Basiswissen für ein sicheres Passwort

Wie generiert ihr ein sicheres Passwort?

Die einfachste und dabei immer noch sehr sichere Methode der Datensicherheit ist die Verwendung von Benutzername und Passwort. Es gibt Alternativen wie die Gesichtserkennung, die PIN sowie den Iris- oder Fingerabdruckscan, die aber vielfach technisch aufwendig und damit unter Umständen störanfällig sind. Die vier- oder auch fünfstellige PIN wird im Netz kaum verwendet, weil es inzwischen Rechenprogramme gibt, die bei so wenig Zahlen die richtige Kombination in einigen Minuten ermitteln. Jedermann weiß heute: Ein guter Passwortschutz besteht aus einer Kombination von mindestens sieben Ziffern, Zahlen und Sonderzeichen. Allerdings hält sich nicht jedermann an diese Empfehlung.

Wie solltet ihr mit euren Passwörtern umgehen?

Praktisch im Jahrestakt werden Listen von sehr beliebten und damit gleichzeitig sehr schlechten Passwörtern veröffentlicht. Sie beziehen sich immer auf einen Sprachraum, für uns also auf das D.A.C.H.-Gebiet oder speziell auf Deutschland, weil der Hauptfehler aller schlechten (und beliebten) Passwörter darin besteht, dass sie sinnhaft sind. Damit müssen sie an eine Sprache gekoppelt sein. Daher lautet die erste Regel für jeden guten Passwortschutz:

• #1: Die gewählte Zeichenkombination darf keinen Sinn ergeben.

Programme für das Knacken von Passwörtern sind unter anderem semantisch aufgebaut, suchen also nach Sinnzusammenhängen. Viele Nutzer halten sich durchaus an die zweite Regel:

• #2: Verwende immer eine Kombination aus Ziffern, Buchstaben und Sonderzeichen.

Also wählt der Nutzer „123Maria/1986“, weil seine hübsche Frau Maria 1986 geboren wurde, doch das Programm zum Knacken dieses Passwortes probiert solche Kombinationen aus. Es lässt zum Beispiel alle weiblichen Vornamen, davor einige Ziffern, danach oder irgendwo zwischendrin Sonderzeichen und irgendwo auch alle möglichen Geburtsjahre zwischen 1935 und 2010 durchlaufen. Merke: Die Rechenleistung für diese Operation muss nicht allzu groß ausfallen. Es bleibt dabei: Nur wirklich sinnlose Passwörter wie 4n*2#xJ/ sind sicher. Es geht auch ohne die Sonderzeichen, die nicht überall erlaubt sind.

Welches sind die schlechtesten und beliebtesten Passwörter?

Eine jüngere Liste stammt vom Hasso-Plattner-Institut. Es veröffentlicht regelmäßig die Top 20 der schlechtesten und häufigsten Passwörter von deutschen Nutzern. Hier einige Beispiele aus dieser Liste:

• 123456
• 123456789
• 111111
• password oder password1
• abc123
• iloveyou
• qwertz
• 1q2w3e4r
• target123

Diese Passwörter stammen aus dem HPI Identity Leak Checker, der 67 Millionen Zugangsdaten gespeichert hat. Jedermann schüttelt nun den Kopf über die augenscheinliche Dummheit, solche Passwörter zu verwenden, doch die Nutzer wollen sich einfach keine komplexen Passwörter merken, und aufschreiben sollen sie diese ja auch nicht. Ein weiterer Aspekt kommt hinzu: Viele Webseiten verlangen einen sicheren Zugang, der Nutzer soll sich also eine Verschlüsselung ausdenken. Doch dieser ist auf der Webseite vielleicht nur einmal unterwegs (oder glaubt das zumindest) und hat auch nicht vor, sicherheitsrelevante Daten zu hinterlassen – er will zum Beispiel nichts kaufen. Er will sich nur ganz fix informieren. Wer denkt sich schon zu solchen Zwecken stets neue Passwörter aus? Das ist ein wichtiger Hintergrund für die simplen, leicht zu knackenden Passwörter. Damit steht die nächste Frage im Raum:

Wo braucht ihr wirklich ein sicheres Passwort?

