Definition

Was ist ein sicheres Passwort?

| Autor / Redakteur: Moritz Jäger / Peter Schmitz

Passwörter sind essentiell im IT-Alltag.
Passwörter sind essentiell im IT-Alltag. (Bild: pixabay / CC0)

Kennwörter sind essentiell für den Alltag im IT-Umfeld. Damit sind sie auch ständig im Fokus von Angreifern. Der Lexikoneintrag zeigt die Grundlagen zu Attacken, Passwortstärken und Schutzfunktionen.

Passwörter sind wie Hausschlüssel: Ein notwendiges Übel, weil es keine bessere oder leichter zu nutzende Lösung gibt. Daher sichern Kennwörter noch immer den Zugriff auf Web-Anwendungen, Nutzerkonten und IT-Systeme.

Was macht ein sicheres Passwort aus?

Die Sicherheit eines Kennworts lässt sich am einfachsten über die Entropie definieren. Die Wikipedia erklärt es ziemlich gut: Ein Kennwort mit einer Entropie von 42 Bits benötigt 2 hoch 42 Versuche, um alle Möglichkeiten durchzuspielen. Die Entropie hängt neben der Länge mit den verwendeten Zeichen zusammen. Eine gute Richtlinie ist: Mindestens acht Zeichen lang, große und kleine Buchstaben, ein paar Sonderzeichen. Das amerikanische NIST schlägt zudem vor, dass künftig nicht mehr nur das englische Alphabet, sondern alle druckbaren ASCII-Zeichen in Kennwörtern erlaubt sind. Eine gute Alternative ist ein Passwort-Manager.

NIST definiert neue Passwort-Regeln

Passwort-Sicherheit

NIST definiert neue Passwort-Regeln

05.12.16 - Das Passwort ist nicht totzukriegen. Die amerikanische Standardbehörde NIST arbeitet an neuen Vorgaben für den Einsatz von Kennwörtern. Die gute Nachricht: Für Nutzer soll es einfacher werden, starke Passwörter zu verwenden. Rechtlich sind die Ansätze nicht bindend, für Entwickler sind sie aber eine solide Richtlinie. lesen

Wie werden Passwörter geknackt?

Stark vereinfacht gesagt gibt es zwei Wege, um ein Kennwort zu knacken: Kriminelle können entweder ein bekanntes Passwort übergeben oder ein Unbekanntes knacken. Der Weg Nummer eins ist für Angreifer deutlich schneller, hat aber einen Nachteil: Sie müssen sich irgendwo das zum Nutzernamen passende Kennwort besorgen. Deswegen wird diese Technik oft in Zusammenhang mit großen Datenzwischenfällen angewandt, bei dem Nutzernamen und Passwörter (idealerweise im Klartext) gestohlen wurden. Ein Klassiker hier ist die RockYou-Liste. Dem Unternehmen wurde 2009 die Datenbank mit 32 Millionen Nutzerdaten gestohlen, die Passwörter waren dabei im Klartext abgespeichert. Spezielle Tools können solche Listen einlesen und anschließend automatisiert gegen bekannte Nutzerkonten ausprobieren. Bei einem Treffer erhalten die Angreifer Zugriff auf das jeweilige Konto oder System.

Eine leichte Abwandlung ist die Pass-the-Hash-Attacke. Dabei verschaffen sich Angreifer Zugriff auf Systeme, indem sie statt dem Klartextpasswort den NTLM oder LanMan-Hash des Kennworts übergeben. Dieser ist oftmals deutlich einfacher zu erhalten. Die Attacke ist nicht neu und immer noch überraschend erfolgreich, sie kam etwa bei einem Angriff auf Yahoo in 2016 zum Einsatz.

Wenn keine passenden Kennwörter verfügbar sind, dann hilft nur noch die Brachialmethode. Per Brute Force werden Passwörter erraten, indem spezialisierte Systeme Kennwörter Zeichen für Zeichen ausprobieren. Die dafür notwendigen Systeme sind meist auf diese Aufgabe spezialisiert und schaffen teilweise beeindruckende Zahlen. In 2012 wurde ein System bekannt, dessen aus 25 AMD-Grafikkarten bestehender Cluster bis zu 350 Milliarden Kennwörter pro Sekunde ausprobieren konnte.

Beliebte Passwort-Manager im Überblick

Kennwortverwaltung

Beliebte Passwort-Manager im Überblick

01.02.17 - Programme zur Kennwortverwaltung sind praktisch und nehmen dem Anwender das Merken langer Zeichenkombinationen ab. Passwort-Manager gehören inzwischen ins Arsenal von IT-Profis. In diesem Artikel stellen wir mehrere Lösungen vor. Neben Cloud-basierten Applikationen und lokal installierten Managern zeigen wir drei Lösungen, die Kennwörter nicht speichern sondern bei Bedarf berechnen. lesen

Wie schütze ich Systeme?

Wenn Nutzer sichere Kennwörter haben, müssen nur noch Anbieter ihre Systeme schützen. Alle gespeicherten Zugangsdaten sollten gehasht und mit einem Salt gespeichert werden. Zudem schadet es nicht, die hundert bekanntesten Passwörter direkt zu verbieten, entsprechende Listen finden sich im Netz. Wenn der Nutzer ein starkes Passwort mit hoher Entropie gewählt hat, macht es wenig Sinn, ihn ohne Grund zu einem Wechsel zu überreden. Wo immer möglich sollte man also auf automatische Ablaufdaten verzichten.

