Mini-Exkurs: Was ist ein sicheres Passwort?

In einer Dokumentation zum Studien-Fach "Protokolle höherer Schichten" habe ich mich bereits intensiv mit Datenverschlüsselung, Algorithmen und sicheren Passworten beschäftigt.
Wer nicht soviel Zeit und/oder Lust hat, sich die 50 Seiten durchzulesen, dem widme ich diese kurze und knappe Erklärung, was ein sicheres Passwort ist.

Man unterscheidet (grob betrachtet) zwischen 3 Methoden, das Passwort eines Opfers zu ermitteln:


  • Brute Force

    Hierbei probiert der Hacker alle Kombinationen aus, die möglich sind. Diese Methode ist zwar sehr aufwändig, führt aber in letzter Konsequenz zum Ziel, da irgendwann das richtige Passwort gefunden wird.

  • Wörterbuch-Angriff

    Diese Methode basiert auf Listen mit Worten, die in einem Wörterbuch gefunden werden. Dazu gehören alle möglichen Substantive und Verben, aber auch Namen, Filmtitel, Ziffernkombinationen usw.
    Der Erfolg hängt stark von der Einfallslosigkeit des Opfers ab, denn der Angriff funktioniert nur, wenn so einfache Begriffe wie Banane, Hund oder Monitor als Passwort gewählt wurden.

  • Angriff durch persönliche Daten bzw. personalisierte Logindaten

    Ein Opfer macht es dem Angreifer besonders leicht, wenn es als Passwort etwas aus der persönlichen Umgebung nimmt: ein Geburtsdatum, den Namen des Haustieres, einen Spitznamen usw.
    Dass Lois Lane im Film Superman Returns als Passwort "superman" nutzt, ist zwar irgendwie verständlich, aber aus sicherheitsrelevanter Sicht schon mehr als fahrlässig.



Wie wählt man also nun ein Passwort, das den 3 Methoden möglichst lange stand hält?

Die Erklärung ist etwas kompliziert, weshalb ich dafür ein wenig ausholen muss. Aber keine Angst, es ist eigentlich alles ganz einfach.

Nehmen wir zur Veranschaulichung ein Fahrradschloss. Dieses besteht aus 3 Zahlenrädern mit den Ziffern von 0-9. Das bedeutet, dass ein Dieb 3 Ziffern von 0-9 in die richtige Reihenfolge setzen muss, um das Fahrradschloss öffnen zu können.
Man rechnet: 10 hoch 3 = 1000 Möglichkeiten. (000, 001, 002,..., 997, 998, 999)

Braucht er für das Einstellen einer Kombination genau eine Sekunde, hat er spätestens in 1000 Sekunden (knapp 17 Minuten) das Schloss "geknackt", denn dann hat der Fahrrad-Dieb alle möglichen Kombinationen ausprobiert. Eine davon muss ja richtig sein.



Wie kann man dem Dieb seine Arbeit deutlich erschweren?

1. Möglichkeit: Die Anzahl der Zahlenräder erhöhen
Muss der Dieb nicht nur 3 Zahlenräder in die richtige Reihenfolge bringen, sondern 8, erhöht sich die Anzahl der Möglichkeiten dramatisch: 10 hoch 8 = 100.000.000

Gehen wir wieder von einer Sekunde pro Versuch aus, benötigt der Dieb 100 Mio. Sekunden, also etwa mehr als 3 Jahre.
Kein Fahrrad auf dieser Welt ist soviel wert, dass man f¨r den Diebstahl (im Maximum) 3 Jahre investieren will.

2. Möglichkeit: Die Anzahl der möglichen Ziffern erhöhen (Fachsprache: Das Alphabet vergrößern)
Bauen wir uns ein Zahlenschloss, bei dem man nicht nur die Ziffern 0-9, sondern auch noch die Buchstaben von a-z einstellen könnte, würde dem Dieb schnell der Spaß vergehen. Selbst bei "nur" 3 Zahlenrädern ergeben sich 36 hoch 3 = 46656 Möglichkeiten.
46656 Sekunden entsprechen knapp 13 Stunden, also deutlich mehr als die ursprünglichen 17 Minuten.