Es gibt Foren, die einen Passwortzugang verlangen, doch wenn dieses entwendet würde, wäre das nicht weiter schlimm. Niemand publiziert auf solchen Foren schwerwiegende Geheimnisse. Doch überall dort, wo ihr mit einer Anmeldung auch Kreditkarten- oder Bankdaten hinterlegt oder wo ihr – zum Beispiel bei einem Arzt – sensible Informationen über euch selbst eintragt, muss die Passwortsicherung einem Hackerangriff standhalten. Auch Accounts in sozialen Netzwerken sollten sicher geschützt sein, sonst kapert jemand euren Account und veröffentlicht in eurem Namen falsche Tweets oder Posts. Passwörter wie die oben aufgeführten gehen also gar nicht. Ihre Veröffentlichung durch das Hasso-Plattner-Institut soll eigentlich ein Mahnmal sein, um endlich das Sicherheitsbewusstsein von uns allen zu stärken. Denkt bei der Passwortauswahl unbedingt an die oben genannten Regeln. Viele Webseiten verlangen Passwörter mit Buchstaben, Ziffern und Sonderzeichen, sodass eine Variante wie abcdefg oder 1234567 von vornherein ausfällt, doch wie unser Beispiel mit der hübschen Frau Maria zeigt, genügt diese Vorschrift – Ziffern, Buchstaben (klein und groß) sowie Sonderzeichen – für sich allein noch nicht. Die Kombination darf auf keinen Fall sinnhaft sein, das ist die wichtigste Regel! Ihr glaubt, den Namen eurer Katze kann doch niemand kennen? Da irrt ihr euch. Die kuriosen Einfälle, die ihr für originell haltet, sind längst in den Datenbanken der Hacker erfasst. Wenn ihr nun eine Buchstaben-Ziffern-Sonderzeichen-Kombi wählt, muss auch diese recht bunt zusammengewürfelt sein (ähnlich wie in unserem Beispiel). Manche User wählen – eigentlich unseren Regeln folgend – Kombinationen wie 1234aBCD!, doch diese sind zu billig. Google Chrome warnt mittlerweile vor solchen simplen Passworterfindungen.

Tipps für ein sicheres Passwort

Die folgenden Tipps für die Passwortsicherheit stammen von Hasso-Plattner-Institut:

• keine Sinnhaftigkeit
• lange Passwörter ab 15 Zeichen
• Kombi aus Ziffer, Groß- und Kleinbuchstaben sowie Sonderzeichen
• nichts aus dem Wörterbuch verwenden
• gesonderte Passwörter für jeden Dienst und jede Website
• Verwendung eines Passwortmanagers
• bei Sicherheitsvorfällen grundsätzlicher Passwortwechsel
• Zwei-Faktor-Authentifizierung – wenn vorhanden – aktivieren

Bei der Die Zwei-Faktor-Authentisierung identifiziert ihr euch mit zwei unabhängigen Faktoren (Komponenten). So identifiziert sich beispielsweise eine Bankkarte mit ihrem Magnetstreifen, zusätzlich muss der Nutzer eine PIN eingeben. Ein Fingerabdruckscan und eine PIN wären weitere Möglichkeiten. Manche Anbieter verlangen als zweiten Faktor die richtige Antwort auf eine Sicherheitsfrage (Name des Haustiers, Mädchenname der Mutter), Banken schicken eine TAN per SMS. Alternativ kann zum Zugangscode ein TAN-Generator verwendet werden. Diese Zwei-Faktor-Authentifizierung schützt einen Account deutlich wirkungsvoller als (schwache) Passwörter.