Sicherheitsfragen: zufällige Antwort statt echter Erinnerung
Typische Sicherheitsfragen lauten „Wie hieß Ihr erstes Haustier?“, „In welcher Stadt wurde Ihre Mutter geboren?“ oder „Wie hieß Ihre erste Schule?“. Wahre Antworten darauf sind schwach. Microsoft schreibt in seiner Dokumentation zu Microsoft Entra (Stand 18.02.2026), Sicherheitsfragen seien oft erratbar oder anfällig für Social Engineering, und manche Leute kennten die Antworten eines anderen Nutzers. Ab März 2027 lassen sich Kennwörter in Microsoft Entra ID, dem Kontodienst hinter Microsoft 365, deshalb nicht mehr über Sicherheitsfragen zurücksetzen. Die US-Standardbehörde NIST untersagt in ihrer Richtlinie SP 800-63B-4 (Juli 2025) Diensten, die ihr folgen, beim Anlegen eines Passworts nach Sicherheitsfragen zu fragen.
Bei einem Firmenkonto kommt dazu: Die Antwort kennt oft nur die Person, die das Konto angelegt hat. Wählen Sie deshalb eine zufällige Antwort, zum Beispiel drei oder vier Wörter aus dem Passwortgenerator, und legen Sie sie als Notiz am Eintrag des Kontos im Passwort-Tresor ab. Gehört das Konto der Firma, liegt der Eintrag in der Sammlung derer, die das Konto betreuen. Ist es auf eine Person registriert, liegt er im persönlichen Bereich dieser Person. Wo ein Dienst statt der Fragen einen zweiten Faktor anbietet, schalten Sie um.
Die Schwächen wahrer Antworten
Das BSI zählt Namen von Familienmitgliedern und Haustieren sowie Geburtsdaten ausdrücklich zu den Angaben, die als Passwort nicht taugen. Zu Sicherheitsfragen selbst haben wir beim BSI keine Aussage gefunden. Nach unserer Einschätzung gilt die Liste für sie genauso, denn sie fragen genau solche Angaben ab. Wer ein Konto über die Frage zurücksetzen kann, hält damit eine zweite Tür in der Hand, die an keinem Passwort hängt.
Die Richtlinie der NIST nennt in Abschnitt 4.2.1 vier Wege, ein Konto wiederherzustellen: gespeicherte Wiederherstellungscodes, zugeschickte Wiederherstellungscodes, vorher benannte Kontaktpersonen und eine erneute Prüfung der Identität. Sicherheitsfragen gehören nicht dazu. In Abschnitt 3.1.1.2 nennt sie die Frage nach dem ersten Haustier als Beispiel für das, was ein Dienst beim Anlegen eines Passworts nicht abfragen darf.
Für die Firma gibt es noch einen dritten Grund. Eine wahre Antwort lässt sich nicht ändern, wenn sie bekannt wird. Den Geburtsort der Mutter einer Mitarbeiterin wissen nach ein paar Jahren vielleicht mehr Kollegen, als ihr lieb ist, und nach ihrem Weggang weiß ihn in der Firma niemand mehr.
Beispiele: Frage, schwache Antwort, Eintrag im Tresor
| Frage | Problem der wahren Antwort | Was stattdessen hineinkommt |
|---|---|---|
| Name des ersten Haustiers | Familie und Freunde kennen ihn, Kollegen hören davon | Wortfolge aus dem Generator, etwa „Kiesel Ankerplatz Wolke“ |
| Geburtsort der Mutter | Privatangabe einer Mitarbeiterin in einem Firmenkonto | eine zweite, andere Wortfolge |
| Lieblingsessen oder Lieblingsfarbe | wenige mögliche Antworten, leicht durchzuprobieren | zufällige Zeichenfolge, wenn der Dienst keine Leerzeichen annimmt |
Die Wörter in der Tabelle sind nur ein Muster. Nehmen Sie keine Antwort, die irgendwo veröffentlicht ist, auch nicht diese.
So wählen Sie eine zufällige Antwort
- Generator benutzen. Der Passwortgenerator der Tresor-Apps erzeugt auch Wortfolgen. Drei oder vier Wörter lassen sich einem Mitarbeiter einer Hotline am Telefon vorlesen, eine Zeichenfolge wie „q7#Lm2“ kaum.
- Länge beachten. Microsoft Entra nimmt Antworten mit mindestens 3 und höchstens 40 Zeichen an. Andere Dienste haben eigene Grenzen.
