicht an das Postfach gelangen [3]. Die Überlegung gilt für alle Konten: Keines ist „unwichtig“, solange sein Passwort anderswo verwendet wird. ### Was riskiert man konkret, wenn das E-Mail-Postfach übernommen wird? Laut NCSC kann ein Krimineller, der Zugriff auf Ihr Postfach erhält, private Informationen lesen, in Ihrem Namen Nachrichten verschicken und die Passwörter Ihrer anderen Konten zurücksetzen [3]. ## Wie es funktioniert Ein Datenleck liefert Paare aus Benutzername und Passwort. Der Angreifer probiert sie bei gängigen Anmeldediensten aus, darunter Fernwartungszugänge, Online-Anwendungen und E-Mail [1]. MITRE weist darauf hin, dass die Methode für den Angreifer riskant ist, weil sie viele fehlgeschlagene Anmeldungen und Kontosperrungen auslösen kann, je nach Richtlinie der Organisation [1]. Die CISA erzählt den Fall von Emma, eine Beispielgeschichte ohne Datum. Sie erhält von ihrer Bank eine Warnung wegen einer Überweisung von 700 Dollar, die sie nicht veranlasst hat, und stellt dann fest, dass sie ihr E-Mail-Postfach nicht mehr öffnen kann, um ihr Passwort zurückzusetzen. Sie hatte auf beiden Konten dasselbe Passwort, das aus einem online veröffentlichten Unternehmensleck stammte [6]. ## Was Sie tun Ein Konto, ein Passwort. Die CNIL verlangt, jedes sensible Konto (Bank, E-Mail, soziales Netzwerk) mit einem eigenen, einmaligen Passwort zu sichern, um Hacks in Kettenreaktion zu vermeiden [5]. Die CISA empfiehlt Passwörter mit mindestens 16 Zeichen, zufällig und für jedes Konto verschieden [6]. Nutzen Sie einen Passwortmanager. Für jedes Konto ein starkes Passwort zu behalten, ist unmöglich, und der Manager übernimmt das: Er erzeugt die Passwörter, speichert sie und gibt sie für Sie ein [6]. Er kann auch melden, dass ein Passwort in einem Datenleck aufgetaucht ist [4]. Das NCSC ergänzt, dass das automatische Ausfüllen vor Phishing schützt, weil das Passwort nur auf der richtigen Seite erscheint [4]. Sie müssen sich nur noch ein Master-Passwort merken, das laut NCSC seinerseits durch die Zwei-Faktor-Authentifizierung geschützt werden sollte [4]. Auf einem gemeinsam genutzten Computer sollten Sie den Browser nie ein Passwort speichern lassen [5]. Aktivieren Sie die Zwei-Faktor-Authentifizierung. Für das NCSC ist das der erste Schritt, denn sie schützt auch dann, wenn das Passwort durch Phishing erbeutet oder kompromittiert wurde [4]. Die CISA weist darauf hin, dass starke Passwörter allein nicht mehr genügen und dass nicht alle Verfahren gleichwertig sind: Der Sicherheitsschlüssel schützt am besten, der per SMS oder E-Mail erhaltene Code am wenigsten, er sollte nur genutzt werden, wenn es nichts Besseres gibt [7]. Sie ermutigt Beschäftigte außerdem, die Funktion auch für ihre privaten Konten zu aktivieren [7]. Wenn ein Passwort möglicherweise in einem Datenleck gelandet ist, ändern Sie es ohne Zögern. Das NCSC verlangt, das Passwort des E-Mail-Postfachs so schnell wie möglich zu ändern, falls es wiederverwendet wurde, und dann ein starkes zu wählen, das sich von allen anderen unterscheidet [3]. Die CNIL erwartet von einem Dienst, der von einem Datenleck betroffen ist, dass er dem Nutzer empfiehlt, die Passwörter seiner anderen Dienste zu ändern, falls er dort dasselbe verwendet hatte [8]. ## Die Fallstricke - Dasselbe Passwort für das Firmenkonto und für private Konten behalten: Genau diesen Fall beschreibt MITRE [1]. Das NCSC spricht von einem Passwort, das auf keinem anderen Konto verwendet wird, „either at home or at work“ [3]. - Sich bei einer privaten Seite mit der Firmenadresse registrieren. Die Adresse dient bei vielen Seiten als Benutzername, und die Listen mit Paaren kursieren mit diesen Adressen [2]. - Glauben, eine Nebensache von Seite zähle nicht. Ein Passwort gilt überall, wo es wiederverwendet wurde, gleich von welcher Seite es stammt [1]. - Sich mit einem Code per SMS oder E-Mail begnügen. Das ist besser als nichts, aber die schwächste Form der Zwei-Faktor-Authentifizierung [7]. - Nicht wissen, welche Passwörter wiederverwendet werden. Ein Passwortmanager kann schwache oder wiederverwendete Passwörter melden [6]. ## Quellen 1. MITRE ATT&CK, „Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1110/004/ (abgerufen am 3. November 2026) 2. OWASP, „Credential Stuffing Prevention - OWASP Cheat Sheet Series“. https://cheatsheetseries.owasp.org/cheatsheets/Credential_Stuffing_Prevention_Cheat_Sheet.html (abgerufen am 3. November 2026) 3. NCSC (Royaume-Uni), „Use a strong and separate password for your email“. https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/use-a-strong-and-separate-password-for-email (abgerufen am 3. November 2026) 4. NCSC (Royaume-Uni), „Managing your passwords“. https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/password-managers (abgerufen am 3. November 2026) 5. CNIL, „Les conseils de la CNIL pour un bon mot de passe“, 26. Januar 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (abgerufen am 3. November 2026) 6. CISA, „Use Strong Passwords | CISA“. https://www.cisa.gov/secure-our-world/use-strong-passwords (abgerufen am 3. November 2026) 7. CISA, „Require Multifactor Authentication | CISA“. https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authentication (abgerufen am 3. November 2026) 8. CNIL, „Mots de passe : recommandations pour maîtriser sa sécurité“, 14. Oktober 2022. https://www.cnil.fr/fr/mots-de-passe-recommandations-pour-maitriser-sa-securite (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/passwort-wiederverwendung-privat-beruf/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.