Und gnauso verhält es sich nun auch bei einem Passwort: Ein Passwort ist sicher(er), wenn
  • das Passwort lang ist (hohe Anzahl an Zahlenrädern)
  • das Alphabet groß ist (hohe Anzahl an möglichen Zeichen: 0-9, a-z, A-Z und Sonderzeichen)

Hierzu muss man allerdings sagen, dass das nur eingeschränkt richtig ist, wenn man alle 3 Angriffs-Methoden berücksichtigt.
Mit einer Länge von 22 Buchstaben und einem Alphabet von 58 Zeichen (a-z, A-Z und 6 Umlaute) wäre Desoxyribonukleinsäure als Passwort zwar rein rechnerisch sicher, aber da dieses Wort garantiert in einem Wörterbuch steht, wird man mit der Methode des Wörterbuch-Angriffs relativ schnell erfolgreich sein.

Auch Himbeerpfötchen, Knutschebärchen oder Honigmäulchen sind zwar lange Worte, aber bei der Benutzung einer Liste, die Kosenamen enthält, wird das Opfer sich wundern, wie schnell sein Passwort ermittelt werden kann.


Was sind die Minimal-Voraussetzungen für ein sicheres Passwort?

Ein Hacker sitzt normalerweise nicht an einem Fahrradschloss, sondern an einem PC. Deshalb kann man auch nicht von 1 Versuch pro 1 Sekunde ausgehen, sondern eher von mehreren Hundertausend oder sogar mehreren Millionen Versuchen pro Sekunde. (Mit der Vernetzung von Computern ist es kein Problem, solche Werte zu erreichen.)

Die in dem obigen Beispiel genannten 100 Mio. Möglichkeiten sind also für heutige Verhältnisse noch zu wenig, wenn man Wert auf Sicherheit legt.
Heutzutage ein Passwort mit weniger als 8 Zeichen zu nutzen, ist leichtsinnig, denn alles darunter ist selbst für nur mäßig talentierte Hacker keine Herausforderung mehr.

Wichtig ist auch, sich beim Alphabet nicht nur auf Kleinbuchstaben zu beschränken. Das Passwort sollte zumindest aus Kleinbuchstaben, Großbuchstaben und Ziffern bestehen, um mit mindestens 62 hoch 8 = 218.340.105.584.896 Möglichkeiten (218 Billionen) dem Angreifer die Stirn bieten zu können.

Aber wie denke ich mir ein merkbares und trotzdem sicheres Passwort aus?

Da man nicht immer eine Passwort-Verwaltung zur Hand hat, muss man sich zumindest ein paar Passworte merken. Denn allein für den Login der Passwort-Verwaltung braucht man ja auch ein Passwort.
Leider schrecken viele Benutzer davor zurück, sich ein sicheres Passwort auszudenken, denn banane oder schatz sind viel leichter zu behalten als Uxd3ff765.

Es gibt aber eine sehr einfach Lösung: Sprichworte bzw. Redewendungen.

Jeder kennt sie, jeder hat sie stets parat:
  • Auch ein blindes Huhn findet mal ein Korn.
  • Besser den Spatz in der Hand, als die Taube auf dem Dach.
  • Wer anderen eine Grube gräbt, fällt selbst hinein.
  • Wie man in den Wald ruft, so schallt es heraus.
Nehmen wir nur die Anfangsbuchstaben
  • AebHfmeK
  • BdSidH,adTadD
  • WaeGg,fsh
  • WmidWr,sseh
ergeben sich schnell kryptische Wortgebilde, die schon sehr nach Passwort aussehen.

Aber VORSICHT: Ich erinnere noch einmal an den Wörterbuch-Angriff.
Auch der ein oder andere findige Hacker wird eine Liste mit Sprichwort-Anfangsbuchstaben erstellt haben. Deshalb müssen wir unser Passwort noch etwas variieren und bspw. ein für uns markantes Datum einfügen, ein Wort des Sprichwortes komplett ausschreiben oder ein anderes (einfaches) Wort "einstreuen":

  • AebH02041970fmeK
  • BdSidHand,adTademD
  • WaePASSWORTGg,fsh
  • Wm1970id1971Wr1972,ss1973eh
Eine solche "Verunstaltung" des Passwortes dürfte es erheblich sicherer machen, denn es gibt ja "unzählige" Möglichkeiten zur Veränderung, die man sich als Benutzer zwar merken kann, aber die ein Hacker unmöglich alle bei seinem Angriff ausprobieren wird, da sie einfach zu zahlreich sind.