Starkes Passwort: so prüfen und erstellen Sie es

Modul 1

Passwörter in 5 Minuten verstehen

Wie ein Angreifer ein Passwort errät

Niemand errät Ihr Passwort durch Nachdenken. Angreifer nutzen Programme, die Milliarden von Möglichkeiten ausprobieren, in einer gut gewählten Reihenfolge:

• zuerst die häufigsten Passwörter: 123456, qwertz, passwort, sonne… Millionen Menschen verwenden dieselben;
• dann den Wörterbuchangriff: alle Wörter der Sprache, Vornamen, Haustiernamen, kombiniert mit Jahreszahlen (Mieze1956) oder mit bekannten „Tricks“ wie @ statt a;
• zuletzt rohe Gewalt (Brute Force): alle Kombinationen, eine nach der anderen. Das gelingt nur bei kurzen Passwörtern.

Auf der Website selbst sind diese Versuche langsam: nach einigen Fehlern wird das Konto gesperrt oder verlangt eine Wartezeit. Die eigentliche Gefahr liegt woanders: im Diebstahl der Datenbank der Website.

Gestohlene Datenbanken und Wiederverwendung: der Dominoeffekt

Eine seriöse Website speichert Ihr Passwort nicht im Klartext. Sie bewahrt einen Fingerabdruck davon auf (auch „Hash“ genannt): eine aus dem Passwort berechnete Zeichenfolge, die sich nicht zurückrechnen lässt. Bei jeder Anmeldung berechnet die Website den Fingerabdruck Ihrer Eingabe neu und vergleicht.

Stehlen Angreifer diese Fingerabdrücke, lassen sie ihre Listen bei sich laufen, ganz ohne Begrenzung. Nutzte die Website einen langsam zu berechnenden Fingerabdruck (gut geschützte Website), kommen sie nur mühsam voran. Bei einem schnellen (schlecht geschützte Website) testet ein leistungsstarker Computer Milliarden Versuche pro Sekunde.

Dann folgt das Credential Stuffing: der Angreifer probiert die dort gefundene E-Mail-Adresse und das Passwort auf anderen Websites aus, bei E-Mail, Onlineshops und Bank. Ein erfundenes Beispiel: die Website des Wandervereins „Belchenfreunde“ wird gehackt. Paul nutzte dort dasselbe Passwort wie für sein E-Mail-Konto. Wenige Tage später liest ein Fremder seine Nachrichten.

Länge und Zufall zuerst

Jedes zusätzliche Zeichen vervielfacht die Zahl der Kombinationen, die ausprobiert werden müssen. Die Länge zählt daher weit mehr als Sonderzeichen. Die üblichen „Tricks“ (Großbuchstabe am Anfang, Jahreszahl und Ausrufezeichen am Ende) kennen die Programme längst: „Sonne2024!“ bleibt ein sehr häufiges Wort.

Eine Passphrase reiht mehrere zufällig gewählte Wörter aneinander, zum Beispiel „laterne-Storch-tanne-4-eule-geige-zitrone“. Sie ist lang, also stark, und ergibt ein kleines Bild, das man sich leicht merkt.

Das entscheidende Wort ist Zufall. Ein Sprichwort, ein Zitat oder ein selbst ausgedachter Satz ist vorhersehbar: die Programme kennen auch Lieder und Redewendungen. Zufall misst man in Bit: jedes Bit verdoppelt die Zahl der nötigen Versuche. Ein Wort aus einer Liste von 1024 bringt 10 Bit; sechs Wörter 60 Bit, dazu einige mehr für den Großbuchstaben und die Ziffer. Zum Vergleich: für einen sehr leistungsstarken Computer sind 8 zufällige Zeichen in einigen Stunden gefunden, 16 Zeichen erst in Millionen Jahren.

Datenlecks und Have I Been Pwned

Von einem Datenleck (englisch „Leak“) spricht man, wenn die Daten einer Website (E-Mail-Adressen, Passwörter, manchmal Postanschriften) gestohlen und dann veröffentlicht oder verkauft werden. Auf diese Weise sind Milliarden von Passwörtern im Umlauf.

