Veröffentlicht am 18.1.2018
Kriterien für sichere Passwörter
Damit Passwörter nicht (automatisiert) „erraten” werden können (vgl. Brute-Force-Methode), sollte die Anzahl möglicher Zeichenkombinationen so groß sein, dass das (automatisierte) „Ausprobieren” aller Zeichenkombinationen mit aktuell verfügbarer Technik zu lange dauern würde und die Wahrscheinlichkeit eines „Zufalltreffers” sehr gering ist.
Ein sicheres Passwort sollte die folgenden Kriterien erfüllen:
- Passwortlänge:
- Minimale Passwortlänge: 16 Zeichen
- Zeichenraum maximieren:
- Sonderzeichen verwenden
- Groß- und Kleinbuchstaben verwenden
- Ziffern verwenden
Darüber hinaus sollte das Passwort keine real existierenden Wörter enthalten (vgl. Wörterbuchangriffe) und keinen allgemein bekannten Sinn ergeben (z.B. Spitznamen).
Auch die triviale Abwandlung von Wörtern reicht für sichere Passwörter nicht aus (z.B. das Ersetzen bestimmter Buchstaben durch Zahlen), weil viele dieser typischen Abwandlungsmöglichkeiten allgemein bekannt sind.
Sichere Passwörter erzeugen
Möglichkeit 1: Passwortgenerator
Ein sicheres Passwort lässt sich sehr einfach mit einem Passwortgenerator generieren, z.B. mit „PWGen”.
Dabei können relativ kurze und trotzdem sichere Passwörter generiert werden.
Auch bei Ausschöpfung des kompletten Zeichensatzes (inkl. Sonderzeichen und Zahlen) sollte eine Mindestlänge von 16 Zeichen nicht unterschritten werden. Besser ist es, etwas längere Passwörter zu nutzen.
Die freie Software „PWGen” kann z.B. hier heruntergeladen werden:
Komplexität, Passwortlänge und letztlich das Sicherheitsniveau können durch entsprechende Parameter konfiguriert werden.
PWGen generiert auch „lesbare” und damit besser „erlernbare” Passwörter.
Konfigurationsparameter PWGen
Möglichkeit 2: Diceware
Wenn man nicht „schummelt”, kann man mit dem Diceware-Verfahren ebenfalls sichere Passwörter generieren.
Dabei können Passphrasen generiert werden, die man sich relativ leicht merken kann.
Mit einem Würfel würfelt man fünfmal und setzt die Ergebnisse zu einer fünfstelligen Zahl zusammen. Beispiel: 61426
Jetzt liest man das zugehörige Wort aus der Diceware-Tabelle ab:
Diceware-Wortliste deutsch
Beispiel: 61426 => these
Wichtig:
Dabei sollte man nicht „schummeln”, indem man sich anstelle des gewürfelten ein „bequemeres” Wort aussucht.
Durch die Möglichkeit „zu schummeln” ist bei diesem Verfahren davon auszugehen, dass es in der Praxis zu einer Häufung „bequemer” Wörter kommt (vgl. zu dieser Problematik den folgenden Artikel):
Diesen Ablauf wiederholt man für 6 Wörter, die man zum Schluss in einer langen Passphrase zusammensetzt.
Zusätzlich sollten noch weitere Zeichen hinzugefügt werden (z.B. Sonderzeichen und Zahlen), wodurch das Passwort stärker wird.
Anleitung für das Diceware-Verfahren (Wikipedia)
Passwortvarianten von einem Basispasswort systematisch ableiten
Von einem sicheren Basispasswort können unterschiedliche Passwörter für einzelne Accounts systematisch abgeleitet werden.
Wichtig ist dabei, dass bei Kenntnis eines der Passwörter nicht auf andere Passwörter geschlossen werden kann.
Aus diesem Grund eignen sich nach dem Diceware-Verfahren generierte Passwörter weniger gut als Basispasswort.
Beispiel:
Basispasswort:
pah_f5Mahtr
Ableitung für facebook:
pahak_f5Mahtr
- Das eingefügte „a” ergibt sich aus dem 2. Buchstaben des Domain-Namens facebook.com, das „k” aus dem letzten Buchstaben.
- Bei Kenntnis des Passworts „pahak_f5Mahtr” ist es nicht einfach möglich, auf andere abgeleitete Passwörter (z.B. pahwr_f5Mahtr für twitter.com) zu schließen.
Eine schlechte Ableitung wäre z.B.:
pah_f5Mahtr-facebook
- In diesem Fall wäre es möglich, Rückschlüsse auf das Muster zu schließen und z.B. das Passwort pah_f5Mahtr-twitter herzuleiten.
Für sicherheitsrelevante Accounts sollten nur eigens generierte und keinesfalls abgeleitete Passwörter verwendet werden!
Wann müssen Passwörter geändert werden?
„Abgeleitete” Passwörter unterscheiden sich i.d.R. nur durch wenige Zeichen.
Aus diesem Grund können bei Kenntnis zweier Passwörter leicht weitere Passwörter „geknackt” werden.
Wird ein Passwortdiebstahl bekannt, sollte deshalb das Basispasswort und alle zugehörigen abgeleiteten Passwörter komplett neu generiert werden (nicht nur leicht abgewandelt!).
Um den Aufwand in solchen Fällen zu begrenzen, sollten für unterschiedliche Bereiche verschiedene Basispasswörter verwendet werden.
Für sicherheitsrelevante Accounts sollten nur eigens generierte und keinesfalls abgeleitete Passwörter verwendet werden!
Passwörter speichern
Vorteile von Passwortmanagern
Um sich Passwörter nicht merken zu müssen, kann ein Passwortmanager genutzt werden.
Die Passwörter einzelner Accounts müssen dann nicht systematisch abgeleitet werden, sondern können unabhängig voneinander generiert werden.
Komplexität und Länge der Passwörter werden nicht durch das Erinnerungsvermögen beschränkt.
Beispielsweise ist der quelloffene Passwortmanager „KeePassXC”, für viele Betriebssysteme erhältlich:
Homepage und Download KeePassXC
Im Browser sollten Passwörter nicht gespeichert werden, der Passwortmanager des Browsers sollte nicht genutzt werden.
Nachteile von Passwortmanagern
Passwortmanager sind ein begehrtes Angriffsziel und stellen dadurch ein gewisses Sicherheitsrisiko dar.
Aus diesem Grund sollte kein Passwortmanager verwendet werden, der die Daten online speichert. Die zugehörigen Server sind als Angriffsziel einfach zu begehrt.
Bei Nutzung mehrerer Geräte (PC, Handy, Tablet usw.) können Synchronisationsprobleme auftreten.
Als Schutz gegen Defekt und Diebstahl müssen Sicherungskopien (Backups) der gespeicherten Passwörter angelegt und unabhängig vom Gerät aufbewahrt werden.
Analoge Speicherung
In Abhängigkeit von den Sicherheitsanforderungen kann es sinnvoll sein, bestimmte Passwörter (z.B. das Basispasswort oder das Passwort des Passwortmanagers) nicht digital, sondern „klassisch” auf Papier zu notieren und dieses sicher aufzubewahren.
Um physischer Zerstörung und Diebstahl vorzubeugen, sollte das Passwort mehrfach und an unterschiedlichen Orten deponiert werden.