Pravidelně si měníte hesla k účtům? Úřad varuje, že děláte pravý opak ochrany. Bezpečnost tím zásadně klesá

Německý spolkový úřad pro kybernetickou bezpečnost (BSI) k 1. únoru 2026 otočil letitou radu: pravidelná změna hesel bezpečnost nezvyšuje, naopak.

Zdroj fotografie: Pexels

BSI své varování zveřejnilo u příležitosti takzvaného Dne změny hesla, který v Německu připadá právě na 1. února. Jenže místo tradičního apelu „změňte si hesla“ přišel úřad s opačným sdělením. Problém není v tom, že si heslo jednou za čas vyměníte. Problém je v tom, co vynucená pravidelná rotace dělá s vaším chováním. Když vás systém každých 30, 60 nebo 90 dní donutí heslo změnit, většina lidí zareaguje předvídatelně: vezme staré heslo a přidá číslo, rok nebo vykřičník. Z „Mojeheslo2025“ se stane „Mojeheslo2026“. Útočník, který zná starou variantu, novou odvodí za zlomek sekundy. A přesně proto BSI říká, že slepá rutina je pravý opak ochrany a bezpečnost tím zásadně klesá.

Odkud se vzala rada, která desítky let platila za svatou

Mýtus o pravidelné změně hesel má překvapivě silnou institucionální oporu. Americký federální standard FIPS PUB 112 z osmdesátých let výslovně doporučoval hesla měnit periodicky, logika zněla jednoduše: čím kratší životnost hesla, tím menší šance, že ho útočník stihne zneužít. Tato rada se pak rozšířila do firemních politik, školení, interních směrnic a nakonec i do obecného povědomí. Generace uživatelů vyrostla s přesvědčením, že kdo si heslo nemění každé tři měsíce, hazarduje.

Jenže praxe ukázala něco jiného. Lidé na povinnou rotaci reagují minimálním úsilím. Hesla se nestanou silnějšími, ale předvídatelnějšími. Britský Národní úřad pro kybernetickou bezpečnost (NCSC) to ve svém doporučení pro organizace shrnul přímo: pravidelná expirace hesel škodí více, než pomáhá. A americký NIST, tedy tatáž instituce, která kdysi rotaci prosazovala, ji ve finální revizi standardu SP 800-63B výslovně nedoporučuje vyžadovat, pokud neexistuje konkrétní známka kompromitace.

Co funguje místo kalendářní výměny hesel

BSI, NIST i NCSC se shodují na sadě opatření, která pravidelnou rotaci nahrazují a přinášejí reálný bezpečnostní efekt:

• Unikátní heslo pro každý účet. Jedno heslo na více službách znamená, že únik z jedné databáze otevře dveře ke všem ostatním. Právě recyklace hesel je podle bezpečnostních úřadů větší hrozba než jejich stáří.
• Správce hesel. Vestavěný v prohlížeči nebo samostatná aplikace, obojí je bezpečnější než pamatování si desítek hesel. NCSC uvádí, že ukládání hesel v prohlížeči na vlastním zařízení je bezpečné; třetí strany nabízejí navíc synchronizaci napříč platformami a upozornění na úniky.
• Dvoufaktorové ověřování (2FA). Druhý nezávislý faktor (jednorázový kód, autentizační aplikace nebo hardwarový klíč) znamená, že i se znalostí hesla se útočník dál nedostane. NCSC to říká jasně: zapnutí 2FA „okamžitě zásadně ztíží“ prolomení účtu.
• Passkeys tam, kde je služba podporuje. Passkey je kryptografický přihlašovací údaj bez klasického hesla. Na zařízení uživatele se uloží privátní klíč, služba drží odpovídající veřejný klíč. Při přihlášení zařízení podepíše výzvu a uživatel ji potvrdí otiskem prstu, obličejem nebo PINem. Nic se nepřepisuje do formuláře, takže phishing prakticky odpadá. Podle technického dokumentu NCSC z roku 2026 jsou passkeys pro jednotlivce stejně bezpečné nebo bezpečnější než tradiční vícefaktorová autentizace.

NIST navíc v aktuální revizi posunul důraz na délku: heslo používané jako jediný faktor by mělo mít minimálně 15 znaků. Pokud je součástí vícefaktorového procesu, stačí 8.

Jak je na tom Česko

Český Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) nevydal stejně formulované spotřebitelské sdělení jako BSI. Veřejnosti doporučuje měnit hesla při podezření na únik a používat dvoufaktorovou autentizaci. Plošnou častou rotaci veřejnosti netlačí.

U regulovaných služeb je ale situace specifičtější. NÚKIB stanovuje jasnou hierarchii priorit: nejdřív vícefaktorové ověřování, pokud to nejde, pak kryptografické klíče nebo certifikáty, a teprve jako poslední záchrana heslo, s pravidlem, že se musí změnit nejpozději po 18 měsících. Není to tedy slepá rotace každých 90 dní, ale ani úplné opuštění časového limitu. Česká regulace tak stojí někde mezi starým a novým světem: heslo bere jako záložní řešení, ne jako první volbu.

Řada českých firem a institucí přitom stále má v interních politikách povinnou čtvrtletní nebo půlroční změnu hesel, často jako dědictví starších standardů. S novější bezpečnostní logikou se to slučuje jen omezeně, a to hlavně tam, kde chybí silnější metody ověřování.

Co udělat jako první, pokud jste hesla recyklovali

Pokud jste dosud používali jedno heslo na více účtech nebo ho jen drobně obměňovali, nejhorší reakcí by byla panická hromadná rotace všeho najednou. Místo toho je efektivnější postupovat podle priority:

• Změňte heslo k e-mailu, je to brána k resetům všech ostatních účtů.
• Zabezpečte bankovnictví, cloudové úložiště a sociální sítě. U každého nastavte unikátní heslo a zapněte 2FA.
• Nainstalujte správce hesel a postupně do něj přesuňte zbývající účty.
• U služeb, které passkeys podporují, je rovnou aktivujte.

Jednoduchý test síly hesla od NCSC: člověk, který vás dobře zná, by ho neměl trefit do 20 pokusů. Pokud ano, je slabé, bez ohledu na to, jak často ho měníte.

Bezpečnost účtů v roce 2026 nestojí na kalendáři, ale na vrstvách. Silné unikátní heslo je základ, druhý faktor je pojistka a passkey je budoucnost, která už funguje. Rituální výměna hesla prvního února nikoho neochrání, ale dvě minuty strávené zapnutím 2FA ano.