Wie vergebe ich ein sicheres Passwort?

„Wie sicher ist mein Passwort?“ – Das ist eine der vielen Fragen, die sich jeder stellen sollte, der ein Computer, Smartphone privat oder auch beruflich nutzt. Ich möchte heute über die immense Bedeutung von starken Passwörtern schreiben. Im Laufe der Digitalisierung, beruflich als auch privat, ist es schon fast völlig normal geworden, mehrere Accounts für Mail, Social-Media-Konten oder andere Anwendungen zu haben. Doch gerade durch die riesige Anzahl von Accounts neigt man gerne dazu, sich für den bequemeren Weg zu entscheiden und für jeden Dienst das selbe Passwort zu nutzen, als sich jedes Mal ein neues zu merken. Aussagen wie „Schon alleine dafür, dass mein Rechner hochfährt und ich arbeiten kann, brauch ich 10 Passwörter!“ oder Favoriten wie „Natürlich habe ich überall das gleiche Kennwort, kann sich ja keiner mehr merken“ höre ich häufig – und nichts davon kann ich abstreiten.

Ja, es ist viel, aber es hat auch seinen Grund

Denn alleine im Jahr 2021 gab es 68% mehr Data Breaches, bei denen sensible Daten entwendet wurden, als im Jahr zuvor – Das ist ein enormer Anstieg! Natürlich muss das nicht alleine zu schwachen Passwörtern geschuldet sein. Dennoch sind Passwörter das kleinste Glied in der Cyber-Security-Kette und die kann wiederrum nur so stark sein, wie sein schwächstes Glied. Will sagen, ein Server kann noch so gehärtet und abgesichert sein, wenn das Passwort aber nur „admin“ oder „qwertz“ ist, dann sind all diese Maßnahmen wirkungslos.

Deshalb schauen wir uns an, was sich anbietet, um sich besser zu wappnen und sichere Passwörter zu erstellen.

Richtlinien für ein starkes Passwort

Ein Passwort muss natürlich eine gewisse Länge, sowie Komplexität mit sich bringen. Je länger und komplexer, desto besser. Mag vielleicht alles von heute auf morgen hinfällig werden, sobald der erste Quantencomputer in die falschen Hände gelangt, aber darüber wollen wir mal jetzt nicht nachdenken.

• Grundsätzlich heißt es, je länger desto besser – Das ist klar! Aber es sollte mindestens laut BSI 8 Zeichen lang sein. Ich persönlich halte das viel zu kurz und empfehle deshalb auch immer mindestens 12, wenn nicht sogar 14 Zeichen. Warum ich das so sehe, zeigt die Infografik oben von security.org. Hier wird tabellarisch dargstellt, wie lange es circa braucht um ein Passwort mit moderner Hardware zu entschlüsseln. Wer mal beim BSI nachblättern möchte, was dort so geschrieben steht, der kann das hier tun.
• Die Komplexität sollte heutztage jedem bekannt sein. Wir reden hier von Groß- und Kleinbuchstaben, Zahlen als auch Sonderzeichen.
• Das Passwort sollte nicht im Wörterbuch enthalten sein. Solche so genannten Dictionary Attacks haben ihre Bezeichnung nicht umsonst. Angreifer verwenden Wortlisten oder gar Wörterbuchlisten und versuchen sich so den Zugang zum Konto zu verschaffen, also schlechte Idee. Auch ein Hallo123! ist nicht sonderlich sicher nur weil es die Anforderungen der Komplexität erfüllt. Das zu wählende Passwort sollte auch keinen persönlichen Zusammenhang haben. Eigener Name, von Frau oder Mann, Teenager-Liebe sind grundsätzlich äußerst schlecht. Auch keine Superstars, die man toll findet oder Hobbies, die man gerne mag. Ein Angreifer, der sich Mühe gibt, versucht soviel es geht über sein Opfer herauszufinden und Rückschlüsse zur Person zu gewinnen. Dahei eignen sich aber wiederrum lange Sätze als hervorragendes Mittel und gleichzeitig als Eselsbrücke:

Ich fliege zum Planeten Melmak und besuche ALF, im Anschluss essen wir eine Katze!

umgewandelt in:

IfzPM&b4,143w3K!

und nein, das ist nicht das Passwort zu dem Blog hier 😉 Was haben wir also: 16 Zeichen, Eselsbrücke, Groß- und Kleinbuchstaben sowie Zahlen und Sonderzeichen. Für das „und“ habe ich ein „&“ genommen und für „im“ „Anschluss“ „essen“ „eine“, jeweils 1, 4, 3 und nochmal eine 3 gewählt. So einfach lässt sich ein sicheres Passwort erstellen, dummes Geschwaffel und we are good to go!

• Keine Standardpasswörter! Niemals, niemals, niemals sollte das Herstellerpasswort beibehalten werden. Wer auf seinem Router zuhause „admin:admin“ zum Einloggen auf die Weboberfläche hat, der sollte es fast verdient haben, angegriffen zu werden. Wobei, ist das überhaupt noch ein Angriff oder schon eher eine Einladung sich mal im privaten Netzwerk umzuschauen? Nein ernsthaft, tut so etwas niemals. admin:root, qwertzui, admin123 und so weiter sind KEINE sicheren Passwörter!
• Zur absoluten Sicherheit, verwendet immer nur ein Passwort je Anwendung/Dienst. Es ist zwar korrekt, wir haben weiter oben im Post, ein sicheres Passwort erstellt, dennoch ist es ratsam lieber vorsichtig zu sein. Denn können wir mit absoluter Sicherheit sagen, dass unsere Passwörter auch entsprechend stark verschlüsselt auf Servern im Internet liegen? NEIN, deshalb immer nur ein Passwort, je Dienst. Sollte ein Passwort geleaked werden, dann werden sich Angreifer als erstes daran versuchen auf weiteren Plattformen mit dem Passwort einzuloggen und das kann ich diesmal mit absoluter Sicherheit sagen.

Passwortmanager

Das Problem mit dem Merken, der ewig langen kryptischen Passwörtern besteht natürlich immernoch. Aber auch dafür gibt es schon seit Ewigkeiten Abhilfe – und zwar dank der Passwortmanager.

Kleine aber feine Tools, in denen man all seine Passwörter der jeweiligen Accounts eintragen kann ohne den Überblick zu verlieren. Manche Anbieter bieten auch noch eine Cloud-Synchronisation an, das heißt, eure Datenbank wird auf jeden Endgerät repliziert und erhält alle neu angelegten Einträge.

Hier noch ein paar Opensource-Empfehlungen von Privacyguides.com für Computer/Laptop, sowie Smartphones.

Wer mal schauen möchte, ob er denn schon von einem Data Breach betroffen war, kann auf haveibeenpwnd.com nachschauen. Tragt eure E-Mail-Adresse(n) ein und ihr könnt sehen, ob eure Zugangsdaten bereits geleaked wurden. Dann ist es allerhöchste Zeit sein Passwort zu ändern!

Abschluss

Ich hoffe, ich konnte hier und da noch etwas vermitteln und ein Bewusstsein für sichere und starke Passwörter schaffen. Jedem Nutzer von Computern ist bewusst, dass die heutige Anzahl der Passwörter echt nervig, aber auch genau so gut notwendig sind. Passwortmanager schaffen Abhilfe, sodass man sich nur noch ein sicheres Master-Passwort merken muss. Wer wie immer Anregungen oder gar Fragen zum Thema haben sollte, kann gerne ein Kommentar hinterlassen oder eine kurze Mail an info@byte-sized.de schreiben.