Komplexität¶

Ein Passwort darf auf keinen Fall einfach zu erraten sein. Namen von Verwandten oder Geburtsdaten scheiden deswegen schon mal definitiv aus. Eine typische Buchstabenkombination wie "qwertz" oder "asdfg" ist genauso wenig sicher wie das Anhängen einer Zahl. Hacker benutzen für Wörterbuch-Attacken lange Listen aus allen Sprachen der Welt, inkl. Suaheli, Elfisch oder Klingonisch. Jedes in einem Wörterbuch stehende Wort ist deshalb als Passwort unsicher! Auch das beliebte Ersetzen von Buchstaben durch ähnliche Ziffern (beispielsweise e bzw. E durch die Ziffer 3) ist schon lange kein Hindernis mehr für Passwort-Knacker.

Passwortlänge¶

Ein sicheres Passwort besteht deswegen aus mindestens 12 Stellen und enthält sowohl Klein- als auch Großbuchstaben, Ziffern und nach Möglichkeit Interpunktions- oder ähnliche Zeichen. Ein sicherer Passwort-Satz ist gewürfelt und enthält mindestens 6 Wörter. Es gilt: (Anzahl der möglichen Passwörter) = (Anzahl der möglichen Zeichen) ^{Passwort-Länge}. Die Länge des Passwortes ist also bei (pseudo-)zufällig erzeugten Passwörtern das Wichtigste. (Siehe auch Password strength, Random passwords.) Es gibt diverse Möglichkeiten, solche Passwörter zu erhalten:

Passwort generieren¶

Eine der besten Arten, ein sicheres Passwort zu erhalten, ist die Generierung eines solchen durch ein geeignetes Werkzeug. Als Beispiel sei hier das Kommandozeilenprogramm pwgen genannt. Für Passwörter mit 12 Zeichen gibt man beispielsweise den folgenden Befehl in einem Terminal ein:

pwgen 12 

Das Kommando zeigt mehr oder weniger einfach aussprechbare (merkbare) Passwörter. Mit der Option --help werden zahlreiche weitere interessante Optionen angezeigt, mit denen man einfachere oder kompliziertere Passwörter erhält (siehe auch diesen Artikel aus dem Linux-Magazin 🇩🇪). Neben pwgen stehen auch noch andere Programme wie z.B. makepasswd aus dem universe-Repository zur Verfügung.

Passwort-Satz ausdenken¶

Man denkt sich einen Passwort-Satz aus: Dies ist eine einfache Methode, um lange Passwörter zu erzeugen. Man nimmt sich z.B. einen Satz, den man sowieso schon auswendig kann oder in einem Buch gefunden hat. Je unbekannter und länger der Satz ist, desto sicherer ist das Passwort.

Alternativ kann man auch einen erfundenen Merksatz wie "Meine Mutter hat vier Brüder, zwei Schwestern und ein Auto." nehmen und daraus den jeweils ersten Buchstaben verwenden: MMh4B,2Su1A. Dies wäre ein gutes Passwort, wenn es hier nicht gerade als Beispiel öffentlich "verbrannt" worden wäre.

Generell sind ausgedachte Passwort-Sätze nicht zu empfehlen, da sie immer assoziativ sind und weniger Entropie enthalten als gewürfelte.

Diceware – Passwortsatz würfeln¶

Die beste Methode, an einen guten Passwort-Satz zu kommen, der ausreichend zufällig ist, ist Diceware. Hier lohnt sich nocheinmal ein Blick auf das XKCD Comic oben: »Tr0ub4dor&3« hat 28 Bit Entropie und ist sehr schwer zu merken, während »correct horse battery staple« sehr leicht zu merken ist und 44 Bit Entropie enthält. Außerdem werden keine Sonderzeichen benutzt, was die Kompatibilität erhöht. Einziger Nachteil ist, dass manche Systeme die Passwortlänge einschränken.

Zugrunde liegt eine große Liste mit Wörtern. Die Listen werden für verschiedene Sprachen angeboten, unter anderem auch Englisch und Deutsch. Pro Wort würfelt man 5 Mal mit einem Würfel (selbst würfeln ist wichtig, weil Computer nur Pseudozufallszahlen erzeugen und die Wortliste dann länger sein muss, um die angestrebte Entropie zu erhalten). Sechs Wörter ergeben etwas mehr als 77 Bit Entropie und so ist ein Satz wie »tollen selten mutlos charge untere sonde« ausreichend sicher und ausreichen leicht zu merken.

Die links zu den Wortlisten sind am Ende des Artikels aufgeführt.

Modifikation¶

Man kann zusätzliche Zeichen beispielsweise in die Mitte des Passworts einfügen. Außerdem kann man ein wenig mit der ⇧ -Taste spielen: So kann man diese z.B. in einem eingängigen Takt drücken. Diese Methoden kann man besonders gut mit den oben genannten kombinieren.

