Passwort-Kung-Fu

Wege zur digitalen Selbstverteidigung

Montagmorgen, 7:14 Uhr, noch vor dem ersten Kaffee: Ein Kunde ruft an. Sein Malerbetrieb verschickt seit dem Wochenende Spam an den gesamten Kundenverteiler. Das Passwort: Urlaub2019. Einmal vergeben, nie geändert, überall genutzt – E-Mail, Warenwirtschaft, Firmenseite.

Solche Situationen lassen sich vermeiden, wenn man um die Mindestanforderungen für Passwörter weiß. Deshalb hier ein kurzer Abriss über sichere Passwörter – damit Sie von reaktiv auf proaktiv umschalten und ich in Ruhe meinen Kaffee trinken kann.

Die Grundstellung – Passworttypen

Es hält sich hartnäckig: der Mythos, ein Passwort sei nur sicher, wenn es möglichst kompliziert aussieht. Am liebsten mit Großbuchstaben mittendrin, ein paar Zahlen und einem Sonderzeichen, das aussieht, als wäre die Katze über die Tastatur gelaufen. Heraus kommt dann so etwas wie Stuttg4rt!2022. Wirkt sicher, ist es aber nicht. Es folgt einem Muster, das Angreifer-Tools längst kennen.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) räumt mit diesem Irrglauben auf: Nicht Kompliziertheit macht ein Passwort sicher, sondern die Kombination aus Länge und Vielfalt der verwendeten Zeichen. Ein Passwort kann kurz und komplex sein oder lang und einfach strukturiert. Beide Varianten gelten als gleich sicher, solange bestimmte Mindeststandards eingehalten werden.

Zur Einordnung: Mit “Zeichenarten” sind die vier möglichen Kategorien gemeint, aus denen ein Passwort bestehen kann: Großbuchstaben, Kleinbuchstaben, Ziffern und Sonderzeichen. Je mehr Sie davon mischen, desto schwerer ist es zu erraten – aber auch schwerer zu merken.

Zwei Beispiele

• sA$7bPz2 – kurz und komplex, mit allen vier Zeichenarten. Sicher, aber kaum im Kopf zu behalten.
• blauer_Fuchs_liest_am_Seeufer – lang, aber nur mit zwei Zeichenarten (Buchstaben und Unterstriche). Trotzdem ein harter Brocken für automatisierte Angriffe, weil die Länge die Rechenzeit explodieren lässt.

Faustregel

Je länger ein Passwort, desto besser – solange Sie es sich noch merken können. Vermeiden Sie Klassiker wie Namen, Geburtstage oder Tastaturmuster. 1234abcd steht auf jeder Passwort-Blacklist. Und nein, Sommer2021! wird im Herbst nicht automatisch sicherer.

Was Sie konkret tun können

1. Nutzen Sie entweder 8 bis 12 Zeichen mit allen vier Zeichenarten, oder 20 bis 25 Zeichen mit nur zwei – je nachdem, was Sie sich besser merken können.
2. Verwenden Sie jedes Passwort nur einmal. Wer ein Passwort für mehrere Accounts recycelt, riskiert bei einem Leck gleich den kompletten digitalen Hausstand.
3. Keine Kompromisse bei den Punkten 1 und 2. Ein Passwort-Manager hilft.

Die Kata – Passwörter merken

Das Problem ist selten die Theorie, sondern das Erinnern. Der Mensch kann sich im Schnitt sieben Dinge gleichzeitig merken. Davon braucht er allerdings schon fünf für Geburtstage, Einkaufsliste und Haustürschlüssel. Für Passwörter bleibt da wenig Kapazität.

Zum Glück gibt es Tricks. Eine bewährte Methode: Denken Sie sich einen Satz aus und nehmen von jedem Wort den ersten Buchstaben.

• Aus “Morgens trinke ich Kaffee mit meiner Kollegin Frau Maier” wird: MtiKmKFM
• Wenn Sie möchten, ersetzen Sie das “mit” durch “+”, fertig: Mti+KFM.

