Sicherheits-Einmaleins/Passwörter

Inhaltsverzeichnis
  1. Einleitung
  2. Risiko-Bewertung
  3. Passwortmanager
  4. Kriterien der Passwortsicherheit
    1. Komplexität
    2. Passwortlänge
    3. Passwort generieren
    4. Passwort-Satz ausdenken
    5. Diceware – Passwortsatz würfeln
    6. Modifikation
    7. Sonderzeichen
    8. Einmaligkeit
    9. Geheimhaltung
    10. Regelmäßige Änderung?
  5. Tricks und Tipps
  6. Ubuntu-Passwort ändern
  7. Links
    1. Diceware
    2. offizielle Empfehlungen zu sicheren Pass...
    3. andere Artikel zum Thema

./password_strength.png
xkcd.com 🇬🇧 (CC BY-NC 2.5)

Dieser Artikel soll helfen, einen verantwortungsvollen und praktikablen Umgang mit Passwörtern zu finden.

Einleitung

Passwörter sind ein wichtiges Element nahezu jedes Sicherheitssystems. Egal ob für die elektronische Post, für Foren oder für Online-Shopping - ein Passwort sorgt dafür, dass man als derjenige authentisiert wird, der man zu sein vorgibt.

Dumm ist nur, wenn jemand anderer sich des eigenen Passworts bemächtigt. Die Folgen reichen von grobem Unfug (diffamierende Forenbeiträge oder E-Mails im Namen von jemand anderem) über massive finanzielle Schäden (z.B. eBay-Betrug) bis zu Ärger mit Ermittlungsbehörden, wenn jemand den eigenen Computer zur Verbreitung von Spam, Raubkopien oder anderem verbotenen Material (Kinder-Pornographie, radikale Propaganda) missbraucht.

Der Diebstahl als auch das Erraten der eigenen Passwörter muss deshalb um jeden Preis verhindert werden.

Risiko-Bewertung

Steht der heimische PC fest in der abgeschlossenen Wohnung, ist das Augenmerk der sicheren Passwörter hauptsächlich auf die verwendeten Online-Dienste zu richten. Das Risiko durch ein "unsicheres" Login-Passwort am Ubuntu-System ist dagegen recht gering - denn ein Angreifer müsste ja zunächst in die Wohnung eindringen.

Insgesamt ist anzumerken, dass Passwörter für öffentlich zugängliche Systeme nicht der Weisheit letzter Schluss sind: Solange ein Angreifer unbegrenzt Passwörter ausprobieren kann ohne gesperrt zu werden, ist es nur eine Frage der Rechenleistung und der Zeit, bis ein Passwort geknackt ist. Banken beispielsweise sperren deshalb in der Regel nach drei falschen Eingaben den Login - weshalb hier auch kurze Passwörter (oft sind sogar nur wenige Ziffern erlaubt) eine relativ hohe Sicherheit bieten.

Andere Webdienste bieten die Möglichkeit einer Zwei-Faktor-Authentifizierung. Diese bietet ein Vielfaches an Schutz gegenüber einer einfachen Authentifizierung via Passwort.

Achtung!

Wer eigene Dienste über das Internet zugänglich machen will - und sei es "nur" SSH zur Fernwartung - muss noch viele andere Dinge berücksichtigen. Eine Einführung dazu gibt es Sicherheits-Einmaleins/Server.

Passwortmanager

Um es vorweg zu nehmen: Ein sicherer Umgang mit Passwörtern ist ohne Hilfsmittel kaum möglich. Einer der besten Hilfsmittel sind sogenannte "Passwort-Safes". Das sind Programme, die alle Passwörter eines Benutzers verwalten und mit einem Master-Passwort verschlüsselt auf der Festplatte speichern. Nun muss man sich nur noch ein einziges "Master-Passwort" merken, bei dessen Auswahl man natürlich besonders sorgfältig sein sollte. Näheres dazu erfährt man im nächsten Abschnitt. Eine Auswahl an Passwortmanagern findet man im zugehörigen im Wiki-Artikel Passwortmanager.

Kriterien der Passwortsicherheit

Komplexität

Ein Passwort darf auf keinen Fall einfach zu erraten sein. Namen von Verwandten oder Geburtsdaten scheiden deswegen schon mal definitiv aus. Eine typische Buchstabenkombination wie "qwertz" oder "asdfg" ist genauso wenig sicher wie das Anhängen einer Zahl. Hacker benutzen für Wörterbuch-Attacken lange Listen aus allen Sprachen der Welt, inkl. Suaheli, Elfisch oder Klingonisch. Jedes in einem Wörterbuch stehende Wort ist deshalb als Passwort unsicher! Auch das beliebte Ersetzen von Buchstaben durch ähnliche Ziffern (beispielsweise e bzw. E durch die Ziffer 3) ist schon lange kein Hindernis mehr für Passwort-Knacker.