Have I Been Pwned („Wurde ich gehackt?“) ist ein anerkannter Dienst, der diese Leaks sammelt. Mit seiner öffentlichen Datenbank „Pwned Passwords“ lässt sich herausfinden, ob ein Passwort darin vorkommt, ohne es preiszugeben: dank der k-Anonymität.

Stellen Sie sich eine Bibliothek vor. Statt dem Bibliothekar den genauen Buchtitel zu nennen, bitten Sie um „alle Karteikarten, deren Signatur mit 5BAA6 beginnt“. Sie erhalten einen Stapel von mehreren hundert Karten und suchen die richtige selbst heraus. Der Bibliothekar erfährt nie, welche Sie gesucht haben.

Genau so arbeitet das Werkzeug: Ihr Browser berechnet den Fingerabdruck des Passworts (für „password“ beginnt er mit 5BAA61E4C9…) und sendet nur dessen erste 5 Zeichen. Der endgültige Vergleich erfolgt auf Ihrem Gerät.

Passwort-Manager und Zwei-Faktor-Authentifizierung

Für jede Website ein anderes Passwort: das kann sich niemand merken. Dafür gibt es den Passwort-Manager, eine Art Tresor. Der Manager Ihres Handys oder Browsers (Apple, Google, Firefox) reicht völlig aus; es gibt auch Programme wie Bitwarden oder KeePass. Er merkt sich alles, füllt die Felder für Sie aus, und Sie merken sich nur noch eine einzige Haupt-Passphrase.

Die Zwei-Faktor-Authentifizierung (oder Anmeldung in zwei Schritten) fügt ein zweites Schloss hinzu: nach dem Passwort verlangt die Website einen Code per SMS oder aus einer App, oder eine Bestätigung auf Ihrem Handy. Selbst wenn ein Angreifer Ihr Passwort kennt, bleibt er draußen.

Schalten Sie sie zuerst für Ihr E-Mail-Konto ein: darüber lassen sich alle anderen Passwörter zurücksetzen. Und geben Sie diesen Code nie weiter, auch nicht an einen „Berater“ am Telefon.

Das WichtigsteEin gutes Passwort ist lang, zufällig und einzigartig. Eine Passphrase im Passwort-Manager und die Zwei-Faktor-Authentifizierung für das E-Mail-Konto: darauf kommt es an.

Wichtige Begriffe

Wörterbuchangriff

Automatisches Ausprobieren häufiger Wörter, Vornamen und bekannter Passwörter samt ihrer üblichen Abwandlungen (Großbuchstabe, Jahreszahl, @ statt a).

Fingerabdruck (Hash)

Aus einem Passwort berechnete Zeichenfolge, die sich nicht zurückrechnen lässt. Websites speichern sie anstelle des Passworts.

Credential Stuffing

Automatisches Wiederverwenden einer auf einer Website gestohlenen E-Mail-Adresse samt Passwort, um in Ihre anderen Konten zu gelangen.

Passphrase

Passwort aus mehreren zufällig gewählten Wörtern: lang, stark und leicht zu merken.

Bit Zufall

Maßeinheit dafür, wie unvorhersehbar ein zufällig erzeugtes Passwort ist. Jedes Bit mehr verdoppelt die Zahl der nötigen Versuche.

Datenleck (Leak)

Diebstahl und Verbreitung der Daten einer Website: E-Mail-Adressen, Passwörter, Kontaktdaten.

k-Anonymität

Verfahren, das ein Passwort mit einer Leak-Datenbank abgleicht und dabei nur ein kleines Stück seines Fingerabdrucks sendet, das Hunderte andere teilen.

Zwei-Faktor-Authentifizierung

Zweite Kontrolle nach dem Passwort (Code per SMS, App oder Bestätigung auf dem Handy), die Angreifer aufhält, selbst wenn sie das Passwort kennen.

