FernFH WissBlog

Schlagwort: Passwortmanager

  • Masterpasswort – sicher, geheim und gut zu merken: geht das?

    Masterpasswort – sicher, geheim und gut zu merken: geht das?

    Mit Hilfe von Passwortmanagern können viele unterschiedliche Zugangsdaten und Passwörter sicher verwahrt und verwaltet werden.

    Dafür ist es nötig, ein sicheres Masterpasswort zu haben. Dieses soll schwer knackbar und zusätzlich auch gut zu merken sein. Natürlich gilt dies für jedes selbst zu merkende Passwort und nicht nur für ein Masterpasswort, da beispielsweise beim PC-Login ein Passwortmanager nur schwierig eingesetzt werden kann.

    Das alte und schwierige Passwort

    Bisher galten Passwörter bestehend aus einer Kombination von Sonderzeichen, Groß- und Kleinbuchstaben, sowie Ziffern als Maß der Dinge. Auch Passwörter von mindestens 8 Zeichen wurden, bzw. werden teilweise immer noch empfohlen. Ein Beispiel dafür ist das Passwort „f9D22+P#“.

    Leicht zu merken ist ein solches Passwort allerdings nicht. Hinzu kommt, dass es einem Computersystem egal ist, wie unzusammenhängend der Aufbau des Passworts ist. Um ein Passwort zu knacken, werden einfach alle Möglichkeiten durchprobiert und in der Regel gibt es damit nach durchschnittlich 50 % der möglichen Kombinationen einen Treffer.

    Das leicht zu merkende und sichere Passwort

    Wie kann nun ein leicht zu merkendes Passwort erstellt werden, welches sogar deutlich komplexer ist als die oben genannte Kombination aus Groß- und Kleinschreibung, sowie Sonderzeichen und Ziffern?

    Ganz einfach: wir nehmen etwas, auf dessen „Speicherung“ unser Gehirn trainiert ist. Wörter aus dem Wörterbuch! Bereits durch vier zufällig gewählte Wörter aus einem deutschsprachigen Wörterbuch erhalten wir eine höhere Sicherheit als mit 8 beliebigen Zeichen. Beispielsweise durch das zufällige Passwort: „Dachs faul logisch Gerät“.

    Sogar, wenn ein angreifender Computer weiß, dass für das Passwort Wörter aus dem Wörterbuch genutzt wurden, muss er bei einem Wortschatz von 100.000 Wörtern 50 % der möglichen 100.000.000.000.000.000.000 (einhundert Trillionen) Kombinationen durchprobieren, um das genutzte Passwort zu finden (für ganz Interessierte: die Berechnungen dazu findet ihr am Ende der Seite). Das ist viel und dauert auch sehr lange 😉

    Probiert es einfach aus! Es ist sehr leicht zu merken und jedes weitere Wort des Passworts erhöht die Sicherheit um das 100.000-fache!

    Am Schluss noch ein Tipp: viele Systeme (beispielsweise der PC-Login) fordern immer noch eine Kombination aus Buchstaben, Sonderzeichen und Ziffern und lassen daher die Wörterbuch-Passwörter nicht zu. Diese Hürde kann ganz einfach überwunden werden, indem am Ende des Passworts eine Ziffer und ein Sonderzeichen gestellt werden. Da diese keine wirkliche Relevanz für die genannte Passwortsicherheit haben, können hier auch Zeichen genutzt werden, die schnell zu tippen sind. Das oben genannte Passwort könnte damit dann einfach „Dachs faul logisch Gerät 9+“ lauten.

    Dies ist das Ende meiner Serie zum Thema Passwortsicherheit. Wenn ihr Wünsche und Vorschläge zu weiteren Sicherheitsfragen aus der Alltagspraxis habt, dann würde ich mich über eure Anregungen in den Kommentaren sehr freuen 🙂

    Und wie wird die Komplexität und Sicherheit der Passwörter nun berechnet?

    Beispielsweise ein Passwort „f9D22+P#“ mit 8 Zeichen und Erfüllung aller oben genannten Kriterien hat somit folgende Komplexität:

    • 26 Großbuchstaben +
    • 10 Ziffern +
    • 36 Sonderzeichen (alle Sonderzeichen der deutschen Tastatur)
    • = 98 mögliche Zeichen pro Stelle.
    • Bei 8 Zeichen sind das 98^8 mögliche Passwortkombinationen.

