Was Macht ein Starkes Passwort Aus
Die „Stärke“ eines Passworts wird von den meisten als abhängig von der Vielfalt der Zeichentypen in einem Passwort verstanden. Doch während Anmeldeformulare Komplexität als Sicherheit ansehen, sind Angreifer anderer Meinung. Komplexität schützt nicht mehr vor einem modernen Bedrohungsmodell. Was macht starke Passwörter aus? Zuerst müssen wir das tatsächliche Bedrohungsmodell betrachten, dem die meisten Menschen gegenüberstehen.
Passwortkomplexität verfehlt den Punkt
Die „Stärke“ eines Passworts ist oft einfach eine Funktion der Komplexität oder der Zufälligkeit in einem Passwort, gemessen an der Verwendung von Symbolen, Zahlen und Groß- und Kleinbuchstaben. Aber ein paar verschiedene Zeichen zu deinem Passwort hinzuzufügen, erhöht dessen „Stärke“ nicht wirklich, trotz dem, was die irreführende grüne „Stärke“-Leiste neben deinem Passwort andeutet. Komplexität erhöht die Schwierigkeit eines Brute-Force-Angriffs, aber diese Art von Angriff ist selten.
Stattdessen geschieht der Diebstahl von Anmeldedaten in massiven Datendiebstählen oder Leaks aus großen Organisationen. Passwortstärke hilft dir nicht, wenn die Angreifer dein Passwort im Klartext haben.
Verwende Einzigartige Passwörter
Die meisten Menschen sind enorm anfällig für etwas, das „Credential Stuffing“ genannt wird: kompromittierte Anmeldedaten werden auf beliebten Plattformen ausprobiert, um die menschliche Neigung zur Wiederverwendung von Passwörtern auszunutzen. Das ist eine weitaus größere Gefahr als ein „schwaches“ Passwort. Schließlich würde ein „super starkes“, völlig zufälliges Passwort, das auf jeder Plattform wiederverwendet wird, nach einem Leak katastrophal.
Anstatt Passwortstärke als eine einzige Eigenschaft zu betrachten, müssen wir über die Stärke deines Authentifizierungssystems nachdenken. Moderne Passwörter schaffen dieses System und müssen dementsprechend betrachtet werden. Die Verwendung einzigartiger Passwörter ist mit einem Passwortmanager viel einfacher, also fang noch heute mit einem an, wenn du das noch nicht getan hast.
Auch lesen: 10 der besten Passwortmanager für Web, Desktop und Mobil
Länge ist Wichtiger als Komplexität
Jahrelang wurden wir darauf trainiert, Komplexität als den wichtigsten Faktor eines Passworts zu betrachten. Und obwohl wir wissen, dass Brute-Force-Angriffe selten sind, ist Komplexität nicht einmal die beste Verteidigung gegen Brute-Force-Cracking: Länge ist tatsächlich viel wichtiger.
Die Passwortlänge hat eine exponentielle Beziehung zur Knackzeit, sodass moderate Längensteigerungen massive Zunahmen der Knackzeit zur Folge haben können. Komplexität hingegen hat eine linearere Beziehung zur Knackzeit.
Nehmen wir dieses Beispiel: Eine leistungsstarke Knackmaschine kann ein komplex aussehendes Passwort wie *nRyU86) in nur achtzig Minuten knacken. Die Länge um einen einzigen Großbuchstaben zu erhöhen, streckt diese Zeit auf fast sechsunddreißig Stunden, während das Ändern eines Buchstabens in ein Symbol keinen bedeutenden Unterschied in der Knackzeit bietet.
Lass uns die exponentiellen Möglichkeiten der Länge vollständig ausschöpfen. Was wäre mit einem vierwortigen Passwortsatz, der bekannte Wörter aus dem Wörterbuch verwendet und insgesamt sechzehn Zeichen lang ist? Selbst wenn man Angriffe mit Wörterbuch (Angriffe, die eine Datenbank bekannter Wörter nutzen, um Passwörter zu erraten, anstatt zufällig generierte Versuche) berücksichtigt, würde es immer noch neunzig Milliarden Jahre dauern, um das Passwort zu knacken.
Vergiss Komplexität. Die besten Passwörter sind tatsächlich Passwort- sätze. Du könntest dir niemals ein ebenso starkes komplexes Passwort merken. Aber das Gehirn liebt lustige Geschichten und überraschende Bilder. Wenn du eine absurd einprägsame Geschichte für einen zufällig generierten Satz erstellst, wird es dir schwerfallen, sie zu vergessen.
Auch lesen: Machen Sätze Bessere Passwörter?
Wirklich zufällige Passwortsatz-Generierung ist entscheidend. Wörter auszuwählen, die mit dir selbst in Verbindung stehen, wie deinen Geburtsmonat, macht den Passwortsatz einfacher zu erraten. Verwende EFFs Passwortwürfel, um Passwortsätze sicher und geschützt zu generieren.
Aktiviere Alle Systeme zur Zwei-Faktor-Authentifizierung
Alle Systeme haben Leaks. Passwortstärke wird dich nicht retten. Wie kannst du dich also verteidigen? Systeme zur Zwei-Faktor-Authentifizierung (2FA) bieten eine zusätzliche Sicherheitsebene. 2FA fordert zwei Arten von Anmeldedaten an: etwas, das du weißt (d.h. dein Passwort) und etwas, das du hast (d.h. dein Handy). In den meisten 2FA-Systemen werden diese Codes von einem entfernten Server generiert. Der Server sendet den aktiven Code dem Benutzer zur Anmeldezeit.
Leider können Angreifer SMS-Codes mit relativer Leichtigkeit durch SIM-Karten-Klonen abfangen. Um dieses Abhören zu verhindern, generiere Codes auf deinem Mobilgerät mit einer 2FA-App wie Authy, Google Authenticator oder einem Passwortmanager mit 2FA-Unterstützung wie 1Password.
Fazit
Die „Stärke“ eines einzelnen Passworts ist eine Nebelkerze. Ein starkes Authentifizierungssystem ist wichtiger. Leaks und Datendiebstahl geschehen unvermeidlich. Einzigartige Passwörter halten den Schaden begrenzt. Zwei-Faktor-Authentifizierung kann den Schaden gestohlener Anmeldedaten auf null reduzieren.
