Sichere Kennwörter

Wieso sind starke Kennwörter nötig?

Der Zweck eines Passworts ist, den Zugang zu einem Online-Account (Shop, Bankkonto, E-Mail, ...) nur dem Besitzer des Accounts zu gestatten. Ein starkes Passwort zeichnet sich dadurch aus, dass es schwer zu erraten oder zu ermitteln ist. Es schützt Sie vor Datenklau, Identitätsdiebstahl und finanziellem Verlust. Wenn jemand fremdes diesen Schutz überwinden kann, hat diese Person uneingeschränkt Zugriff auf alle Daten dieses Accounts.

Besonders wichtig sind sichere Kennwörter bei Accounts, die sensible Daten beinhalten, aber natürlich sollten im besten Fall alle Ihre Kennwörter sicher sein.

• E-Mail Konten: Wenn ein Angreifer es schafft, in Ihr E-Mail Konto einzudringen, ist das ziemlich fatal. Der Angreifer hat dann viele Informationen über Sie zur Hand. Ihre E-Mail Adresse ist in den meisten Fällen Ihr Benutzername für andere Internet-Accounts. Ein Angreifer kann also bei allen möglichen Online-Diensten über die dortige "Passwort-Vergessen-Funktion" versuchen, Ihr Kennwort zurückzusetzen. So kann er dann nach und nach alle Ihre Online-Accounts übernehmen.
• Ihr WLAN: Sollte ein Angreifer das Kennwort Ihres WLANs knacken, hat er Zugang zu Ihrem privaten Netzwerk und so potentiell Zugriff auf alle Geräte in Ihrem Heimnetzwerk.
• Online-Shops: Um zu verhindern, dass ein Angreifer auf Ihre Kosten Bestellungen auslösen kann oder Kontodaten erbeutet, sind bei allen Accounts, in denen Zahlungsinformationen hinterlegt sind, starke Kennwörter nötig.

Was soll schon passieren, wenn ich gehacked werde?

Man sollte so ein Szenario nicht auf die leichte Schulter nehmen. Sollte ein Angreifer ihr E-Mail-Konto übernehmen und das Kennwort ändern, haben Sie ein enormes Problem! Ein Angreifer kann unterschiedliche Ziele verfolgen.

• Finanzieller Verlust durch stehlen von Kreditkartendaten
• Verlust des Zugangs zu Online-Diensten (E-Mail, Bank, Shops)
• Identitätsdiebstahl. Es könnten Ihre persönlichen Daten (Name, Anschrift, Geburtsdatum, Sozialversicherungsnummer, …) für betrügerische Zwecke missbraucht werden
• Verlust von Dateien. Einige Angreifer zielen darauf ab, Ihre persönlichen Daten zu beschädigen, zu löschen oder zu verschlüsseln und ggf. Lösegeld für die Entschlüsselung fordern

Wie kann ein Angreifer mein Kennwort überhaupt herausfinden?

Es gibt mehr oder weniger ausgefeilte Methoden, ein fremdes Kennwort zu ermitteln.

• Brute-Force: Bei dieser Methode wird versucht, ein Kennwort mit "roher Gewalt" zu erraten. Dafür werden so lange alle möglichen Kombinationen aus Buchstaben, Ziffern und Sonderzeichen probiert, bis das richtige Kennwort gefunden wurde. Die Dauer bis zum Erfolg steigt mit jedem zusätzlichen Zeichen im Kennwort exponentiell an. Je länger ein Kennwort ist, umso unwahrscheinlicher ist es, dass es mit dieser Methode geknackt wird. Bei einem Offline-Brute-Force-Angriff hat der Angreifer bereits Zugriff auf den verschlüsselten Datensatz, der das Passwort enthält, das er entschlüsseln möchte. Dies kann beispielsweise eine gestohlene Datei mit Passworthashes sein. Bei einer Online-Brute-Force-Attacke muss sich der Angreifer mit dem Dienst verbinden, um seine Anmeldeversuche durchzuführen, was normalerweise bedeutet, dass er sich den Beschränkungen des Dienstes unterwerfen muss, wie z.B. Rate-Limitierungen oder Captchas, um zu verhindern, dass zu viele Anmeldeversuche in kurzer Zeit erfolgen.
• Kennwörter aus einer Datenbank: Im Internet kursieren Datenbanken mit Kennwörtern, die bei früheren Cyber-Angriffen erbeutet wurden. Nachdem ein Datenleak bei einem Dienst bekannt wird, sollte man umgehend sein Kennwort dort ändern.
• Wörterbuch-Angriff: Hier werden gängige Wörter, Wort-Kombinationen und leichte Abwandlungen ausprobiert.
• Phishing: Diese Methoden sind schon ausgefeilter. Meistens werden bei diesem Angriff E-Mails verschickt, die vorgeben, von Ihrer Bank, einem Zahlungsdienstleister oder Online-Shop zu sein. Meistens wird man auf eine gefälschte und täuschend echt aussehende Internetseite weitergeleitet, auf der man sich anmelden soll. Gibt man auf dieser gefälschten Seite dann seinen Benutzernamen und Kennwort ein, hat man die Zugangsdaten den Angreifern preisgegeben. Der beste Schutz vor einem solchen Angriff ist eine gesunde Portion Misstrauen gegenüber E-Mails und Anrufen, in denen Sie um die Eingabe von Zugangsdaten, TANs, etc. gebeten werden. Aber es gibt auch technische Maßnahmen, wie man sich vor solchen Angriffen schützen kann.
• Social Engineering: Kennwörter, die aus persönlichen Daten wie Namen, Geburtsdatum, Name des Haustieres etc. bestehen, werden immer noch sehr häufig verwendet. Schließlich kann man sich diese Daten am leichtesten merken. Diese Daten kennen aber nicht nur Sie selbst. Spätestens, wenn Sie solche Daten auf einem Social-Media-Kanal preisgeben, haben Angreifer etwas, womit sie arbeiten können.

