Definition

Was ist ein sicheres Passwort?

| Autor / Redakteur: Moritz Jäger / Peter Schmitz

Passwörter sind essentiell im IT-Alltag.
Passwörter sind essentiell im IT-Alltag. (Bild: pixabay / CC0)

Kennwörter sind essentiell für den Alltag im IT-Umfeld. Damit sind sie auch ständig im Fokus von Angreifern. Der Lexikoneintrag zeigt die Grundlagen zu Attacken, Passwortstärken und Schutzfunktionen.

Passwörter sind wie Hausschlüssel: Ein notwendiges Übel, weil es keine bessere oder leichter zu nutzende Lösung gibt. Daher sichern Kennwörter noch immer den Zugriff auf Web-Anwendungen, Nutzerkonten und IT-Systeme.

Was macht ein sicheres Passwort aus?

Die Sicherheit eines Kennworts lässt sich am einfachsten über die Entropie definieren. Die Wikipedia erklärt es ziemlich gut: Ein Kennwort mit einer Entropie von 42 Bits benötigt 2 hoch 42 Versuche, um alle Möglichkeiten durchzuspielen. Die Entropie hängt neben der Länge mit den verwendeten Zeichen zusammen. Eine gute Richtlinie ist: Mindestens acht Zeichen lang, große und kleine Buchstaben, ein paar Sonderzeichen. Das amerikanische NIST schlägt zudem vor, dass künftig nicht mehr nur das englische Alphabet, sondern alle druckbaren ASCII-Zeichen in Kennwörtern erlaubt sind. Eine gute Alternative ist ein Passwort-Manager.

NIST definiert neue Passwort-Regeln

Passwort-Sicherheit

NIST definiert neue Passwort-Regeln

05.12.16 - Das Passwort ist nicht totzukriegen. Die amerikanische Standardbehörde NIST arbeitet an neuen Vorgaben für den Einsatz von Kennwörtern. Die gute Nachricht: Für Nutzer soll es einfacher werden, starke Passwörter zu verwenden. Rechtlich sind die Ansätze nicht bindend, für Entwickler sind sie aber eine solide Richtlinie. lesen

Wie werden Passwörter geknackt?

Stark vereinfacht gesagt gibt es zwei Wege, um ein Kennwort zu knacken: Kriminelle können entweder ein bekanntes Passwort übergeben oder ein Unbekanntes knacken. Der Weg Nummer eins ist für Angreifer deutlich schneller, hat aber einen Nachteil: Sie müssen sich irgendwo das zum Nutzernamen passende Kennwort besorgen. Deswegen wird diese Technik oft in Zusammenhang mit großen Datenzwischenfällen angewandt, bei dem Nutzernamen und Passwörter (idealerweise im Klartext) gestohlen wurden. Ein Klassiker hier ist die RockYou-Liste. Dem Unternehmen wurde 2009 die Datenbank mit 32 Millionen Nutzerdaten gestohlen, die Passwörter waren dabei im Klartext abgespeichert. Spezielle Tools können solche Listen einlesen und anschließend automatisiert gegen bekannte Nutzerkonten ausprobieren. Bei einem Treffer erhalten die Angreifer Zugriff auf das jeweilige Konto oder System.

Eine leichte Abwandlung ist die Pass-the-Hash-Attacke. Dabei verschaffen sich Angreifer Zugriff auf Systeme, indem sie statt dem Klartextpasswort den NTLM oder LanMan-Hash des Kennworts übergeben. Dieser ist oftmals deutlich einfacher zu erhalten. Die Attacke ist nicht neu und immer noch überraschend erfolgreich, sie kam etwa bei einem Angriff auf Yahoo in 2016 zum Einsatz.

Wenn keine passenden Kennwörter verfügbar sind, dann hilft nur noch die Brachialmethode. Per Brute Force werden Passwörter erraten, indem spezialisierte Systeme Kennwörter Zeichen für Zeichen ausprobieren. Die dafür notwendigen Systeme sind meist auf diese Aufgabe spezialisiert und schaffen teilweise beeindruckende Zahlen. In 2012 wurde ein System bekannt, dessen aus 25 AMD-Grafikkarten bestehender Cluster bis zu 350 Milliarden Kennwörter pro Sekunde ausprobieren konnte.

Beliebte Passwort-Manager im Überblick

Kennwortverwaltung

Beliebte Passwort-Manager im Überblick

01.02.17 - Programme zur Kennwortverwaltung sind praktisch und nehmen dem Anwender das Merken langer Zeichenkombinationen ab. Passwort-Manager gehören inzwischen ins Arsenal von IT-Profis. In diesem Artikel stellen wir mehrere Lösungen vor. Neben Cloud-basierten Applikationen und lokal installierten Managern zeigen wir drei Lösungen, die Kennwörter nicht speichern sondern bei Bedarf berechnen. lesen

Wie schütze ich Systeme?

Wenn Nutzer sichere Kennwörter haben, müssen nur noch Anbieter ihre Systeme schützen. Alle gespeicherten Zugangsdaten sollten gehasht und mit einem Salt gespeichert werden. Zudem schadet es nicht, die hundert bekanntesten Passwörter direkt zu verbieten, entsprechende Listen finden sich im Netz. Wenn der Nutzer ein starkes Passwort mit hoher Entropie gewählt hat, macht es wenig Sinn, ihn ohne Grund zu einem Wechsel zu überreden. Wo immer möglich sollte man also auf automatische Ablaufdaten verzichten.

