Passwort-Sicherheit

Über Passwörter kursiert mehr veraltetes Wissen als über fast jedes andere IT-Thema. Die Regel mit dem Sonderzeichen, dem Großbuchstaben und der Ziffer stammt aus einer Zeit, in der Angreifer noch von Hand rieten. Heute gilt sie als überholt, und zwar von der Stelle, die sie ursprünglich aufgestellt hat: Länge schlägt Komplexität, weil jede zusätzliche Stelle den Aufwand vervielfacht, während ein angehängtes Ausrufezeichen ihn kaum erhöht.

Der Grund liegt darin, wie geraten wird. Automatisierte Angriffe probieren nicht Zeichen für Zeichen, sondern arbeiten mit Wortlisten aus echten Sprachen, Namen und geleakten Passwörtern — samt der Ersetzungen, die sich jeder ausdenkt. „P@ssw0rt!" ist für einen Menschen schwer zu merken und für ein Programm trivial; vier zufällige Wörter sind das Gegenteil von beidem.

Praktisch wird das Thema erst mit der zweiten Frage: Wo bewahrt man das auf? Ein einziges gutes Passwort, das überall benutzt wird, ist kein gutes Passwort mehr, sobald ein einziger Dienst kompromittiert wird. Ein Passwort-Manager löst das, indem er das Merken abschafft — und verschiebt die Frage auf ein einziges Hauptpasswort, das dann tatsächlich lang sein muss.

Bleibt die wirksamste Einzelmaßnahme: ein zweiter Faktor. Er greift genau dann, wenn das Passwort schon weg ist — und das ist der Fall, in dem alles andere nicht mehr hilft. Die Artikel dieser Rubrik erklären dazu auch, was auf der Gegenseite passiert: warum ein Dienst Dein Passwort nie im Klartext speichern sollte und woran Du erkennst, dass er es nicht tut.