Das Passwort alle 90 Tage zu ändern, bringt keinen Mehrwert bei der Sicherheit des Passworts. Dieser Erkenntnis ist nun auch das Bundesamt für Sicherheit in der Informationstechnik gefolgt und passt entsprechende Empfehlungen an. Aber woher kommt die Umkehr und was ist besser als das Passwort regelmäßig zu ändern?
7.700 Accounts wurden analysiert - Ein Passwort in vielen Varianten!
Die eigentlich Absicht besteht darin, dass bei dem Ausdenken eines neuen Passworts die Sicherheit der neuen Geheimphrase steigt. Doch das stimmt nicht - zeigte bereits eine Studie aus dem Jahr 2016. Die ursprünglichen Phrase wie „tarheels#1“ wurden schlichtweg in „tarheels#2“ umgewandelt. Das regelmäßige Ändern von Passwörtern hebelt also den eigentlichen Sinn aus - die Erhöhung der IT-Sicherheit. Wenn also jemand in ein System eingedrungen ist, so benötigt er, auch nach einem Wechsel, nicht lange um das neue Passwort zu erraten. Eigentlich sollte es bei der Änderung kryptischer und vor allem komplett anders aussehen. Die Studie zeigt, was „nicht lange“ konkret bedeutet:
17% der online Accounts wurde in weniger als 5 Versuchen geknackt. Bei den offline Accounts sieht es noch etwas düsterer aus. Hier wurden 41% der Accounts in weniger als 3 Sekunden gebrochen.
Auch bei der Vergabe von Passwörtern im WLAN sollte man vorsichtig sein. Denn dieses Geheimnis wird oft und gerne zwischen Verwandten und Bekannten geteilt. Auch im Nachhinein kann das WLAN Passwort eingeblendet werden.
Wie gelingen Passwörter sicherer?
Die Rede ist aktuell von nur noch einem Passwort. Das bedeutet jedoch nicht, dass dieses eine Passwort nun überall verwendet werden sollte. Nach wie vor wird stark dazu angeraten, für jede App, jede Website, jedes Gewinnspiel ein eigenes Kennwort zu verwenden. Doch anstatt diese Passwörter alle 3 Monate zu ändern, soll die Aufforderung erst nach einem Datendiebstahl oder Verdacht der Kompromittierung erscheinen. Ob eure Daten in einem Datendiebstahl vorkommen, kann bei Firefox Monitor nachgeschlagen werden.
Ein bedeutenden Mehrgewinn an IT-Sicherheit wird durch die Zwei-Faktor-Authentifizierung erzeugt. Auch wenn der Angreifer ein Passwort erfolgreich gestohlen hat, muss er nun noch im Besitz des zweiten Faktors gelangen. Nicht jeder Anbieter stellt die Möglichkeit bereit, diesen zweiten Faktor zu aktivieren. Wer welchen Faktor anbietet, könnt ihr auf der Projektseite zweiter-faktor.de nachschlagen. Einmal aktiviert, ist die Hürde für die meisten Angreifer zu hoch. Die einzige Ausnahme bildet hier der online Banking Bereich. Hier geben sich die Kriminellen gerne etwas mehr Mühe. Das sieht man am geknackten SMS TAN Verfahren.
Sich eine sichere Geheimphrase auszudenken kann herausfordernd sein. Eine gute Strategie sich auch ein komplexes Wort bzw. Phrase zu merken, ist die Passsatz Methode. Dafür nimmt man sich einen Satz. Z.B. „Wo ein Wille ist, ist auch ein Weg!“. Dieser Satz wird nun gekürzt/angepasst. Einfach die ersten Buchstaben nehmen und Satzzeichen stehen lassen, dann erhält man folgendes Ergebnis: WeWi,iaeW!
Das sieht schon ganz gut aus. Da noch eine Zahl fehlt, kann man aus dem ursprünglichen „ein“ eine Zahl machen. Nun ergibt sich „W1Wi,iaeW!“. Jetzt erfüllen wir alle Anforderungen! Erst wenn das Geheimnis durch einen Datendiebstahl gelüftet ist, sollte man es ändern.
Es gibt noch andere Möglichkeiten der sicheren Erstellung von Kennwörtern!
Mit der Hilfe von Kryptonizern lassen sich einfache Wörter in komplexere, zufällige Wörter übersetzen. Kryptonizer hingegen sind eigentliche physische Werbegeschenke. Mittlerweile gibt es Websites, auf denen sich jeder kostenfrei eine Karte zur Erstellung von Passwörtern herunterladen und ausdrucken kann. Ist der Wechsel nicht mehr regelmäßig gefordert, so kann auch der Weltpassworttag verschwinden. Das wird aus manchen Bereichen der Szene gefordert.
Auch ein Passwort Manager ist eine gute Lösung, um seine Passwörter sicher zu speichern. Hier hat Stiftung Warentest drei Testsieger gekürt. Darunter der beliebte und vor allem kostenfreie Open Source Passwort Manager KeePass. Mit so einem Passwort Manager ist auch die Änderung von Passwörtern alle 90 Tage kein Problem. Am Ende muss sich schließlich nur das Master Passwort gemerkt werden. Wem das noch nicht genug Tipps sind, der kann sich kostenfrei unsere Top 10 IT-Security Tipps herunterladen.
Lesen Sie den ganzen Artikel