    Ein Hochleistungs-PC, welcher 2.148.000.000 Passwörter in der Sekunde ausprobieren kann, benötigt somit durchschnittlich ca. 23 Tage um das Passwort herauszufinden (50% der Möglichkeiten).

    Bei der Nutzung von vier zufälligen Wörtern aus dem Wörterbuch (kein Satz, sondern tatsächlich zufällig gewählte Wörter wie beispielsweise „Dachs faul logisch Gerät“), ergibt sich bei Nutzung der 100.000 unterschiedlichen Wörter des Österreichischen Wörterbuchs (AF20) folgende Komplexität:

    • 100.000 mögliche Wörter pro „Stelle“ (ein Wort ist somit eine Stelle).
    • Bei 4 Wörtern sind das 100.000^4 mögliche Passortkombinationen.

    Ein Hochleistungs-PC (der selbe PC wie im ersten Beispiel), welcher 2.148.000.000 Passwörter in der Sekunde ausprobieren kann, benötigt somit durchschnittlich ca. 738 JAHRE um das Passwort herauszufinden (50% der Möglichkeiten).

  • Passwortmanager

    Passwortmanager

    Im Blogbeitrag „Wohin mit den vielen Passwörtern?“ wurde die Möglichkeit von Passwortmanagern aufgezeigt, um unsere vielen digitalen Zugangsdaten zu verwalten.

    Wie funktioniert nun eigentlich ein Passwortmanager und welche Arten von Programmen gibt es?

    Die grundlegende Idee ist, dabei mehrere vertrauliche Datensätze, wie beispielsweise Passwörter, Zugangsdaten und Kreditkartendaten, abzulegen und durch ein einzelnes Passwort zu schützen. Dieses zentrale Passwort soll natürlich möglichst sicher sein und wird als Masterpasswort bezeichnet. Bei den Passwortmanagern wird zwischen Offline- und Online-Lösungen unterschieden.

    Online- oder Offline-Version?

    Eine Offline-Version greift auf eine Tresordatei zu. Diese Datei beinhaltet alle geheimen Einträge und ist verschlüsselt. Das Masterpasswort ist hierbei nötig, um die Entschlüsselung und damit den Zugriff auf die Datei zu ermöglichen.

    Probleme bei Offline-Varianten sind die Verfügbarkeit und der Transport der Tresordatei. Geht die Datei verloren oder ist sie aufgrund eines Speicherfehlers defekt, dann ist auch der Tresor mit allen darin befindlichen Daten verloren. Der Vorteil dieser Varianten ist gleichzeitig die nicht Online-Verfügbarkeit. Die Datei kann somit nur schwer entwendet oder angegriffen werden. Ein Beispiel für einen Offline-Passwortmanager ist das weit verbreitete Programm KeePass.

    Bei Online-Passwortmanagern wird der Tresor auf dem Server eines Cloudanbieters gespeichert. Das Masterpasswort wird für den Online-Login verwendet. Zusätzlich werden die Daten auch hier verschlüsselt, um unberechtigte Zugriffe zu verhindern. Dies geschieht meist durch einen zusätzlichen Sicherheitsschlüssel oder aber auch das Masterpasswort selbst.

    Ein Vorteil dabei ist, dass die Daten auf mehreren Geräten zugänglich gemacht werden können, ohne eine Datei austauschen zu müssen. Auch können einzelne Datensätze meist für andere Tresore freigegeben werden, um auch gemeinsame Zugänge zu nutzen. Der Nachteil ist hier ebenfalls der genannte Vorteil der Online-Verfügbarkeit. Hierdurch könnten Sicherheitslücken in Authentizität und Verschlüsselung zur Kompromittierung des Tresors führen und daher liegt deren Sicherheit im besonderen Fokus der Anbieter. So wird beispielsweise der zusätzliche Schlüssel meist dezentral am Endgerät abgelegt und dort durch das Masterpasswort gesichert. Die Daten sind somit auch bei Kompromittierung des Servers ohne den User-Schlüssel nicht nutzbar. Auch handelt es sich dabei meist um kostenpflichtige Angebote. Beispiele für ebenfalls weit verbreitete Online-Passwortmanager sind 1password und Dashlane.