- Je Frage eine eigene Antwort. Microsoft Entra lässt dieselbe Antwort auf zwei Fragen gar nicht erst zu. Für verschiedene Dienste übertragen wir den Rat des BSI zu Passwörtern, jedes nur für einen Zugang zu nutzen, auf die Antworten.
- Sofort ablegen. Die Antwort kommt in die Notiz des Eintrags, bevor Sie das Formular des Dienstes abschicken. Schreiben Sie dazu, welche Frage gewählt wurde.
- Genau abschreiben. Groß- und Kleinschreibung und Leerzeichen so übernehmen, wie sie im Tresor stehen.
Wo die Antwort im Tresor hingehört
Die Antwort ist oft so viel wert wie das Passwort. Bei einem lokalen Windows-Konto zum Beispiel genügt sie, um ein neues Kennwort zu setzen. Sie gehört deshalb an denselben Eintrag und in denselben Kreis wie der Zugang selbst:
- Firmenkonten, etwa ein Lieferantenportal mit dem Login der Firma: Notiz am Eintrag in der Sammlung der Abteilung, die das Portal nutzt. Ist das ein großer Kreis, kommt der Eintrag in eine kleinere Sammlung, zum Beispiel nur für die Büroleitung.
- Konten, die auf eine Person registriert sind: in ihren persönlichen Bereich. Dort sehen sie die Kollegen nicht. Zur Wahrheit gehört aber: Wer im Tresor die Kontowiederherstellung bedienen darf, käme an diesen Bereich heran.
- Zugänge mit Ausweischarakter, etwa die BundID: Zugangsdaten und Antworten dazu legen Sie nach unserem Rat gar nicht im Tresor der Firma ab, auch nicht im persönlichen Bereich.
Eigentümer und Administratoren des Tresors sehen jede Sammlung. Vergeben Sie diese Rollen nur an die Leitung und eine Vertretung. Sicherheitsfragen am Telefon, etwa ein Kundenkennwort beim Mobilfunkanbieter, behandelt die Seite Kundenkennwort im Mobilfunk. Liegen die Antworten heute in einer Tabelle neben den Passwörtern, lesen Sie Passwörter in Excel.
Wenn niemand die Antwort kennt
Apple Account
Apple nutzt Sicherheitsfragen laut seiner Hilfe möglicherweise bei Konten ohne Zwei-Faktor-Authentifizierung und nennt die Zwei-Faktor-Authentifizierung die sicherste Methode. Wer die Antworten vergessen hat, setzt die Fragen auf iforgot.apple.com zurück: Apple-ID eingeben, Zurücksetzen der Fragen wählen, Passwort eingeben, Identität bestätigen. Bietet Apple dabei keine Möglichkeit zur Bestätigung an, geht es zu diesem Zeitpunkt nicht. Nach zu vielen falschen Antworten ist die Funktion eine Weile gesperrt. Für das Zurücksetzen braucht das Konto eine bestätigte E-Mail-Adresse zur Wiederherstellung. Beide Hilfeseiten hat Apple archiviert (veröffentlicht am 08.12.2023 und 05.12.2025), Apple aktualisiert sie nach eigener Angabe nicht mehr.
Solange noch jemand die Antworten kennt, schalten Sie die Zwei-Faktor-Authentifizierung ein. Laut der aktuellen Apple-Hilfe (Stand 13.08.2026) fragt account.apple.com dabei unter Umständen die Sicherheitsfragen ab, danach folgt „Accountsicherheit erhöhen“. Wer den Apple Account eines Firmenhandys verwaltet, findet mehr unter Apple-ID und Google-Konto auf dem Firmenhandy.
Microsoft 365
In Microsoft Entra dienen Sicherheitsfragen nur dem Zurücksetzen des eigenen Kennworts, nicht der Anmeldung. Administratorkonten können sie dafür nicht verwenden. Ein Administrator kann die Fragen und Antworten eines Benutzers weder lesen noch ändern. Fehlt die Antwort, setzt ein Administrator mit passender Rolle das Kennwort im Microsoft 365 Admin Center unter „Benutzer“, „Aktive Benutzer“, „Kennwort zurücksetzen“ zurück (Microsoft-Anleitung, Stand 06.03.2026). Richten Sie bis März 2027 für alle Benutzer andere Methoden ein. Wer in Ihrer Firma Administrator sein sollte, steht unter Microsoft 365: Administrator und Notfallkonto.
