Definition

Was ist ein sicheres Passwort?

| Autor / Redakteur: Moritz Jäger / Peter Schmitz

Passwörter sind essentiell im IT-Alltag.
Passwörter sind essentiell im IT-Alltag. (Bild: pixabay / CC0)

Kennwörter sind essentiell für den Alltag im IT-Umfeld. Damit sind sie auch ständig im Fokus von Angreifern. Der Lexikoneintrag zeigt die Grundlagen zu Attacken, Passwortstärken und Schutzfunktionen.

Passwörter sind wie Hausschlüssel: Ein notwendiges Übel, weil es keine bessere oder leichter zu nutzende Lösung gibt. Daher sichern Kennwörter noch immer den Zugriff auf Web-Anwendungen, Nutzerkonten und IT-Systeme.

Was macht ein sicheres Passwort aus?

Die Sicherheit eines Kennworts lässt sich am einfachsten über die Entropie definieren. Die Wikipedia erklärt es ziemlich gut: Ein Kennwort mit einer Entropie von 42 Bits benötigt 2 hoch 42 Versuche, um alle Möglichkeiten durchzuspielen. Die Entropie hängt neben der Länge mit den verwendeten Zeichen zusammen. Eine gute Richtlinie ist: Mindestens acht Zeichen lang, große und kleine Buchstaben, ein paar Sonderzeichen. Das amerikanische NIST schlägt zudem vor, dass künftig nicht mehr nur das englische Alphabet, sondern alle druckbaren ASCII-Zeichen in Kennwörtern erlaubt sind. Eine gute Alternative ist ein Passwort-Manager.

NIST definiert neue Passwort-Regeln

Passwort-Sicherheit

NIST definiert neue Passwort-Regeln

05.12.16 - Das Passwort ist nicht totzukriegen. Die amerikanische Standardbehörde NIST arbeitet an neuen Vorgaben für den Einsatz von Kennwörtern. Die gute Nachricht: Für Nutzer soll es einfacher werden, starke Passwörter zu verwenden. Rechtlich sind die Ansätze nicht bindend, für Entwickler sind sie aber eine solide Richtlinie. lesen

Wie werden Passwörter geknackt?

Stark vereinfacht gesagt gibt es zwei Wege, um ein Kennwort zu knacken: Kriminelle können entweder ein bekanntes Passwort übergeben oder ein Unbekanntes knacken. Der Weg Nummer eins ist für Angreifer deutlich schneller, hat aber einen Nachteil: Sie müssen sich irgendwo das zum Nutzernamen passende Kennwort besorgen. Deswegen wird diese Technik oft in Zusammenhang mit großen Datenzwischenfällen angewandt, bei dem Nutzernamen und Passwörter (idealerweise im Klartext) gestohlen wurden. Ein Klassiker hier ist die RockYou-Liste. Dem Unternehmen wurde 2009 die Datenbank mit 32 Millionen Nutzerdaten gestohlen, die Passwörter waren dabei im Klartext abgespeichert. Spezielle Tools können solche Listen einlesen und anschließend automatisiert gegen bekannte Nutzerkonten ausprobieren. Bei einem Treffer erhalten die Angreifer Zugriff auf das jeweilige Konto oder System.

Eine leichte Abwandlung ist die Pass-the-Hash-Attacke. Dabei verschaffen sich Angreifer Zugriff auf Systeme, indem sie statt dem Klartextpasswort den NTLM oder LanMan-Hash des Kennworts übergeben. Dieser ist oftmals deutlich einfacher zu erhalten. Die Attacke ist nicht neu und immer noch überraschend erfolgreich, sie kam etwa bei einem Angriff auf Yahoo in 2016 zum Einsatz.

Wenn keine passenden Kennwörter verfügbar sind, dann hilft nur noch die Brachialmethode. Per Brute Force werden Passwörter erraten, indem spezialisierte Systeme Kennwörter Zeichen für Zeichen ausprobieren. Die dafür notwendigen Systeme sind meist auf diese Aufgabe spezialisiert und schaffen teilweise beeindruckende Zahlen. In 2012 wurde ein System bekannt, dessen aus 25 AMD-Grafikkarten bestehender Cluster bis zu 350 Milliarden Kennwörter pro Sekunde ausprobieren konnte.

Beliebte Passwort-Manager im Überblick

Kennwortverwaltung

Beliebte Passwort-Manager im Überblick

01.02.17 - Programme zur Kennwortverwaltung sind praktisch und nehmen dem Anwender das Merken langer Zeichenkombinationen ab. Passwort-Manager gehören inzwischen ins Arsenal von IT-Profis. In diesem Artikel stellen wir mehrere Lösungen vor. Neben Cloud-basierten Applikationen und lokal installierten Managern zeigen wir drei Lösungen, die Kennwörter nicht speichern sondern bei Bedarf berechnen. lesen

Wie schütze ich Systeme?

Wenn Nutzer sichere Kennwörter haben, müssen nur noch Anbieter ihre Systeme schützen. Alle gespeicherten Zugangsdaten sollten gehasht und mit einem Salt gespeichert werden. Zudem schadet es nicht, die hundert bekanntesten Passwörter direkt zu verbieten, entsprechende Listen finden sich im Netz. Wenn der Nutzer ein starkes Passwort mit hoher Entropie gewählt hat, macht es wenig Sinn, ihn ohne Grund zu einem Wechsel zu überreden. Wo immer möglich sollte man also auf automatische Ablaufdaten verzichten.

