Definition

Was ist ein sicheres Passwort?

| Autor / Redakteur: Moritz Jäger / Peter Schmitz

Passwörter sind essentiell im IT-Alltag.
Passwörter sind essentiell im IT-Alltag. (Bild: pixabay / CC0)

Kennwörter sind essentiell für den Alltag im IT-Umfeld. Damit sind sie auch ständig im Fokus von Angreifern. Der Lexikoneintrag zeigt die Grundlagen zu Attacken, Passwortstärken und Schutzfunktionen.

Passwörter sind wie Hausschlüssel: Ein notwendiges Übel, weil es keine bessere oder leichter zu nutzende Lösung gibt. Daher sichern Kennwörter noch immer den Zugriff auf Web-Anwendungen, Nutzerkonten und IT-Systeme.

Was macht ein sicheres Passwort aus?

Die Sicherheit eines Kennworts lässt sich am einfachsten über die Entropie definieren. Die Wikipedia erklärt es ziemlich gut: Ein Kennwort mit einer Entropie von 42 Bits benötigt 2 hoch 42 Versuche, um alle Möglichkeiten durchzuspielen. Die Entropie hängt neben der Länge mit den verwendeten Zeichen zusammen. Eine gute Richtlinie ist: Mindestens acht Zeichen lang, große und kleine Buchstaben, ein paar Sonderzeichen. Das amerikanische NIST schlägt zudem vor, dass künftig nicht mehr nur das englische Alphabet, sondern alle druckbaren ASCII-Zeichen in Kennwörtern erlaubt sind. Eine gute Alternative ist ein Passwort-Manager.

NIST definiert neue Passwort-Regeln

Passwort-Sicherheit

NIST definiert neue Passwort-Regeln

05.12.16 - Das Passwort ist nicht totzukriegen. Die amerikanische Standardbehörde NIST arbeitet an neuen Vorgaben für den Einsatz von Kennwörtern. Die gute Nachricht: Für Nutzer soll es einfacher werden, starke Passwörter zu verwenden. Rechtlich sind die Ansätze nicht bindend, für Entwickler sind sie aber eine solide Richtlinie. lesen

Wie werden Passwörter geknackt?

Stark vereinfacht gesagt gibt es zwei Wege, um ein Kennwort zu knacken: Kriminelle können entweder ein bekanntes Passwort übergeben oder ein Unbekanntes knacken. Der Weg Nummer eins ist für Angreifer deutlich schneller, hat aber einen Nachteil: Sie müssen sich irgendwo das zum Nutzernamen passende Kennwort besorgen. Deswegen wird diese Technik oft in Zusammenhang mit großen Datenzwischenfällen angewandt, bei dem Nutzernamen und Passwörter (idealerweise im Klartext) gestohlen wurden. Ein Klassiker hier ist die RockYou-Liste. Dem Unternehmen wurde 2009 die Datenbank mit 32 Millionen Nutzerdaten gestohlen, die Passwörter waren dabei im Klartext abgespeichert. Spezielle Tools können solche Listen einlesen und anschließend automatisiert gegen bekannte Nutzerkonten ausprobieren. Bei einem Treffer erhalten die Angreifer Zugriff auf das jeweilige Konto oder System.

Eine leichte Abwandlung ist die Pass-the-Hash-Attacke. Dabei verschaffen sich Angreifer Zugriff auf Systeme, indem sie statt dem Klartextpasswort den NTLM oder LanMan-Hash des Kennworts übergeben. Dieser ist oftmals deutlich einfacher zu erhalten. Die Attacke ist nicht neu und immer noch überraschend erfolgreich, sie kam etwa bei einem Angriff auf Yahoo in 2016 zum Einsatz.

