Sichere Passwörter leicht gemacht

Aus aktuellem Anlass zum Ändere-dein-Passwort-Tag am 1. Februar möchte ich auf die Notwendigkeit von sicheren Passwörtern eingehen und zeigen, wie ihr eure Accounts sichern könnt, ohne euch komplizierte Passwörter merken zu müssen. Beim Passwort- und Account-Schutz spielen vor allem drei Aspekte eine entscheidende Rolle: die Komplexität von Passwörtern, digitale Helfer sowie die Zwei-Faktor-Authentifizierung.

Häufige Fehler bei Passwörtern und resultierende Schadenszenarien

Viele Menschen unterschätzen, wie wichtig ein sicherer Umgang mit Passwörtern ist. Dabei werden oft dieselben Fehler gemacht:

• Passwörter werden aufgeschrieben und abgespeichert, um sie nicht zu vergessen – ein leichtes Ziel für Angreifer.
• Vergebene Passwörter werden nie geändert. Dabei gilt: Je länger ein Passwort verwendet wird, desto unsicherer ist es.
• Es werden stets identische Passwörter an unterschiedlichen Anmeldeseiten genutzt. Das erleichtert es Kriminellen, mehrere Konten zu kompromittieren.
• Es werden viel zu leichte Passwörter vergeben wie „123456“.
• Passwörter werden an andere Personen wie Familienmitglieder oder Kollegen weitergegeben. Ein geteiltes Passwort ist kein sicheres Passwort.

Wer einen oder mehrere dieser Punkte bei seinem Passwortschutz nicht erfüllt, geht das Risiko ein, gehackt zu werden. Cyberkriminellen reicht oft schon eine bestehende E-Mail-Adresse, um bei geringem Passwortschutz erfolgreich zu sein. Beim Shoulder Surfing beobachten Kriminelle in öffentlichen Bereichen wie Zügen oder Cafés gezielt Personen beim Eingeben ihrer E-Mail-Adresse. In Verbindung mit einem Dictionary Attack (auch Wörterbuchangriff genannt) – einer Methode, bei der Millionen von Passwortkombinationen anhand einer Liste ausprobiert werden – können sie so Zugang zu Accounts erhalten. Die notwendige Rechenleistung für solche Angriffe ist heute leicht verfügbar, mit der nichts anderes getan wird, als solche Passwörter wahllos zu kreieren und in Listen zu speichern.

Mit einer Passphrase ein sicheres und gut merkbares Passwort kreieren

Die Vergabe eines sicheren Passworts ist also unheimlich wichtig. Das Thema wird aber oft viel zu umständlich angegangen, da ein sicheres Passwort einige Kriterien erfüllen sollte:

• Es sollte mindestens 16 Zeichen lang sein.
• Es sollte folgende Zeichen enthalten: Groß- und Kleinbuchstaben sowie Zahlen und Sonderzeichen.
• Außerdem sollte ein Passwort regelmäßig geändert werden – im Business-Kontext innerhalb von 90 Tagen, im privaten Bereich etwa alle sechs Monate.

Viele schrecken vor langen und komplexen Passwörtern zurück: Es dauert sehr lange, sie einzutippen, und sie lassen sich schwer merken. Mit einem sogenannten Passphrase wird eine sichere Passwortvergabe zum Kinderspiel. Ein Passphrase ist ein Satz, der leicht zu merken ist, indem er beispielsweise auf ein persönliches Ereignis Bezug nimmt, und dennoch alle Sicherheitsanforderungen erfüllt. So z.B.: IchFahreEinenBlauenOpelSeit2005!
Diese Methode bietet folgende Vorteile: Alle nötigen Vorgaben bei der Vergabe von Passwörtern wie Groß- und Kleinschreibung sowie die Verwendung von Zahlen und Sonderzeichen werden eingehalten. Es wird auch eine hohe Anzahl an Zeichen einfach erreicht und sogar überschritten, was das Passwort noch sicherer macht. Und es lässt sich leicht merken.