Viele Menschen glauben, wenn sie ein Kennwort verfremden, indem sie beispielsweise Buchstaben durch ähnlich aussehende Ziffern oder Sonderzeichen (o zu 0, S zu $, E zu 3) austauschen, wären sie auf der sicheren Seite. Leider liegen sie falsch, denn diese Verfremdungen sind natürlich auch Cyber-Kriminellen geläufig und werden bei ihren Angriffen auch angewandt.

Tipps für ein gutes Passwort

Wir haben bisher gelernt, dass ein starkes Kennwort sich dadurch auszeichnet, dass es schwer zu erraten oder zu ermitteln ist. Es muss also komplex sein. Die Komplexität wird erreicht, indem das Kennwort aus möglichst vielen und völlig zufällig aus verschiedenen Zeichenarten besteht. Diese Tipps haben wir für Sie:

• Die Kennwortlänge sollte mindestens 14 Zeichen betragen
• Verwenden Sie Großbuchstaben, Kleinbuchstaben, Ziffern und Sonderzeichen
• Umlaute (ä, ö, ü, ß) und manche anderen Sonderzeichen können allerdings zum Problem werden, wenn Sie mal an einer nichtdeutschen Tastatur Ihr Kennwort eingeben müssen
• Folgende Sonderzeichen sind meistens problemlos verwendbar: +-*\/!$%&()=?#@_,;.:
• Idealerweise verwenden Sie für jeden Account ein eigenes Kennwort
• Am wichtigsten ist, dass das Kennwort absolut zufällig gebildet wird. Am besten nutzt man einen Passwortgenerator für diesen Zweck. Ein Passwortgenerator ist beispielsweise in KeePass enthalten, auf das wir gleich noch etwas näher eingehen werden.
• Nicht geeignet sind Namen von Familienmitgliedern, des Haustiers, des Lieblingsstars, etc.
• Verwenden Sie keine Tastaturmuster wie "qwertz" oder "abcd1234"
• Einem simplen Kennwort einfach eine Zahl oder Sonderzeichen am Anfang oder Ende anzuhängen ist ebenfalls nicht ratsam

Eine andere Strategie um sichere Kennwörter zu erhalten kann das sogenannte Diceware-Verfahren sein. Hierfür benötigt man einen normalen Würfel mit sechs Seiten.

Nun würfelt man fünf mal, notiert sich die Zahlenkombination und sucht in einer Diceware-Liste (hier ein Beispiel) anhand der fünfstelligen Zahlenkombination nach dem entsprechenden Wort. Dies wiederholt man, bis man ein Kennwort der gewünschten Länge erhält. Zwischen den einzelnen Wörtern kann man noch ein beliebiges Zeichen setzen.

Kleiner Exkurs: Komplexität berechnen (Entropie)

Man kann die Stärke eines Kennwortes auch berechnen. Die Entropie eines Kennworts ist ein Maß für die Stärke und wird meist in Bits angegeben. Die Entropie alleine reicht nicht aus, um die Sicherheit eines Kennworts zu bestimmen. Aber sie gibt einen guten Anhaltspunkt dafür, wie schwer es ist, das Kennwort zu erraten oder per Brute-Force berechnen zu lassen.