Oder Sie kombinieren zwei unsinnige Wörter, zum Beispiel “Tisch_Himmel”, und hängen Ihr altes Passwort dahinter. So steigen Sie Schritt für Schritt um, bis alle Konten den neuen Standard nutzen.

Bekannte Zitate, Liedzeilen oder Sprüche sind tabu. Angreifer nutzen Wörterbücher mit genau solchen Phrasen. Ihr eigenes Hirn ist die bessere Verschlüsselung. Die Methode funktioniert also nur, wenn Sie den Satz selbst erfunden haben.

Die Kombination – Passwörter mit System

Die Merksatz-Methode ist hervorragend für drei bis fünf wirklich wichtige Zugänge. Aber realistisch: Sie haben nicht fünf Accounts, Sie haben fünfzig. Vom Newsletter-Anbieter bis zum Finanzamtsportal. Sich für jeden einzelnen einen eigenen Satz auszudenken, ist keine Sicherheitsstrategie, das ist Stack Overflow mit Ansage.

Die Lösung: ein Basis-Passwort, das Sie sich einmal gut einprägen, kombiniert mit einer dienstspezifischen Erweiterung, die Sie nach einem festen, aber nicht ganz offensichtlichen Muster bilden. So geht’s:

1. Basispasswort: Nehmen Sie Ihren bewährten Merksatz von vorhin, zum Beispiel Mti+KFM als Grundgerüst.
2. Servicemuster: Denken Sie sich ein System aus, nachdem Sie verschiedene Dienste im Passwort codieren. Statt einfach “Wikipedia” oder “WP”, nehmen Sie beispielsweise jeweils den dritten Buchstaben von vorn und hinten: kd
3. Verschmelzung: Diesen zweistelligen Code fügen Sie nicht ans Ende, sondern mitten ins Basispasswort ein, zum Beispiel an jeweils zweiter Stelle vorne und hinten: Mkti+KFdM

Position und Regel bleiben geheim und im Kopf. Die Regel “dritter und drittletzter Buchstabe”, eingeschoben nach erstem und vor letztem Buchstabe merken Sie sich einmal – nicht das Passwort selbst für jeden Dienst einzeln.

Warum nicht einfach den Dienstnamen komplett anhängen?

Weil das BSI genau davor warnt: Erkennbare Muster wie Passwort_DB sind für Angreifer, die bereits ein Passwort aus einem Leak kennen, ein gefundenes Puzzleteil. Ist ein Account kompromittiert, testen automatisierte Tools Variationen mit anderen Dienstkennungen durch. Je unauffälliger und unlogischer Ihre Einschub-Regel ist, desto besser. “Anfangsbuchstaben rückwärts plus Länge des Firmennamens geteilt durch zwei, aufgerundet” klingt kompliziert, ist aber für Sie nach einmal Einprägen trivial, für einen Algorithmus jedoch kein erkennbares Standardmuster.

Der Haken

Ein System bleibt ein System. Wenn jemand zwei oder drei Ihrer Passwörter in die Hände bekommt (zum Beispiel aus zwei verschiedenen Leaks), lässt sich mit etwas Aufwand die Logik dahinter erahnen. Das Risiko ist geringer als bei einem Passwort für alles, aber nicht null. Für Ihre wirklich kritischen Accounts – E-Mail, Online-Banking, Cloud-Speicher – sollten Sie deshalb trotzdem auf komplett individuelle, im Zweifel durch einen Passwort-Manager verwaltete Kennwörter zurückgreifen.

Das System mit Basis-Passwort und Variante ist der pragmatische Mittelweg für die 90 Accounts, bei denen ein Leak Sie nicht in den Ruin treibt, aber nerven würde. Für die Kronjuwelen muss dennoch was Einzigartiges her.

Sind Passwörter sicher? Und wenn ja, ab wann?

Der Malerbetrieb hätte sich den Ärger mit Urlaub2019 sparen können – nicht durch ein komplizierteres Passwort, sondern durch ein individuelles. Ein Passwort pro Dienst, lang oder komplex, nie zweimal verwendet: Das ist der gesamte Unterschied zwischen einem entspannten Montag und einem Anruf um 7:14 Uhr.