Passwortlänge

Ein sicheres Passwort besteht deswegen aus mindestens 12 Stellen und enthält sowohl Klein- als auch Großbuchstaben, Ziffern und nach Möglichkeit Interpunktions- oder ähnliche Zeichen. Ein sicherer Passwort-Satz ist gewürfelt und enthält mindestens 6 Wörter. Es gilt: (Anzahl der möglichen Passwörter) = (Anzahl der möglichen Zeichen) Passwort-Länge. Die Länge des Passwortes ist also bei (pseudo-)zufällig erzeugten Passwörtern das Wichtigste. (Siehe auch Password strength, Random passwords.) Es gibt diverse Möglichkeiten, solche Passwörter zu erhalten:

Passwort generieren

Eine der besten Arten, ein sicheres Passwort zu erhalten, ist die Generierung eines solchen durch ein geeignetes Werkzeug. Als Beispiel sei hier das Kommandozeilenprogramm pwgen genannt. Für Passwörter mit 12 Zeichen gibt man beispielsweise den folgenden Befehl in einem Terminal ein:

pwgen 12 

Das Kommando zeigt mehr oder weniger einfach aussprechbare (merkbare) Passwörter. Mit der Option --help werden zahlreiche weitere interessante Optionen angezeigt, mit denen man einfachere oder kompliziertere Passwörter erhält (siehe auch diesen Artikel aus dem Linux-Magazin 🇩🇪). Neben pwgen stehen auch noch andere Programme wie z.B. makepasswd aus dem universe-Repository zur Verfügung.

Passwort-Satz ausdenken

Man denkt sich einen Passwort-Satz aus: Dies ist eine einfache Methode, um lange Passwörter zu erzeugen. Man nimmt sich z.B. einen Satz, den man sowieso schon auswendig kann oder in einem Buch gefunden hat. Je unbekannter und länger der Satz ist, desto sicherer ist das Passwort.

Alternativ kann man auch einen erfundenen Merksatz wie "Meine Mutter hat vier Brüder, zwei Schwestern und ein Auto." nehmen und daraus den jeweils ersten Buchstaben verwenden: MMh4B,2Su1A. Dies wäre ein gutes Passwort, wenn es hier nicht gerade als Beispiel öffentlich "verbrannt" worden wäre.

Generell sind ausgedachte Passwort-Sätze nicht zu empfehlen, da sie immer assoziativ sind und weniger Entropie enthalten als gewürfelte.

Diceware – Passwortsatz würfeln

Die beste Methode, an einen guten Passwort-Satz zu kommen, der ausreichend zufällig ist, ist Diceware. Hier lohnt sich nocheinmal ein Blick auf das XKCD Comic oben: »Tr0ub4dor&3« hat 28 Bit Entropie und ist sehr schwer zu merken, während »correct horse battery staple« sehr leicht zu merken ist und 44 Bit Entropie enthält. Außerdem werden keine Sonderzeichen benutzt, was die Kompatibilität erhöht. Einziger Nachteil ist, dass manche Systeme die Passwortlänge einschränken.

Zugrunde liegt eine große Liste mit Wörtern. Die Listen werden für verschiedene Sprachen angeboten, unter anderem auch Englisch und Deutsch. Pro Wort würfelt man 5 Mal mit einem Würfel (selbst würfeln ist wichtig, weil Computer nur Pseudozufallszahlen erzeugen und die Wortliste dann länger sein muss, um die angestrebte Entropie zu erhalten). Sechs Wörter ergeben etwas mehr als 77 Bit Entropie und so ist ein Satz wie »tollen selten mutlos charge untere sonde« ausreichend sicher und ausreichen leicht zu merken.

Die links zu den Wortlisten sind am Ende des Artikels aufgeführt.

Modifikation

Man kann zusätzliche Zeichen beispielsweise in die Mitte des Passworts einfügen. Außerdem kann man ein wenig mit der -Taste spielen: So kann man diese z.B. in einem eingängigen Takt drücken. Diese Methoden kann man besonders gut mit den oben genannten kombinieren.

Sonderzeichen

Umlaute und exotische Sonderzeichen sollten in Passwörtern vermieden werden. Das klingt wie ein Widerspruch zu dem voranstehend Gesagten, hat aber folgenden Hintergrund: Zeichen werden auf einem Rechner in Form von Zahlenwerten gespeichert. Welcher Zahlenwert einem Zeichen zugeordnet ist, bestimmt die Zeichenkodierung, z.B. UTF-8 oder ISO-8859-15. Gerade bei Umlauten unterscheiden sich die Kodierungen. Setzt man von Rechner A aus ein Passwort, das Umlaute enthält, so kann ein Anmeldeversuch von Rechner B aus fehlschlagen, wenn dieser eine andere Zeichenkodierung verwendet. Zudem ist nicht sichergestellt, dass auf der Tastatur eines anderen Rechners die Zeichen überhaupt eingegeben werden können. Groß- und Kleinbuchstaben ohne Umlaute, Ziffern, die gängigen Satzzeichen und +-*/ sollten keine Problem bereiten, sprich, die druckbaren Zeichen des guten, alten ASCII-Codes.