Lokales Windows-Konto
Für lokale Konten fragt Windows die Sicherheitsfragen beim Zurücksetzen am Anmeldebildschirm ab. Kennt sie niemand, setzt ein anderes Administratorkonto auf demselben PC das Kennwort: Computerverwaltung, „Lokale Benutzer und Gruppen“, „Benutzer“, Rechtsklick auf das Konto, „Kennwort festlegen“. Ohne ein solches Konto bleibt laut Microsoft-Support nur, den PC zurückzusetzen. In Windows Pro, Enterprise und Education schaltet die Richtlinie „Verhindern der Verwendung von Sicherheitsfragen für lokale Konten“ die Fragen ganz ab. Wie Sie lokale Administratorkonten ordnen, zeigt Lokale Administrator-Kennwörter.
Typische Fehler mit Sicherheitsfragen
- Die Antwort im Kopf einer Person. Die frühere Buchhalterin hat im Kundenportal eines Großhändlers „Name des ersten Hundes“ gewählt. Nach ihrem Weggang steht die Firma vor der Hotline.
- Eine Antwort für alle Dienste. Überall „Dresden“ als Geburtsort. Wird die Antwort bei einem Dienst bekannt, passt sie bei allen anderen.
- Antwort ohne Frage. Im Tresor steht die Antwort, aber nicht, zu welcher von drei Fragen sie gehört.
Ob Antworten beim Ausscheiden einer Person geändert werden müssen, gehört in die Checkliste Mitarbeiter verlässt die Firma.
Beispiel: das alte iPad einer Fahrschule
Eine erfundene Fahrschule mit vier Fahrlehrern zeigt im Unterricht Filme von einem iPad. Dessen Apple Account hatte die frühere Bürokraft vor Jahren angelegt, ohne Zwei-Faktor, mit drei Sicherheitsfragen zu ihrer Familie. Als der Inhaber das Passwort ändern wollte, fragte Apple die Sicherheitsfragen ab, und keiner kannte die Antworten.
Der Inhaber hatte zum Glück das Passwort und die hinterlegte E-Mail-Adresse zur Wiederherstellung, das Postfach des Büros. Über iforgot.apple.com setzte er die Fragen zurück, trug dabei Wortfolgen aus dem Generator ein und schaltete gleich danach die Zwei-Faktor-Authentifizierung ein. Die Codes kommen seitdem auf das iPad und an die Nummer seines Diensthandys. Passwort und Notiz liegen jetzt in der Sammlung „Büro“, an die außer ihm nur seine Stellvertreterin kommt. Welche Zugänge so ein Betrieb noch hat, steht auf der Seite für Fahrschulen.
Bei Passwortheld
Wir richten auf einem Server, den Ihre Firma bei netcup mietet, einen Tresor mit Sammlungen je Abteilung ein. Notizen am Eintrag und den Passwortgenerator für Wortfolgen haben alle Apps. Entschlüsselt wird nur auf den Geräten Ihrer Mitarbeiter, Ihre Passwörter und Antworten können wir nicht lesen. Zwei-Faktor-Pflicht für alle Mitarbeiter. Eigentümer und Administratoren richten den zweiten Faktor selbst ein.
Für die Wartung zahlen Sie 16,99 € im Monat inkl. MwSt., unabhängig von der Zahl der Nutzer, Mindestlaufzeit 12 Monate. Die Servermiete von ab 3,69 € im Monat inkl. MwSt. geht direkt an netcup. Buchen können nur Unternehmer. Wir sichern den Tresor nur mit dem Backup-Paket für 7,99 € im Monat inkl. MwSt., ohne das Paket sichern Sie ihn selbst mit einem verschlüsselten Export. Hilfe im Alltag kostet 74,99 € je Stunde inkl. MwSt. je angefangener Viertelstunde und ist nicht im Preis. Fragen beantworten wir im kostenlosen Erstgespräch (15 Minuten), am Telefon oder per Video.
Quellen: Microsoft Learn: Authentifizierungsmethode für Sicherheitsfragen in Microsoft Entra ID (Stand 18.02.2026); NIST SP 800-63B-4: Digital Identity Guidelines, Authentication and Authenticator Management (Juli 2025); BSI: Sichere Passwörter erstellen; Apple Support: Vorgehensweise, wenn du die Antworten auf deine Apple-ID-Sicherheitsfragen vergessen hast (archiviert); Microsoft Support: Change or reset your local account password in Windows. Stand: 16.10.2026.