    Wie ein sicheres und gleichzeitig gut zu merkendes Masterpasswort erstellt werden kann, lesen Sie in der Fortsetzung.

  • Wohin mit den vielen Passwörtern?

    Wohin mit den vielen Passwörtern?

    Heutzutage kommt kaum jemand daran vorbei mehrere digitale Zugänge zu haben. Sei es Mail, der eigene PC, Social-Media-Profile, Smartphones, Onlineshops, Online-Zeitungen, Lernplattformen 😉 und vieles mehr. Für jeden Zugang wird dabei ein Username, eine E-Mailadresse aber natürlich auch ein Passwort benötigt.

    Aber wie kann ich mir die vielen Zugänge und Passwörter überhaupt merken?

    Jeder entwickelt sein eigenes System und es kursieren auch viele, mal bessere und mal schlechtere Tipps im Internet, im Bekanntenkreis, der Firma, durch IT-Spezialisten, usw.

    Die einfachste Lösung ist natürlich überall die selben Zugangsdaten zu verwenden. Aber ist das dann sicher? Nein, ist es nicht. Denn sobald einer der vielen Anbieter das Passwort verliert, sind auf einmal alle Zugangsdaten aller anderen genutzten Dienste auch bekannt. Wenn beispielsweise einer der Onlineshops, in denen ich registriert bin, eine Sicherheitslücke hat und die darin gespeicherten Passwörter verliert, können sich potentielle Angreifer*innen auch in meinem Mailaccount und alle weiteren Zugänge einloggen. Rückschlüsse auf den Mailaccount lassen sich sehr leicht finden und gerade dieser Zugang ist einer der sensibelsten.

    Um dies zu vermeiden wird meistens empfohlen für jeden Account ein anderes Passwort zu verwenden. Hier gibt es viele Anleitungen, wie mit Eselsbrücken ein variabler Teil des Passworts getauscht wird und ein Teil immer gleich bleibt. Auch das ist nicht optimal, da viele dieser Eselsbrücken reproduziert werden können, und der fixe Passwortanteil zumindest schnell bekannt oder leicht herzuleiten ist. Auch wird es ab hier schon schwierig, sich Passwort und Eselsbrücken zu merken.

    Ein einzelnes Passwort wäre einfacher.

    Wenn ein Passwort verloren wird, ist es sehr aufwändig alle zu ändern. Manche Services verlangen dies ohnehin regelmäßig. Passwörter dürfen dann nicht ähnlich sein, und damit funktionieren Eselsbrücken meist nicht mehr.

    Die Lösung sind Passwortmanager.

    Die beste Möglichkeit wäre also ein System mit nur einem Passwort, welches ich mir merken muss. Jedoch mit individuellen Passwörtern je Dienst, die ich mir dann nicht mehr merken muss. Diese sollen leicht zu ändern sein, voneinander unabhängig und ohne Eselsbrücken erstellt werden. Aber wie funktioniert das?

    Die Lösung sind Passwortmanager. Dabei handelt es sich um Programme, mit denen beliebig viele Zugänge gespeichert werden können. Meist übernehmen diese dann auch gleich automatisch den Login in der jeweils betreffenden Anwendung oder Webseite und sorgen für den Austausch der Passwörter bzw. generieren diese in der gewünschten Komplexität. Gemerkt muss dabei lediglich ein Passwort werden: das mit dem der Passwortmanager selbst geschützt ist. Natürlich muss gerade dieses Passwort dann umso besser geschützt werden und sicher sein. Dafür gibt es inzwischen sehr gute Möglichkeiten.

    Es gibt viele verschiedene solcher Passwortmanager oder -tresore und sie kommen als Online-Version, USB-Stick und auch als lokal installierte Programme vor. Über die Arten der Passwortmanager, ihre Vor- und Nachteile, und wie ein sicheres und leicht zu merkendes Haupt-Passwort erstellt wird, lesen Sie in der Fortsetzung.