Einmaligkeit

Passwörter sollten nicht für mehrere Zwecke verwendet werden. Die Verwendung desselben Passwortes für mehrere Zwecke sollte unbedingt vermieden werden, um den Schaden beim Diebstahl eines Passwortes gering zu halten. Insbesondere ist hierbei zu beachten, dass Passwörter bei Webanwendungen auf dem betreffenden Server gespeichert werden und dass dessen Sicherheit außerhalb des eigenen Kontrollbereiches liegt. Webforen werden bspw. tagtäglich geknackt, aber auch große Unternehmen sind nicht vollkommen sicher. Werden Passwörter im Klartext und nicht verschlüsselt in einer Datenbank auf dem Server abgespeichert, haben nicht nur Hacker, sondern auch die Administratoren den Zugriff auf die Passwörter. Sollte man diesen Leuten das System-, E-Mail- oder eBay-Passwort anvertrauen?

Geheimhaltung

Niemals sollte man ein Passwort an jemand anderen weitergeben. Und zwar aus Prinzip. Es ist kein "Mangel an Vertrauen", wenn man einen Bekannten bittet, während der Eingabe eines Passwortes kurz wegzuschauen. Ebenso sollte man niemandem ein Passwort geben, um irgendwelche Dinge erledigen zu können. Wenn man bspw. einem Mitbewohner die Benutzung des eigenen Rechners erlauben will, ist es ein leichtes, ihm ein eigenes Benutzerkonto mit einem eigenen Passwort einzurichten.

Ein Passwort darf nicht aufgeschrieben werden. Insbesondere sollte es nie auf einen Klebe-Zettel geschrieben und in der Nähe des Computers angeheftet werden. Das Notieren auf einem Zettel, den man dann in seine Brieftasche steckt, wäre wohl noch akzeptabel. Allerdings sollte man hier vermeiden, den Zweck des Passwortes mit zu notieren. Wenn man dann das Passwort nach wiederholter Verwendung auswendig kann, sollte man den Zettel vernichten. Ausnahmen bestätigen die Regel: Es besteht kein Grund, Passwörter nicht aufzuschreiben. Es hängt davon ab, wer welchen Zugriff auf die Stelle hat, an der das Passwort notiert wurde. Normalerweise ist das die eigene Wohnung.

Regelmäßige Änderung?

Immer wieder wird diskutiert, ob die regelmäßige Änderung eines Passworts sinnvoll ist oder nicht. Für beides gibt es gute Gründe: Für eine regelmäßige Änderung spricht, dass es gar nicht so selten vor kommt, dass öffentlich zugängliche Systeme gehackt und Passwörter gestohlen werden.

Wenn regelmäßiges Wechseln der Passwörter jedoch dazu führt, dass die Passwörter immer einfacher (d. h. schlechter) werden, weil man sie sich sonst nicht merken kann, ist regelmäßiges Wechseln definitiv schädlich.


Diese Kriterien der Passwortsicherheit klingen erst einmal hart und nur schwer einzuhalten, so dass man sich vielleicht gezwungen sieht, Kompromisse einzugehen:

Tricks und Tipps

Man kann für mehrere unwichtige Dinge das gleiche Basis-Passwort verwenden. Dieses kann man dann je nach Verwendungszweck noch um ein kleines Anhängsel, wie z.B. den Namen der Website, ergänzen. Man sollte es mit der Nachlässigkeit allerdings nicht übertreiben und besonders bei Zugangs- und E-Mail-Passwörtern sowie allem, was mit Geld zu tun hat, die obigen Regeln beherzigen. Mit geeigneten Hilfsmitteln ist das aber eine reine Gewohnheitssache.

Ubuntu-Passwort ändern

Wer sein Benutzerpasswort ändern will, kann dies unter GNOME mit Hilfe des Dialogs aus dem Menü "Einstellungen ⟶ Informationen ⟶ Benutzer" tun, unter KDE über "Systemeinstellungen ⟶ Persönliche Informationen ⟶ Passwort ändern" oder auf allen Ubuntu-Systemen über die Kommandozeile durch einfaches Aufrufen des Befehls passwd.

Diceware

offizielle Empfehlungen zu sicheren Passwörtern

andere Artikel zum Thema