Bild: dapdDazu musste Joseph Bonneau allerdings nicht in Rechner einbrechen - er analysierte die sogenannten Hash-Werte der Passwörter. Das ist eine Art Fingerabdruck des Passworts mit dessen Hilfe Computer herausfinden können, ob ein Passwort richtig ist, ohne es im Klartext zu speichern. Die Hash-Werte lassen aber Rückschlüsse auf das Passwort zu.
Bild: dpaIn der Wirtschaft sieht es dagegen schlecht aus: Das weltweit beliebteste Passwort in der internationalen Wirtschaftswelt laut Studie ist das sehr unkreative „password1“, gefolgt von „welcome“, „password01“ und „password2“ - da wird das Passwort zur Einladung für Hacker.
Bild: ReutersDavon abgesehen spiegeln sich aber auch kulturelle Unterschiede in den Passwortgewohnheiten wieder. Die Vorliebe der Chinesen für Zahlen beispielsweise, zeigt sich auch bei den verwendeten Passwörtern. Damit landen die Chinesen im Gesamt-Ranking auf einem guten mittleren Platz weit vor den Briten. Beide müssen sich allerdings den Deutschen geschlagen geben - und unter diesen interessanterweise besonders den über 55-Jährigen. Ihre Passwörter sind besonders sicher. Die Passwörter der unter 25-jährigen seien dagegen nur halb so sicher. Allerdings könnte hier den Deutschen auch eine Eigenart ihrer Sprache helfen: Das Deutsche enthält ungewöhnlich viele lange Worte.
Bild: dpaDer Computerwissenschaftler fand Unterschiede und Gemeinsamkeiten zwischen den Kulturen heraus. Eine große interkulturelle Gemeinsamkeit: die Faulheit der Nutzer. Die Mehrzahl der Passwörter besteht aus gerade einmal sechs Zeichen - egal ob in Peking oder New York. Selbst ein sogenanntes „Skriptkiddie“, das nicht mehr beherrscht als bekannte Hacker-Tools einzusetzen, kann so ein Passwort innerhalb von rund zehn Minuten knacken - zumindest wenn der Computer einen Brute-Force-Angriff nicht durch technische Maßnahmen verhindert. Ein solcher Brute-Force-Angriff probiert automatisch Passwort-Kombinationen nach dem Zufallsprinzip aus - durch die große Anzahl der Versuche wird irgendwann die richtige Kombination dabei sein.
Doch wie kommen Nutzer nun zum einfachen und dennoch sicheren Passwort? Die wichtigste Regel zuerst: Wörter, die so im Lexikon stehen, sind absolut tabu. Weil viele Anmeldesysteme nur eine begrenzte Anzahl von Versuchen erlauben, sind Angreifer von der sogenannten Bruteforce-Methode abgekommen. Dabei werden einfach automatisiert sämtliche möglichen Buchstaben- und Nummerkombinationen durchprobiert. Stattdessen werden Listen mit Standard-Passwörtern abgearbeitet, die meist einfach aus Wörtern aus Lexika stammen.
Foto: ap
Sonderzeichen nutzen
Um sich das eigene Passwort trotzdem merken zu können, kann ein Wort mit Sonderzeichen, eigenwilliger Groß/kleinschreibung oder zusätzlichen Zahlen geschrieben werden. Beispiel: HaUspf@ndbr1ef23. Das "U" wird mitten im Satz groß geschrieben, das "A" wird durch ein "@" ersetzt, das "I" durch eine eins und am Ende des Wortes wird noch eine Nummer angehängt. Noch besser ist allerdings, wenn Sie einzelne Buchstaben mit weniger einfachen Regeln durch Zahlen ersetzen. Beispiel: Jedes "E" durch eine "11" ersetzen. Mögliche Eselsbrücke: Die Elf teilt mit dem "E" den selben Anfangsbuchstaben.
Foto: ap
Trick 17: Satz satt Wort merken
Eine noch elegantere Lösung, mit der sich relativ einfach ein Passwort merken lässt, das nicht einfach zu erraten ist, ist folgende Taktik: Statt eines Wortes merken Sie sich einfach einen Satz. Da es aber natürlich zu lange dauern würde, bei jeder Passworteingabe einen kompletten Satz zu schreiben, wählen Sie das Passwort so, dass es nur aus den Anfangsbuchstaben besteht. Ein Beispiel wäre der Satz: Meinen Rechner mache ich mit einem komplizierten Passwort sicher. Als Passwort wird daraus: MRmimekPs. In den meisten Fällen reichen natürlich kürzere Sätze - mindestens sechs Buchstaben sollten es aber sein. Eine Kombination, die sich anbietet, ist ein kurzer Satz zusammen mit einer Nummernkombination. Der Satz ist als Gedächtnisstütze für den Anfang gedacht. Wenn Sie das Passwort regelmäßig benutzen, werden Sie ihn irgendwann nicht mehr benötigen und geben das Passwort dann deutlich schneller ein.