Wenn keine passenden Kennwörter verfügbar sind, dann hilft nur noch die Brachialmethode. Per Brute Force werden Passwörter erraten, indem spezialisierte Systeme Kennwörter Zeichen für Zeichen ausprobieren. Die dafür notwendigen Systeme sind meist auf diese Aufgabe spezialisiert und schaffen teilweise beeindruckende Zahlen. In 2012 wurde ein System bekannt, dessen aus 25 AMD-Grafikkarten bestehender Cluster bis zu 350 Milliarden Kennwörter pro Sekunde ausprobieren konnte.

Beliebte Passwort-Manager im Überblick

Kennwortverwaltung

Beliebte Passwort-Manager im Überblick

01.02.17 - Programme zur Kennwortverwaltung sind praktisch und nehmen dem Anwender das Merken langer Zeichenkombinationen ab. Passwort-Manager gehören inzwischen ins Arsenal von IT-Profis. In diesem Artikel stellen wir mehrere Lösungen vor. Neben Cloud-basierten Applikationen und lokal installierten Managern zeigen wir drei Lösungen, die Kennwörter nicht speichern sondern bei Bedarf berechnen. lesen

Wie schütze ich Systeme?

Wenn Nutzer sichere Kennwörter haben, müssen nur noch Anbieter ihre Systeme schützen. Alle gespeicherten Zugangsdaten sollten gehasht und mit einem Salt gespeichert werden. Zudem schadet es nicht, die hundert bekanntesten Passwörter direkt zu verbieten, entsprechende Listen finden sich im Netz. Wenn der Nutzer ein starkes Passwort mit hoher Entropie gewählt hat, macht es wenig Sinn, ihn ohne Grund zu einem Wechsel zu überreden. Wo immer möglich sollte man also auf automatische Ablaufdaten verzichten.

Gegen Brute-Force-Attacken hilft eine Limitierung bei der Eingabe der Kennwörter. Echte Nutzer sollten ihr Passwort in drei Versuchen eigentlich richtig eingeben. Danach sollten Systeme eine Pause vor der nächsten Eingabe erzwingen. Diese kann zunächst wenige Sekunden betragen, sollte aber immer länger werden. Nach einer unrealistischen Zahl von Logins sollte der Account gesperrt werden.

Kommentare werden geladen....

Kommentar zu diesem Artikel

Der Kommentar wird durch einen Redakteur geprüft und in Kürze freigeschaltet.

Anonym mitdiskutieren oder einloggen Anmelden

Avatar
Zur Wahrung unserer Interessen speichern wir zusätzlich zu den o.g. Informationen die IP-Adresse. Dies dient ausschließlich dem Zweck, dass Sie als Urheber des Kommentars identifiziert werden können. Rechtliche Grundlage ist die Wahrung berechtigter Interessen gem. Art 6 Abs 1 lit. f) DSGVO.
  1. Avatar
    Avatar
    Bearbeitet von am
    Bearbeitet von am
    1. Avatar
      Avatar
      Bearbeitet von am
      Bearbeitet von am

Kommentare werden geladen....

Kommentar melden

Melden Sie diesen Kommentar, wenn dieser nicht den Richtlinien entspricht.

Kommentar Freigeben

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Freigabe entfernen

Der untenstehende Text wird an den Kommentator gesendet, falls dieser eine Email-hinterlegt hat.

Aktuelle Beiträge zu diesem Thema

Airlock drängt in den deutschen Markt

Secure Access Hub

Airlock drängt in den deutschen Markt

Der Schweizer Anbieter Airlock bietet mit seinem Secure Access Hub eine umfassende Security-Lösung. Nach der Schweiz will man nun auch in Deutschland durchstarten und ist auf der Suche nach Partnern. lesen

Handel im Darknet mit gestohlenen TLS-Zertifikaten

Maschinenidentitäten sind das neue Gold

Handel im Darknet mit gestohlenen TLS-Zertifikaten

Cyberkriminelle nutzen das Darknet um florierende Geschäfte zu betreiben. Wie eine aktuelle Untersuchung nun zeigt, werden Maschinenidentitäten im Darknet als wichtiger eingestuft als Ransomware oder gestohlene digitale Identitäten bestehend aus Name und Passwort. Sie werden zu höheren Preisen verkauft und das Angebot ist größer, weil es eine entsprechende Nachfrage gibt. lesen