Modul 2

Ein Passwort Schritt für Schritt prüfen und erstellen

Werkzeug öffnen

Modul 3

Praxisbeispiele

Überall dasselbe Passwort

Monika verwendet „Mieze1956“, den Namen ihrer Katze und ihr Geburtsjahr, für ihr E-Mail-Konto, ihre Onlineeinkäufe und die Website ihres Strickvereins. Eines Tages meldet der Verein, dass seine Website gehackt wurde.

Statt ihr echtes Passwort einzugeben, testet Monika „Kater1957“, das genauso aufgebaut ist. In unserem Beispiel zeigt das Werkzeug Schwach: zwei Minuten zum Erraten, und weniger als eine Sekunde, wenn die Website schlecht geschützt ist. Sie ändert zuerst das Passwort ihres E-Mail-Kontos in eine Passphrase aus dem Werkzeug, dann das jeder anderen Website, alle verschieden. Sie legt sie im Passwort-Manager ihres Handys ab und schaltet für ihr E-Mail-Konto die Zwei-Faktor-Authentifizierung ein.

Das E-Mail-Postfach des Vereins

Karim, Kassenwart des Vereins „Les Jardins de Clara“, will die E-Mail-Adresse schützen, an die die Mitgliedsanträge gehen. Er behält den Modus Passphrase mit 6 Wörtern auf Deutsch und wählt das Leerzeichen als Trennzeichen. Das Werkzeug schlägt „trommel wolke Giraffe kerze 2 tulpe igel“ vor: etwa 69 Bit Zufall, also Jahrhunderte.

Er klickt auf Oben prüfen: Sehr stark. Er speichert die Passphrase im Passwort-Manager des Vereins und schaltet die Zwei-Faktor-Authentifizierung ein. Nach ein paar Tagen Tippen kann er sie auswendig.

Der WLAN-Schlüssel der Ferienwohnung

Im „Gîte des Trois Épis“, einer Ferienwohnung im Elsass, gilt noch der WLAN-Schlüssel vom Aufkleber unter dem Router. Die Vermieterin möchte einen starken Schlüssel, den ihre Gäste fehlerfrei eintippen können. Sie wählt Zufällige Zeichen, 16 Zeichen, lässt das Kästchen Ohne verwechselbare Zeichen (O/0, l/1) angekreuzt und entfernt das Häkchen bei Sonderzeichen, damit die Eingabe am Handy leichter fällt. Das Werkzeug meldet weiterhin Millionen Jahre.

Damit niemand den Schlüssel tippen muss, macht sie daraus mit dem QR-Code-Generator einen WLAN-QR-Code, der im Eingang hängt.

Häufige Fehler

• Dasselbe Passwort auf mehreren Websites verwenden: ein einziges Leak genügt, um alle Ihre Konten zu öffnen.
• Glauben, ein Sonderzeichen mache ein Passwort stark: „P@ssw0rd!“ steht auf jeder Liste der Angreifer.
• Die „zufällige Passphrase“ selbst erfinden: Sprichwörter, Zitate und Liedtexte sind schnell erraten.
• Das echte Passwort auf einer unbekannten Website eingeben, die einen Test anbietet: nutzen Sie ein Werkzeug, das alles auf Ihrem Gerät berechnet, oder testen Sie ein ähnliches Passwort.
• Das E-Mail-Konto vernachlässigen: darüber lassen sich alle anderen Passwörter zurücksetzen, schützen Sie es daher zuerst.

Zusammengefasst

• Angreifer probieren zuerst häufige Passwörter, dann Wörter aus dem Wörterbuch und ihre üblichen Abwandlungen.
• Länge und Zufall zählen mehr als Sonderzeichen: sechs zufällige Wörter ergeben eine starke, leicht merkbare Passphrase.
• Für jede Website ein anderes Passwort, abgelegt im Passwort-Manager, und die Zwei-Faktor-Authentifizierung für das E-Mail-Konto.
• Das Werkzeug berechnet alles auf Ihrem Gerät; die Leak-Prüfung sendet nur 5 Zeichen des Fingerabdrucks.
• Ein in einem Leak gefundenes Passwort wird überall geändert, zuerst beim E-Mail-Konto.

Testen Sie sich

Ein paar Fragen, um zu prüfen, ob alles klar ist.