Gegen Brute-Force-Attacken hilft eine Limitierung bei der Eingabe der Kennwörter. Echte Nutzer sollten ihr Passwort in drei Versuchen eigentlich richtig eingeben. Danach sollten Systeme eine Pause vor der nächsten Eingabe erzwingen. Diese kann zunächst wenige Sekunden betragen, sollte aber immer länger werden. Nach einer unrealistischen Zahl von Logins sollte der Account gesperrt werden.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

Der richtige Zugriffsschutz für die eigene IAM-Strategie

PAM vs. SSO vs. Password Manager

Der richtige Zugriffsschutz für die eigene IAM-Strategie

Anwender nutzen immer mehr unterschiedliche Services und fast jedes dieser Systeme verlangt eine Authentifizierung durch Benutzername und Passwort. Egal, ob Unternehmen für eine gesicherte Anmeldung auf PAM (Privileged Access Management), SSO (Single Sign-On) oder Passwort-Management setzen: Jedes Tool spielt eine bestimmte Rolle im Identity and Access Management (IAM). lesen

Kein Datenschutz ohne Identitätsschutz

Neues eBook „Identity Protection“

Kein Datenschutz ohne Identitätsschutz

Digitale Identitäten sind der Schlüssel zu vertraulichen Daten und geschäftskritischen Systemen. Reiner Passwortschutz ist oftmals zu wenig, weitere Sicherheitsfaktoren sind gefragt. Das neue eBook „Identity Protection“ zeigt, wie Multi-Faktor-Authentifizierung bei der Einhaltung von Compliance-Vorgaben hilft und gibt zudem Tipps für die Lösungssuche. lesen

Wichtige Sicherheits­einstellungen für Facebook

Soziale Netzwerke absichern

Wichtige Sicherheits­einstellungen für Facebook

In den Standardeinstellungen ist Facebook sehr unsicher eingestellt. Hacker nutzen das aus, um Profile zu kopieren und Daten zu stehlen. Wir zeigen die wichtigsten Sicherheits­regeln für Facebook und wie man mit wenigen Einstellungen die Sicherheit, die Privatsphäre und den Datenschutz deutlich verbessern kann und Hacker damit aus seinem Facebook-Profil aussperrt. lesen

Verständnis wecken für IT-Sicherheit

Mehr Erfolg mit Security Awareness

Verständnis wecken für IT-Sicherheit

Das Hauptziel von Security Awareness (SecAware) ist es, die Computer-Nutzer für die zahlreichen Cyber-Bedrohungen zu sensibilisieren. Da nicht jeder Angriff sich durch die Kombination aus Sicherheits-Hard- und Software abfangen lässt, muss der IT-Nutzer als „Last Line of Defense“ agieren und „durchgerutschte“ Angriffe abwehren. Diese gute Idee funktioniert aber oft nicht! lesen

61 Millionen Passwörter und beunruhigende Muster

Kennwort-Studie

61 Millionen Passwörter und beunruhigende Muster

61 Millionen Passwörter hat ein Team der der Virginia Tech Universität unter Leitung von Dr. Gang Wang analysiert und dabei festgestellt, dass Nutzer ihre vorhandenen Passwörter oft nur leicht anpassen und diese Änderungen auch leicht vorhersagbar sind. Die Experten des Softwareanbieters Dashlane untersuchten die Daten zusätzlich auf Muster und konnten dabei einfache Fehler erkennen, die die Passwortsicherheit stark reduzieren. lesen

Authentifizierungslösung mit Self-Service-Funktionen

Im Test: Airlock IAM 6

Authentifizierungslösung mit Self-Service-Funktionen

Airlock Identity and Access Management (IAM) 6 ist eine zentrale Authentifizierungs­plattform mit Enterprise-Funktionen. Die Lösung unterstützt eine Vielzahl an Authentifizierungs­verfahren, arbeitet mit Standardprotokollen und automatisiert die Benutzer­administration. Viele Unternehmen verwenden die IAM-Lösung zusammen mit der Web Application Firewall (WAF) aus dem gleichem Haus. lesen

Yubikey als zweiter Faktor für das iPhone

2FA mit Yubikey für iOS

Yubikey als zweiter Faktor für das iPhone

Yubico, Anbieter hardwarebasierter Authentifizierungslösungen, hat ein SDK für iOS vorgestellt, mit dem Mobile-App-Entwickler die Zwei-Faktor-Authentifizierung (2FA) mit dem YubiKey NEO und NFC (Nahfeldkommunikation) in ihre iOS-Anwendungen integrieren können. Die erste App, die die neuen Funktionen nutzt, ist der Passwort-Manager LastPass. lesen

Last-Minute-Maßnahmen zur DSGVO

Tipps für Unternehmen

Last-Minute-Maßnahmen zur DSGVO

Der 25. Mai 2018, der Stichtag für die DSGVO, rückt immer näher. Unternehmen haben entweder die Weichen bereits gestellt und können sich beruhigt zurücklehnen – oder aber, die massiven Änderungen im Datenschutz wurden bisher mehr oder weniger bewusst ignoriert. Wie sich Unternehmen mit kleinen Maßnahmen noch auf die DSGVO vorbereiten können weiß der Security-Spezialist DataLocker. lesen

Was ist OpenID?

Definition OpenID

Was ist OpenID?

Bei OpenID handelt es sich um ein dezentral arbeitendes Authentifizierungssystem für Webservices. Die Identitäten des Authentifizierungssystems basieren auf URLs und ermöglichen die Anmeldung bei mehreren Diensten mit einer einzigen Identität ohne erneute Eingabe von Usernamen und Passwort (Single-Sign-on). lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44456262 / Definitionen)