Digitale Helfer – einfach und nutzerfreundlich

Mittlerweile gibt es eine Reihe an digitalen Tools, die den Umgang mit Passwörtern und Accounts erheblich erleichtern.

• Have I Been Pwned (https://haveibeenpwned.com/): Auf dieser Website können Nutzer testen, ob ihre E-Mail-Adresse irgendwann einmal von einem Datenschutzvorfall betroffen war. Dazu muss die E-Mail-Adresse nur eingegeben werden, und schon erscheint die Information, ob und wann diese E-Mail-Adresse gehackt wurde und welche Art von Daten wie E-Mail-Adresse, Name, Social-Media-Profile, Geo-Locations etc. dabei betroffen waren.
• Passwortstärke testen (https://checkdeinpasswort.de): Hier kann getestet werden, wie sicher ein Passwort ist. Dabei ist es enorm wichtig, nie sein tatsächliches Passwort, sondern eine Abweichung einzugeben. Es geht hier also eher darum, ob die Komplexität eines Passworts wirklich sicher ist. Beim Passwort „123456“ erscheint die Information, dass ein herkömmlicher PC das Passwort sofort knacken könnte. Bei unserem Passphrase-Beispiel von oben IchFahreEinenBlauenOpelSeit2005! würde es etwa sechs Septilliarden Jahre dauern.
• Passwort-Manager: Wer sein Passwort nicht ständig manuell eingeben möchte, kann dafür einen Passwort-Manager wie 1Password nutzen. Er unterstützt eine große Zahl an unterschiedlichen Anbietern wie Gmail, Ebay und Co. Der Nutzer gibt die Internetseite ein, legt seinen Account dazu an und speichert das Passwort. Das Tool synchronisiert es dann auf den vom User verwendeten Geräten. Außerdem bietet es auch an, den Login zu übernehmen. Bei dem ähnlich funktionierenden Passwort-Manager LastPass wird darüber hinaus der persönliche Fingerabdruck abgefragt. Das ist nicht nur sehr sicher, sondern auch schnell und einfach. Anfangs mag solch ein digitaler Helfer vielleicht etwas ungewohnt sein, es hilft aber im Fortlaufenden, da keine Passwörter mehr verloren gehen. Mit einem Backup in der Cloud gilt das auch beim Verlust vom Endgerät oder vom Zugang zu der Umgebung, wenn das Betriebssystem nicht mehr funktioniert oder ein Rechner neu aufgesetzt werden muss. Denn dank Fingerabdruckabfrage sind die Passwörter dort zugriffssicher vor Herstellern und anderen abgelegt.

Zwei-Faktor-Authentifizierung: Das nächste Sicherheitslevel

Bei den bisher genannten Szenarien handelt es sich um eine Ein-Faktor-Anmeldung mit E-Mail-Adresse und Passwort. Sicherer ist allerdings eine Zwei-Faktor-Authentifizierung, die von vielen Internetseiten angeboten wird. Neben E-Mail-Adresse und Passwort wird also ein zweiter Faktor – meist ein Token oder ein Bestätigungscode – ergänzt. Das Einrichten dieses Verfahrens ist einfach: Eine App wie den Microsoft Authenticator herunterladen, der Applikation den Zugriff auf die Kamera erlauben, den QR-Code scannen, und schon richtet sich der Authenticator automatisch ein. Bei der nächsten Anmeldung auf einer Internetseite wird somit eine Zwei-Faktor-Autorisierung notwendig. Erst wird das Passwort abgefragt und zusätzlich der Token. Diese Methode ist besonders sicher, da ein Angreifer sowohl Passwort als auch den zweiten Faktor besitzen müsste, um Zugang zu erhalten.

Ein sicherer Umgang mit Passwörtern ist nicht kompliziert, erfordert aber ein wenig Aufmerksamkeit. Wenn noch nicht geschehen, ist der heutige Ändere-Dein-Passwort-Tag genau der richtige Zeitpunkt, um damit anzufangen.