Gegen Brute-Force-Attacken hilft eine Limitierung bei der Eingabe der Kennwörter. Echte Nutzer sollten ihr Passwort in drei Versuchen eigentlich richtig eingeben. Danach sollten Systeme eine Pause vor der nächsten Eingabe erzwingen. Diese kann zunächst wenige Sekunden betragen, sollte aber immer länger werden. Nach einer unrealistischen Zahl von Logins sollte der Account gesperrt werden.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

2FA für Windows Desktop und Terminalserver

privacyIDEA Credential Provider 2.5

2FA für Windows Desktop und Terminalserver

Mit dem privacyIDEA Credential Provider und dem privacyIDEA Backend können Unternehmen problemlos eine Zwei-Faktor-Authentifizierung auf Windows Desktops oder Terminalservern ausrollen. In der neuen Version 2.5 des privacyIDEA Credential Providers können sich Benutzer jetzt auch per Einmalcode aus einer E-Mail oder SMS authentisieren. lesen

Kostenloser Virenschutz für Apple macOS

Antivirus Freeware für macOS

Kostenloser Virenschutz für Apple macOS

Das Märchen, dass es für Apple-Computer keine Viren gibt, hält sich noch immer hart­näckig, auch wenn es falsch ist. Um seinen Mac vor Viren zu schützen gibt es verschiedene Möglichkeiten. Viele Hersteller von Antiviren-Software haben heute auch eine Version für macOS im Angebot. Es gibt aber auch kostenlose Apps, die auf Macs für Sicherheit sorgen und ein guter Start sind. lesen

Wichtige Sicherheitseinstellungen für Xing

Soziale Netzwerke absichern

Wichtige Sicherheitseinstellungen für Xing

Das Business-Netzwerk Xing gilt als deutsches Äquivalent zu LinkedIn und hat damit vor allem im deutschsprachigen Raum viele Freunde. Anwender, die Xing beruflich nutzen, sollten sich deshalb auch mit den möglichen Sicher­heits- und Privatsphäre-Einstellungen aus­ei­n­an­der­set­zen. So lässt sich verhindern, dass un­be­rechtigte Benutzer Zugriff auf persönliche Daten oder Kontakte erhalten. lesen

OneDrive sicher betreiben und Daten verschlüsseln

Mit Zusatztools für mehr Sicherheit sorgen

OneDrive sicher betreiben und Daten verschlüsseln

Wollen Anwender Daten in der Cloud speichern, trauen aber dem Anbieter bezüglich der Datensicherheit nicht, besteht die Möglichkeit mit Zusatztools für mehr Sicherheit zu sorgen. Wir zeigen am Beispiel von OneDrive bzw. OneDrive for Business wie Nutzer Daten verschlüsselt übertragen und auf dem Cloud-Dienst speichern können. lesen

WPA3 für Access Points und Router von Lancom

Betriebssystem-Release LCOS 10.20

WPA3 für Access Points und Router von Lancom

Mit dem Betriebssystem-Release LCOS 10.20 unterstützen alle aktuellen Access Points und WLAN-Router von Lancom den neuen WLAN-Sicherheitsstandard WPA3. Das kostenlose Update biete zudem einen Auto-Updater sowie Unterstützung für WAN Policy-Based NAT und die Routing-Architektur LISP. lesen

Mit Rescatux vergessene Kennwörter zurücksetzen

Tool-Tipp: Rescatux

Mit Rescatux vergessene Kennwörter zurücksetzen

Anwender, die ihr Windows-Kennwort vergessen haben, können mit dem Open-Source-CD Rescatux den Windows-Rechner starten und das Kennwort zurücksetzen. Das funktioniert auch für Rechner mit Windows 10, allerdings nur wenn ein lokales Konto verwendet wird. Wer das Kennwort für sein Microsoft-Konto vergessen hat, muss auf Cloud-Funktionen setzen. lesen

Stimmbiometrie im Boom

Authentifizierung mit der Stimme

Stimmbiometrie im Boom

Seit zwei Jahren erlebt die Stimmbiometrie als Authentifizierungsmethode einen wahren Boom, obwohl noch immer viel Skepsis dagegen besteht. Brett Beranek von Nuance beschäftigt sich seit mehr als zehn Jahren intensiv mit dem Thema und erläutert, warum gerade heute die Stimme als Passwort vermehrt eingesetzt wird – und worauf Unternehmen achten sollten. lesen

123456 ist auch aus DSGVO-Sicht ein schlechtes Passwort

Nachholbedarf bei der Passwortsicherheit

123456 ist auch aus DSGVO-Sicht ein schlechtes Passwort

Unsichere Passwörter, zugängliches Impressum, fehlende Verschlüsselung: Obwohl sich die meisten DSGVO-Anforderungen für Online-Anwendungen vergleichsweise einfach umsetzen lassen, gehen viele Unternehmen und Mitarbeiter auch bei einfachsten Themen weiterhin fahrlässig mit dem Datenschutz um. lesen

Digitale Identitäten und Biometrie als starkes Team

Cybersicherheit

Digitale Identitäten und Biometrie als starkes Team

Der kombinierte Einsatz digitaler Identitäten und biometrischer Services erfüllt eine der aktuellen Herausforderungen, der sich Zahlungs- und Finanzdienstleister stellen müssen: Konformität zur überarbeiteten EU-Richtlinie für Zahlungsdienste (PSD2). lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44456262 / Definitionen)