Foto: dpa
Die Länge ist entscheidend
Auch auf die Länge beim Passwort kommt es an: Mindestens acht Zeichen sollte es betragen, um sich gegen einfache Brutforce-Attacken zu wappnen, bei denen einfach automatisiert sämtliche Zeichenkombinationen durchprobiert werden.
Foto: ap
Sicheres Passwort generieren lassen
Sie sind ein echter Sicherheitsfreak? Dann können Sie sich auf Seiten wie www.sicherespasswort.com auch ein sicheres Passwort in den Stufen "gut" bis "sehr stark" generieren lassen. Bei den sehr starken Passwörtern gibt es quasi keine Tricks mehr für eine Merkhilfe. Bei den anderen Stufen kann es helfen, sich für den Anfang einen dazugehörigen Satz zu merken. Aber Achtung: Wenn das Passwort so kompliziert wird, dass sie es sich aufschreiben müssen, ist der gesamte Sicherheitsgewinn dahin.
Wählen Sie lieber ein Passwort, das gerade so kompliziert ist, dass Sie ohne Merkhilfe auskommen. Wenn Sie trotz allem ein Gedächtnisstütze für ein Passwort benötigen, speichern Sie diese wenigstens verschlüsselt auf Ihrer Festplatte. Empfehlenswert ist beispielsweise das kostenlose TrueCrypt für Windows, Mac OS X und Linux. Doch in diesem Fall ist das Passwort natürlich maximal so sicher, wie das, mit denen die Daten verschlüsselt wurden.
Foto: ap
Bild: apNamen und Daten aus dem persönlichen Umfeld vermeiden
Nichts gegen Ihr Haustier: Aber als Gedächtnisstütze für Ihr Passwort sollte der Name Ihres Hundes oder Ihrer Katze auf keinen Fall herhalten. Auch der Name Ihres Partners, Ihrer Kinder, Ihr Geburtsdatum - oder das von Familienmitgliedern - sind absolute Tabus. Ein gezielter Angreifer, die Sie persönlich kennt, wird Begriffe und Daten aus Ihrem Umfeld als erstes ausprobieren. Leidvoll erfahren musste das Paris Hilton (Foto). Dem amerikanische Hacker, der sich Zugang zu den Daten der Millionen-Erbin verschafft hatte, machte es Hilton nicht schwer. Das Passwort lautete Tinkerbell - so wie ihr Hund.
Absolute No-Gos sind natürlich auch die am häufigsten verwendeten Standard-Passwörter wie "Passwort, "Passwort123", "Harry Potter", "Gandalf", "4711", "0815", "Hund", "Sommer", "test123" und ähnliches. Sehen Sie auch von Tricks ab, wie den eigenen Namen rückwärts zu schreiben oder einfach Vor- und Nachname zu vertauschen. Einer gezielten Attacke halten solche Methoden nicht stand.
Dazu musste Joseph Bonneau allerdings nicht in Rechner einbrechen - er analysierte die sogenannten Hash-Werte der Passwörter. Das ist eine Art Fingerabdruck des Passworts mit dessen Hilfe Computer herausfinden können, ob ein Passwort richtig ist, ohne es im Klartext zu speichern. Die Hash-Werte lassen aber Rückschlüsse auf das Passwort zu.
Als Domenico Amodeo am Wochenende seine E-Mails kontrollierte, staunte er nicht schlecht. Dutzende unzustellbarer Nachrichten fanden sich in seinem Postfach, dabei hatte er gar keine Mails geschickt.
„Ich habe dann mein Passwort geändert“, sagt Amodeo. Als er sich am nächsten Tag wieder anmelden wollte zeigte ihm GMX an, dass in der Zwischenzeit 180 mal erfolglos versucht wurde, sich in das Konto einzuloggen. In einem anderen Fall meldete ein Nutzer via Twitter gar 2832 fehlgeschlagene Loginversuche.