Im Allgemeinen wird eine Entropie von mindestens 60 Bits als relativ sicher angesehen. Höhere Werte zu erzielen kann aber auch nicht schaden.

Das Dilemma - Wie soll ich mir das alles merken?

Was ein komplexes und starkes Kennwort ausmacht, wissen wir also. Entscheidend für die Sicherheit ist aber auch, dass man für jeden Online-Dienst ein individuelles Kennwort vergibt. Da drängt sich schnell die Frage auf, wie man sich denn all diese komplexen Kennwörter merken soll. Es ist doch schon schwierig genug, sich ein einziges einzuprägen. Was kann man also tun? Immer das selbe Kennwort mit leichten Abwandlungen zu verwenden, ist eine schlechte Idee.

Umgang mit Sicherheitsfragen

Manche Online-Dienste zwingen die Benutzer zur Angabe einer Sicherheitsfrage und der dazu gehörigen Antwort. Beispielsweise wird einem diese Sicherheitsfrage dann gestellt, wenn man seine Zugangsdaten zu dem Online-Dienst vergessen hat und man sein Kennwort zurücksetzen möchte. Was eigentlich einen zusätzlichen Sicherheitsaspekt darstellen soll, stellt häufig allerdings eine Schwachstelle in der Sicherheit dar. In den meisten Fällen muss man sich entscheiden zwischen "Wie war der Mädchenname Ihrer Mutter?", "Wo sind Sie geboren?" oder "In welcher Straße sind Sie aufgewachsen?". Die Antworten auf diese Fragen wissen nicht nur Sie selber und lassen sich leicht von Angreifern herausfinden. In der heutigen Zeit haben Sicherheitsfragen eigentlich ausgedient. Genauso wie Kennwörter können Sie bei einer Datenpanne gestohlen werden und sind zu leicht zu recherchieren.

Wenn Sie um die Angabe einer Sicherheitsfrage nicht herumkommen, überlegen Sie sich am besten eine Antwort, die mit der Sicherheitsfrage gar nichts zu tun hat. Beispielsweise könnten Sie auf die Frage "In welcher Straße sind Sie aufgewachsen?" mit "Gummibärchen" antworten.

Sollte man das Kennwort häufig wechseln?

Am 01. Februar ist jedes Jahr der "Ändere-dein-Passwort-Tag", an dem dazu aufgerufen wird, seine Kennwörter zu ändern. Tatsächlich ist das anlasslose häufige Ändern eines Kennworts eher ein Sicherheitsrisiko, da man dazu neigt, Muster zu verwenden, nur kleine Variationen eines vorherigen Passworts erstellt oder die Kennwörter weniger komplex werden. Wenn man bereits ein starkes Kennwort verwendet, ist eine Änderung des Kennworts nur notwendig, wenn es z.B. einen Hinweis darauf gibt, dass es in die Hände von unbefugten Dritten gelangt ist, oder falls Ihr Gerät mit Schadprogrammen infiziert wurde.

Zwei-Faktor-Authentifizierung (2FA)

Zwei-Faktor-Authentifizierungen stellen eine zusätzliche Absicherung eines Online-Accounts dar. Um sich bei einem Dienst anzumelden benötigt man nicht nur seinen Benutzernamen und Kennwort, sondern zusätzlich noch einen sogenannten zweiten Faktor. Zwei-Faktor-Systeme können auf verschiedene Arten umgesetzt sein, je nach Anbieter gibt es Unterschiede. Beispielsweise kann beim Anmeldeversuch eine SMS mit einem einmaligen Bestätigungscode an ihr Smartphone geschickt werden. Der zweite Faktor kann aber auch eine Chipkarte, TAN-Generator, USB-Token, oder ein One-Time-Password (OTP) Generator sein.

Die meisten Online-Dienste bieten mittlerweile Zwei-Faktor Authentifizierungen an. Es lohnt sich, in den Anmelde- oder Sicherheitseinstellungen des Dienstes nachzusehen.

Der Nachteil ist, dass man den Zugang zu seinem Online-Account verliert, sollte der zweite Faktor verloren oder kaputt gehen. Hier kann man allerdings vorbeugen, wenn man mehrere (verschiedene) zweite Faktoren für einen Dienst hinterlegt.

Online-Accounts, die besonders sensible persönliche Daten beinhalten, sollten Sie sicherheitshalber mit einem zweiten Faktor absichern. In Kombination mit einem starken Kennwort sind Ihre Online-Accounts dann sehr gut gesichert.

Zufälliges Kennwort erzeugen

Wortliste nach dem Diceware-Verfahren erzeugen:

Produktempfehlungen