Gegen Brute-Force-Attacken hilft eine Limitierung bei der Eingabe der Kennwörter. Echte Nutzer sollten ihr Passwort in drei Versuchen eigentlich richtig eingeben. Danach sollten Systeme eine Pause vor der nächsten Eingabe erzwingen. Diese kann zunächst wenige Sekunden betragen, sollte aber immer länger werden. Nach einer unrealistischen Zahl von Logins sollte der Account gesperrt werden.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

Herausforderung in Active Directory erkennen und lösen

Erst Drittanbieter-Tools machen das AD praktikabel

Herausforderung in Active Directory erkennen und lösen

Microsoft Active Directory (AD) ist eine gut skalierbare Lösung zur Verwaltung von Benutzern und Ressourcen sowie für die Authentifizierung in einer Windows-Umgebung. Allerdings stoßen Systemadministratoren hier regelmäßig auf besondere Herausforderungen. Eine Vorabbetrachtung lohnt sich daher. lesen

Einfach E-Mails verschlüsseln

ProtonMail, Tutanota, OpenPGP, Web.de & Co.

Einfach E-Mails verschlüsseln

Damit vertrauliche E-Mails von Unbefugten nicht gelesen werden können, sollten auch kleine Unternehmen ihre Nachrichten verschlüsseln. Viele glauben allerdings immer noch, E-Mail-Verschlüsselung sei kompliziert. Wir zeigen wie einfach E-Mail-Verschlüsselung inzwischen mit Diensten wie ProtonMail, Tutanota, den Webmail-Diensten GMX und Web.de und auch dem Klassiker OpenPGP funktioniert. lesen

Sicherheits-Tipps für Geschäftsreisende

Datenschutz und Cyberrisiken

Sicherheits-Tipps für Geschäftsreisende

Unternehmensdaten sind besonders auf Geschäftsreisen in Gefahr: Mit der wachsenden Vernetzung bieten sich Datendieben immer neue Möglichkeiten, um an sensible Daten und technologisches Knowhow der Geschäftsreisenden zu kommen. lesen

Schweizer Taschenmesser für die IT-Sicherheit

Security-Startups im Blickpunkt: Enginsight

Schweizer Taschenmesser für die IT-Sicherheit

Ein Schweizer Taschenmesser, gilt als das Synonym für ein kompaktes Tool, das alle notwendigen Komponenten bereitstellt, die man brauchen könnte. Das Startup Enginsight kommt zwar nicht aus der Schweiz, sondern aus Jena, aber für den Security-Admin ist deren Lösung ein elektronisches Schweizer Taschen­messer. Enginsight überwacht IT-Landschaften auf Sicherheit, Verfügbarkeit und Stabilität. lesen

Was ist WPA3?

Definition WPA3 (Wi-Fi Protected Access 3)

Was ist WPA3?

Der WLAN-Verschlüsselungsstandard WPA3 (Wi-Fi Protected Access 3) wurde im Juni 2018 als Ergänzung zum bestehenden Standard WPA2 verabschiedet. WPA3 bringt wesentliche Verbesserungen bei der Authentifizierung und Verschlüsselung mit. Zudem soll sich die Konfiguration von WLAN-Geräten vereinfachen und die Sicherheit an öffentlichen Hotspots erhöhen. lesen

Was ist WPA2?

Definition WPA2 (Wi-Fi Protected Access 2)

Was ist WPA2?

WPA2 (Wi-Fi Protected Access 2) ist seit 2004 der Nachfolger von WPA. Zu den wichtigsten Veränderungen im Vergleich zu WPA gehört die Verwendung der Verschlüsselungsmethode AES. WPA2 beseitigt die aufgedeckten Schwachstellen von WPA und gilt bei Verwendung eines starken Passworts, trotz bekannter Angriffe, bis heute als sehr sicher. lesen

Investitionen in die IT-Sicherheit lohnen sich!

Wirtschaftliche Gründe für IT-Sicherheit

Investitionen in die IT-Sicherheit lohnen sich!

Wenn ein Unternehmen und seine IT-Abteilung beim Thema Sicherheit nicht an einem Strang ziehen, besteht ein hohes Risiko für Datenschutz­verstöße. Alle IT-Experten sollten deshalb wissen, wie sie ihren Geschäftsführern Sicherheitserfordernisse so vermitteln können, dass sie verstanden und ernst genommen werden. lesen

Wichtige Sicherheits­einstellungen für LinkedIn

Soziale Netzwerke absichern

Wichtige Sicherheits­einstellungen für LinkedIn

Wer soziale Netzwerke nutzt, muss in den meisten Fällen die Sicherheitseinstellungen optimieren. Die Standardeinstellungen sind in den meisten Fällen nicht so sicher eingestellt, wie es sein sollte. Das gilt auch für das Business-Netzwerk LinkedIn, das zunehmend auch in Deutschland Bedeutung für berufliche Netzwerke gewinnt und damit auch für Cyberkriminelle interessant wird. lesen

Was ist WPA?

Definition Wi-Fi Protected Access (WPA)

Was ist WPA?

WPA steht für Wi-Fi Protected Access und bezeichnet den 2003 verabschiedeten Nachfolgestandard von WEP zur Verschlüsselung und Authentifizierung im WLAN. WPA sollte die bekannt gewordenen Sicherheitslücken und Schwachstellen von WEP beseitigen und wieder für Sicherheit in Funknetzwerken sorgen. Wie WEP gilt auch WPA heute als nicht mehr ausreichend sicher und sollte für drahtlose Netzwerke nicht mehr verwendet werden. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44456262 / Definitionen)