Honigtöpfe in der Cloud

Angriffe auf Webcams oder NAS-Server

Honigtöpfe in der Cloud

In einem Versuch von Sophos dauerte es nicht mal eine Minute, bis es einen ersten Angriff auf Cloud-Server-Honeypots gab, die sich als Webcams oder NAS-Server ausgaben. Im Laufe des 30-tätigen Testzeitraumes mit zehn Test-Servern in der Cloud ging es ziemlich rund. lesen

Wie man Maschinenidentitäten schützen kann

Digitalisierung braucht maschinelle Identitäten

Wie man Maschinenidentitäten schützen kann

Nicht nur die Industrie setzt massiv auf Digitalisierung. Die Kommunikation von Systemen untereinander soll Effizienz, Wirtschaftlichkeit und Produktivität erhöhen und sogar gänzlich neue Geschäftsfelder eröffnen. Für eine erfolgreiche Digitalisierung müssen Geräte sicher miteinander kommunizieren können und zu diesem Zweck braucht es auch sichere maschinelle Identitäten. lesen

Dragonblood zeigt Schwächen von WLANs

Forscher liefern Tools und Paper, um WPA3 zu kompromittieren

Dragonblood zeigt Schwächen von WLANs

Wie angreifbar selbst aktuelle WLANs sind, haben jetzt die Forscher Mathy Vanhoef und Eyal Ronen mit einer Analyse des „Dragonfly handshake“ gezeigt. Im Fokus standen dabei auch das Protokoll EAP-pw sowie das Smartphone Samsung Galaxy S10. lesen

RDX-Verschlüsselung von Overland-Tandberg ist FIPS-konform

Sicherheitsstandard erfüllt

RDX-Verschlüsselung von Overland-Tandberg ist FIPS-konform

Der Storage- und Archivierungsspezialist Overland-Tandberg hat seine Hardware-Verschlüsselung Powerencrypt für RDX-Wechselplatten erfolgreich nach dem US-Sicherheitsstandard FIPS 140-2 validieren lassen. lesen

Hacker übernehmen Raffinerien und Hochregallager

Angriff auf die Infrastruktur

Hacker übernehmen Raffinerien und Hochregallager

Industrielle Steuerungsanlagen sind omnipräsent. Sie steuern praktisch alle großindustriellen Produktionsprozesse, aber auch die Logistik. Sie beladen Schiffe und regeln jene Pipelines, die uns mit Erdgas und Erdöl versorgen. Überwacht werden sie von SCADA-Systemen, die heute wiederum mit der Büro-IT vernetzt sind. Das birgt Risiken. lesen

Digitale Identitäten erfolgreich schützen

Neue Formen der sicheren Authentifizierung

Digitale Identitäten erfolgreich schützen

Obwohl das Risiko durch eine Vielzahl von Datendiebstählen bekannt ist, setzen die meisten Unternehmen weiterhin auf den klassischen Login mit Benutzername und Passwort. Je mehr Geschäfte und Verwaltungsvorgänge digital werden, desto wichtiger wird es aber, die persönlichen digitalen Identitäten besser abzusichern. lesen

Security jenseits von Firewall, Verschlüsselung und MFA

Sicherheitstechnologie im Wandel

Security jenseits von Firewall, Verschlüsselung und MFA

In den letzten Jahren ist „Sicherheit“ in vielen Branchen zum Modewort geworden, und das nicht ohne Grund. Die Bedrohung durch Datensicherheitsverletzungen ist für Branchengrößen, Haushaltsmarken und zahllose Verbraucher gleichermaßen präsent und Unternehmen achten deshalb immer stärker auf ihre internen Sicherheitsstrategien. lesen

copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 44456262 / Definitionen)