Sonderzeichen¶

Umlaute und exotische Sonderzeichen sollten in Passwörtern vermieden werden. Das klingt wie ein Widerspruch zu dem voranstehend Gesagten, hat aber folgenden Hintergrund: Zeichen werden auf einem Rechner in Form von Zahlenwerten gespeichert. Welcher Zahlenwert einem Zeichen zugeordnet ist, bestimmt die Zeichenkodierung, z.B. UTF-8 oder ISO-8859-15. Gerade bei Umlauten unterscheiden sich die Kodierungen. Setzt man von Rechner A aus ein Passwort, das Umlaute enthält, so kann ein Anmeldeversuch von Rechner B aus fehlschlagen, wenn dieser eine andere Zeichenkodierung verwendet. Zudem ist nicht sichergestellt, dass auf der Tastatur eines anderen Rechners die Zeichen überhaupt eingegeben werden können. Groß- und Kleinbuchstaben ohne Umlaute, Ziffern, die gängigen Satzzeichen und +-*/ sollten keine Problem bereiten, sprich, die druckbaren Zeichen des guten, alten ASCII-Codes.

Einmaligkeit¶

Passwörter sollten nicht für mehrere Zwecke verwendet werden. Die Verwendung desselben Passwortes für mehrere Zwecke sollte unbedingt vermieden werden, um den Schaden beim Diebstahl eines Passwortes gering zu halten. Insbesondere ist hierbei zu beachten, dass Passwörter bei Webanwendungen auf dem betreffenden Server gespeichert werden und dass dessen Sicherheit außerhalb des eigenen Kontrollbereiches liegt. Webforen werden bspw. tagtäglich geknackt, aber auch große Unternehmen sind nicht vollkommen sicher. Werden Passwörter im Klartext und nicht verschlüsselt in einer Datenbank auf dem Server abgespeichert, haben nicht nur Hacker, sondern auch die Administratoren den Zugriff auf die Passwörter. Sollte man diesen Leuten das System-, E-Mail- oder eBay-Passwort anvertrauen?

Geheimhaltung¶

Niemals sollte man ein Passwort an jemand anderen weitergeben. Und zwar aus Prinzip. Es ist kein "Mangel an Vertrauen", wenn man einen Bekannten bittet, während der Eingabe eines Passwortes kurz wegzuschauen. Ebenso sollte man niemandem ein Passwort geben, um irgendwelche Dinge erledigen zu können. Wenn man bspw. einem Mitbewohner die Benutzung des eigenen Rechners erlauben will, ist es ein leichtes, ihm ein eigenes Benutzerkonto mit einem eigenen Passwort einzurichten.

Ein Passwort darf nicht aufgeschrieben werden. Insbesondere sollte es nie auf einen Klebe-Zettel geschrieben und in der Nähe des Computers angeheftet werden. Das Notieren auf einem Zettel, den man dann in seine Brieftasche steckt, wäre wohl noch akzeptabel. Allerdings sollte man hier vermeiden, den Zweck des Passwortes mit zu notieren. Wenn man dann das Passwort nach wiederholter Verwendung auswendig kann, sollte man den Zettel vernichten. Ausnahmen bestätigen die Regel: Es besteht kein Grund, Passwörter nicht aufzuschreiben. Es hängt davon ab, wer welchen Zugriff auf die Stelle hat, an der das Passwort notiert wurde. Normalerweise ist das die eigene Wohnung.

Regelmäßige Änderung?¶

Immer wieder wird diskutiert, ob die regelmäßige Änderung eines Passworts sinnvoll ist oder nicht. Für beides gibt es gute Gründe: Für eine regelmäßige Änderung spricht, dass es gar nicht so selten vor kommt, dass öffentlich zugängliche Systeme gehackt und Passwörter gestohlen werden.

Wenn regelmäßiges Wechseln der Passwörter jedoch dazu führt, dass die Passwörter immer einfacher (d. h. schlechter) werden, weil man sie sich sonst nicht merken kann, ist regelmäßiges Wechseln definitiv schädlich.

Diese Kriterien der Passwortsicherheit klingen erst einmal hart und nur schwer einzuhalten, so dass man sich vielleicht gezwungen sieht, Kompromisse einzugehen:

Diceware¶

• Diceware Artikel der deutschen Wikipedia🇩🇪

• Englische Diceware Website 🇬🇧

• Deutsche Wortliste 🇩🇪

• Englische Wortliste 🇬🇧

offizielle Empfehlungen zu sicheren Passwörtern¶

• Empfehlung der Verbraucherzentrale 🇩🇪

• Passwortempfehlung des BSI 🇩🇪 - (Bundesamt für Sicherheit in der Informationstechnik)

andere Artikel zum Thema¶

• Mein_sicheres_Passwort.pdf 🇩🇪

• Ein-Blick-hinter-die-Kulissen-der-Cracker 🇩🇪 - heise c't 03/2013

• 00000000: Passwort für US-Atomraketen 🇩🇪 - heise Security, 12/2013

• Warum 123456 als Passwort okay ist 🇩🇪 (... beim Gegenteil von Atomraketen) - heise Security, 11/2013