Passwörter: Auf die Länge kommt es an

Bekannte Passwörter meiden

Das grösste Risiko durch kompromittierte Passwörter ist nicht, dass jemand das verwendete Passwort errät, sondern, dass automatische Hackertools alle bekannten Kennwörter ausprobieren, ausprobieren und wieder probieren, bis sie in das System gelangen. Daher ist es absolut zentral bei der Passwortwahl, dass alle von Anderen verwendete Passwörter gemieden werden. Jedes Mal, wenn wieder im Internet Listen von gehackten Passwörtern auftauchen, nehmen Angreifer diese in ihre bestehenden Listen auf, welche automatisch wieder getestet werden.

Auch wenn dies eher seltener der Fall ist, sollten Passwörter keinen Bezug zur eigenen Person enthalten. Es würde Leuten mit dem entsprechenden Wissen den Zugang ermöglichen. Namen und Geburtsjahre (auch von Partnern, Kindern und Haustieren!) sind häufig verwendete Beispiele für solche schwachen Passwörter.

Die Länge übertrifft alles

Während Jahren wurde immer darauf verwiesen, dass sichere Passwörter nicht nur aus Buchstaben bestehen sollen. Es wird auch heute noch an vielen Orten verlangt, dass ein Passwort aus Gross- und Kleinbuchstaben sowie mindestens einer Zahl und einem Sonderzeichen bestehen müssen.

Dieser Rat ist nicht per se schlecht. Es muss einfach erkannt werden, dass dies nichts damit zu tun hat, dass Passwörter dadurch sicherer werden. Es dient lediglich dazu, den Benutzer dazu zu bringen, die allerschlimmsten Passwörter nicht zu verwenden. Einem Computer, der automatisch alle erdenklichen Kombinationen für ein Passwort durchtestet, ist es völlig egal, aus welcher dieser Kategorien ein Zeichen kommt. “B1t!” ist für einen solchen Angriff nicht besser, als es “ztrn” ist. Es kommt hier lediglich darauf an, in welcher Reihenfolge die einzelnen Zeichen versucht werden. Für den Benutzer ist dies jedoch viel schwieriger zu merken.

Die Kunst einer guten Passwortwahl besteht also darin, eine Balance zu finden zwischen schlecht zu ermittelnden, aber einfach zu merkenden Passwörtern. Hier wird derzeit von den meisten empfohlen, sich mit einer zufälligen Kombination aus Wörtern zu helfen. Zufällig heisst hier, dass zwischen den Wörtern weder ein grammatikalischer noch ein Inhaltlicher Zusammenhang besteht. “EswareinmalvorlangerZeit” ist also ein gutes, aber nicht optimales Passwort. “PferdezähneBahnhofschnarchen” ist von vergleichbarer Länge, aber viel sicherer.

Beide dieser Beispiele erfüllen die klassischen Anforderungen an ein Passwort nicht, sind aber dank ihrer Länge viel sicherer als es z.B. “8(nPgf” ist, obwohl darin alle Zeichengruppen vertreten sind.

Darum ist die heutige Empfehlung – diese richtet sich immer nach der potentiellen Angreifern zur Verfügung stehenden Rechenleistung – eine Mindestlänge von 12 Zeichen zu wählen, solange diese 12 Zeichen rein zufälliger Natur sind. Bei realen Wörtern müssen mehr Zeichen verwendet werden.

Erzwungener Passwortwechsel ist kontraproduktiv

Ein weiterer Punkt, der mit der Zeit einen Wandel erlebt hat, ist das regelmässig erzwungene Ändern der Passwörter. Obwohl in der Theorie nicht schlecht, hat sich gezeigt, dass die wenigsten Benutzer das Passwort dabei tatsächlich in ein komplett anderes ändern. “IguanaInkubator” wird einfach zu “IguanaInkubator1”. Dies bietet keine zusätzliche Sicherheit und verleitet den Benutzer nur dazu, ein einfacheres Passwort zu wählen – es muss ja immer wieder ein neues gemerkt werden!

Einfache Eingabe erleichtert gute Passwörter

In die gleiche Kerbe schlägt auch eine relative neue Tendenz, dass im Web die Passwörter nicht mehr maskiert dargestellt werden. Wird das Passwort beim Eingeben direkt dargestellt, besteht zwar das Risiko, dass es am Bildschirm abgelesen werden kann. Dies entweder von Menschen direkt oder von Kameras. Die vergangenen Jahre haben aber gezeigt, dass viel mehr Schaden durch systematisches Erraten von Passwörtern entstanden ist, als es von abgelesenen der Fall ist.

Auch tendieren Benutzer dazu, viel komplexere Passwörter zu wählen, wenn sie bei der Eingabe davon mitlesen können. Das Maskieren der Eingabe verleitet eher dazu, einfache Passwörter zu wählen, die in jedem Fall auch blind korrekt getippt werden können.

Nicht wiederverwenden

Während die oberen Abschnitte zeigen, dass in einigen Bereichen ein Umdenken stattfindet, bleibt eins gleich: Es sollte niemals dasselbe Passwort an verschiedenen Orten verwendet werden.

Zwar sollten Passwörter von allen digitalen Dienstleistern immer nur als Hash und nie im Klartext gespeichert werden, doch gibt es immer wieder Fälle, bei denen dies nicht der Fall ist. Wenn diese Kombinationen aus Benutzername & Passwort an die Öffentlichkeit (oder privat in die falschen Hände) geraten, ist nicht nur die betroffene Seite, sondern sind gleich alle Accounts mit demselben Passwort gehackt.

Passwortmanager

Es ist zwar möglich, alle hier empfohlenen Schritte zu sicheren Passwörtern manuell zu erledigen. Allerdings ist dies mit einem beträchtlichen Aufwand verbunden.

Daher empfehle ich dringend die Verwendung eines Passworttools. Dies kann mit einem einzigen – zwingend hochsicheren – Passwort gesichert werden. Darin werden dann die sicheren und für jeden Zugang unterschiedlichen Passwörter verwaltet und in das Eingabefeld kopiert.

Solche Tools bieten in der Regel auch eine einfache Möglichkeit, zufällige Passwörter zu erzeugen. Wenn diese dann immer kopiert und nicht eingetippt werden, entfällt der Anspruch auf die einfache Merkbarkeit. Sie können fast beliebig lang und somit praktisch unknackbar gemacht werden.

Es gibt sowohl Online- als auch Offlineangebote für Passwortmanager. Welcher Manager gewählt wird, ist von den individuellen Wünschen und Ansprüchen abhängig. Aber irgendeiner muss sein. Es lohnt sich.

Weiterführende Links:

Tool zum Testen von Passwörtern (inkl. Nachschlag in der Liste der häufigsten).

Verwandte Themen

Weiterführende Projekte und Inhalte zum Thema