Eigentlich wird die Zahl der Versuche, sich anzumelden von GMX technisch begrenzt. So soll verhindert werden, dass Passwörter ausprobiert und geraten werden bzw. automatisierte Programme zahlreiche Kombinationen durchprobieren.
Doch es ist den Angreifern offensichtlich gelungen, dies zu umgehen. Verschiedene GMX-Kunden berichten der WirtschaftsWoche, dass von ihren Konten Spam versandt wurde. „Seit letztem Freitag häufen sich Anfragen von Nutzern, die beschreiben, dass Spam von Ihren E-Mail-Accounts versendet wird“, bestätigt ein GMX-Sprecher. Wie viele Kunden betroffen sind, konnte das Unternehmen nicht sagen.
Daher hat das Unternehmen zahlreichen Betroffenen eine Nachricht an die hinterlegte alternative E-Mail-Adresse geschickt. „Unsere Sicherheitsexperten haben festgestellt, dass unbefugte Dritte möglicherweise auf Ihren GMX Account zugegriffen haben“, heißt es darin.
Die Kunden werden aufgefordert, ein neues Passwort zu wählen und dabei besonders auf die Sicherheit zu achten. Zudem sollten Betroffene ihre Rechner auf Viren überprüfen, kostenlose Tools gibt es beispielsweise unter botfrei.de.
Merkregeln für sichere Passwörter
Vorsicht
Zugegeben, „Password“, „12345“, „qwert“, „0000“ oder der eigene Name sind leicht zu merken. Trotzdem sollte sich, wer eine dieser Zeichenfolgen als Zugangscode für das Konto, den Computer oder die Kreditkarte gewählt hat, schleunigst Gedanken über sicherere Alternativen machen. Denn viel leichter kann man es Hackern kaum noch machen.
Doch selbst ein schwacher Schutz ist besser als gar keiner. Aktivieren Sie deshalb am Mobiltelefon neben der PIN-Abfrage der SIM-Karte auch den Passwortschutz des Gerätes selbst. So wird nicht nur die SIM, sondern auch das Mobiltelefon für Diebe unbrauchbar. Prüfen Sie zudem, ob die Passwortabfrage in Ihrem heimischen schnurlosen Funknetz (WLAN) aktiv ist. Sonst surfen Fremde kostenlos mit.
Abwechslung
Vermeiden Sie es, identische Passwörter für mehrere Zwecke zu nutzen. Wer im WLAN-Netz eines Cafés den gleichen Zugangscode zur Abfrage der E-Mails verwendet wie daheim für Zugriffe auf das Online-Bankkonto, handelt fahrlässig. Denn die Codes werden über Funk meist unverschlüsselt übertragen. Sicherheitsexperten empfehlen, wenigstens drei unterschiedlich komplexe Schlüssel für unterschiedlich sensible Anwendungen einzusetzen. Wichtig: Wenn die Gefahr besteht, dass ein Passwort bekannt geworden ist oder gar geknackt wurde, tauschen Sie es sofort aus.
Komplexität
Auch bei Passwörtern gilt: „Viel hilft viel“. Je länger und komplexer die Codes sind, desto sicherer sind sie. Je weniger Systematik und Semantik in ihnen steckt, desto besser. Vor allem der Einsatz von Sonderzeichen wie §, &, $ oder @ steigert die Zahl der Passwort‧alternativen enorm. Leider nur sind diese Schlüssel auch schwerer zu merken.
Codes mit Gefühl
Reine Zahlencodes wie Handy-, EC- oder Kreditkarten-PINs geraten im alltäglichen Informationswust allzuleicht in Vergessenheit. Sie lassen sich besser merken, wenn Sie diese mit emotional relevanten Fakten assoziieren – und die voreingestellten Codes der Karten entsprechend umprogrammieren. Vergessen Sie Ihr Geburtsdatum, das recherchieren Datendiebe im Zweifel auch. Wie wäre es aber mit dem Tag, an dem Ihr Lieblingsverein zum letzten Mal Meister wurde, Sie Ihr Diplom gemacht oder die Ausbildung abgeschlossen haben? Darauf kommt keiner – und Sie können es zur Not sogar nachschlagen.
Passwörter mixen
Sicherer als reine Zahlen-PINs sind Kombinationen aus Zahlen und Buchstaben. Sie haben am 31. März 89 geheiratet? Lesen Sie im Wechsel die Buchstaben von hinten, die Zahlen von vorn: „3z1r8ä9m“ ist schwer zu knacken, für Sie aber leicht zu merken. Mischen Sie die letzten vier Zeichen des Geburtsorts der Mutter und des Geburtsdatums des Vaters und lesen sie beides rückwärts. „h1c4i0r1“ errät niemand – Sie müssen sich lediglich die Systematik merken.
Codes verschlüsseln
Merken Sie sich statt vieler Zahlenfolgen nur eine, mit dem Sie alle anderen verschlüsseln. Die können Sie dann sogar im Adressbuch notieren. Wählen Sie ein Wort, bei dem sich in den ersten zehn Buchstaben keiner wiederholt, zum Beispiel „Aktienkurs“, „Herbstwald“ oder „Blumengruß“. Ersetzen Sie die Ziffern Ihrer PIN durch die an der entsprechenden Stelle Ihres persönlichen Schlüsselwortes stehenden Buchstaben. Bei „Herbstwald“ würde aus „4735“ der Code „bwrs“, aus „901628“ das neue „ldhtea“. Für Sie ist der Weg zurück ein Leichtes. Doch wer Ihr Geheimwort nicht kennt, hat kaum Chancen, die ursprüngliche Zahlenfolgen zu rekonstruieren.
Länge hilft
Zumeist sind PINs und Passwörter relativ kurz. Wer – etwa bei der Wahl des Zugangsschlüssels für das WLAN-Funknetz, aber auch beim Start des PCs – die Möglichkeit hat, kann auch statt weniger Zeichen viele Buchstaben verwenden und sich einen Satz mit einem starken persönlichen Bezug merken: „Wedeln_im_Tiefschnee_ist_mein_Traum“ weiß ich sogar im Tiefschlaf. Sie finden sicher Ähnliches.
Kürze auch
Sehr sichere – aber deutlich kürzere – Codes lassen sich mithilfe von Sätzen oder den Titeln Ihrer Lieblingsbücher, -bands oder -hits bilden. Aus den ersten Buchstaben von „Seit 10 Jahren schnorchele ich vor Hawaii“ wird dann „S1JsivH“, aus den jeweils beiden letzten von „Money for nothing“ wird „ngorey“. Auch hier ist nur wichtig, dass Sie sich die Systematik merken. Ihren Lieblingstitel sollten Sie ohnehin kennen.
Sonderzeichen nutzen
Selbst vergleichsweise einfach zu merkende Schlüssel sind schwerer zu knacken, wenn Sie Buchstaben durch Zeichen ersetzen – etwa „T“ durch „+“, „H“ durch „#“, „E“ durch „3“, „I“ durch „!“ oder „S“ durch „$“. Wenn Sie sich den Satz merken können „Meine Tochter heißt Sarah“, dann sollte das auch mit „M+#$“ klappen.
Übung macht den Meister
Nicht jedes Passwort lässt sich an die eigenen Bedürfnisse anpassen. Dann hilft nur noch Büffeln. Wirksam (und nicht nur bei Vokabeln bewährt) ist die Strategie, sich die Codes in wachsenden Abständen selbst abzufragen. Beginnen Sie dabei im Minutenabstand und steigern Sie die Zeiträume in Etappen. Wichtig ist, gerade selten benötigte Codes regelmäßig zu wiederholen. Sonst sind sie im entscheidenden Moment weg.
Wer Mails auch über ein Android-Smartphone abruft, dem rät GMX zudem auch auf seinem Telefon einen Virenscan durchzuführen. Auch hier gibt es sogar kostenlose Anbieter, wie "avast! Mobile Security".
Wie man sich Passwörter merkt
Denn wie in vielen anderen Fällen machen es schwache Passwörter den Angreifern leicht. Nutzer sollten generell Passwörter meiden, die in Lexika oder Wörterbüchern stehen.
Vergleichsweise sichere Passwörter bestehen aus mindestens acht Zeichen und beinhalten Nummern und Sonderzeichen. Zudem sollten für die wichtigsten Accounts (Mail, Online-Banking, Soziale Netzwerke) immer verschiedene Passwörter genutzt werden. Ein einfacher Trick, um sich komplexere Zeichenketten zu merken, besteht darin sie in einen Satz zu zerlegen. Also beispielsweise: „Wie hieß nochmal das verdammte Passwort?“ Als Passwort nimmt man dann die Anfangsbuchstaben – in diesem Fall also „WhndvP?“. Daran kann man dann noch eine Zahl hängen, die man sich leicht merken kann.
