Habe versucht die techn. Details etwas herauszuhalten, wenn gewünscht kann ich aber gern auch näher auf technische Hintergründe eingehen!
Ich schlage vor, die technischen Hintergründe in einer extra Passage mitzuliefern. So kann man ggf. deine Erklärungen nachvollziehen bzw. die Hintergründe erfahren.
- Möglichst lange Passwörter verwenden, Tools bzw. einfache Denkhilfen helfen dabei
- Optimal: Mindestens 12 Zeichen, Sonderzeichen, Großbuchstaben und Zahlen
- Niemals ein Passwort recyclen
- Wenn möglich Passwortsafes verwenden
- Tools helfen beim Check der Passwörter und Accounts
Die Länge der Passwörter könnte man aber auch vom Risiko eines Hacks abhängig machen. Wobei ich Risiko in diesem Fall als das Produkt von Schadenshöhe und Eintrittswahrscheinlichkeit definiere.
Wenn man ein Passwortsafe verwendet, kann man standardmäßig z.B. 20 Zeichen lange Passwörter verwenden. Wenn man dann Copy Paste oder Auto Type nutzt, dann ist die Länge praktisch egal.
Anders natürlich bei manueller Eingabe. Da kann man ggf. runter gehen.
Der obligatorische XKCD Comic wurde ja schon gepostet. Ein Blick wert ist z.B. noch das entsprechende Video von
SemperVideo.
AuflösungBei Passwortsafes sollte man sich auch überlegen, ob man Clouddienste nutzt oder sich um die Sicherung selber kümmert. Ersteres hat z.B. die Gefahr, dass der Dienst gehackt wird, da die Beute der Hacker natürlich höher ist.
Dann gibt es noch Webseiten, welche bestimme Einschränkungen haben:
- Das Passwort wird in der Länge oder und im Zeichensatz beschränkt
- Das Eingabefeld ist einfügegeschützt (Ctrl+V funktioniert nicht)
Solche Praktiken fördern nicht die Sicherheit! Falls ihr Zeit habt, dann meldet sowas.
Dann gibt es Webseiten, welche euch nach der Registrierung das Passwort zusenden. Auch das ist bedenklich und sollte nicht passieren, da es die Angriffsfläche unnötig erhöht. Solche Webseiten sollten mit Vorsicht behandelt werden.
Aber es gibt auch relativ einfache Möglichkeiten um sich selber leicht zu merkende sichere Passwörter zu erstellen. Dazu nimmt man einen einfach zu merkenden Satz wie „Meine Doge Coins werden mich in 10 Jahren reich machen!“ und merkt sich davon nur die Anfangsbuchstaben: MDCwmi10Jrm! … schon hat man ein sehr schwer zu knackendes, aber einfach zu merkendes Passwort.
Oder, falls möglich, nimmt man den ganzen Satz ... das ist noch sicherer ...
Nehmen wir an unser Passwort ist wieder „MDCwmi10Jrm“ … ich will mir nun einen Account bei bitcoin.de erstellen. Was sicher ewig gleich bleiben wird ist hier die URL, eignet sich also ideal, um mein Passwort damit die verbessern. Ich könnte also einen Teil der URL verwenden um mir das Passwort geringfügig abzuändern, bspw. mit dem ersten und den letzten Buchstaben der URL: bitcoin.de -> so wird aus meinem Passwort MDCwmi10Jrm.be … für GMX.com wärs MDCwmi10Jrm.gm usw. usf. Die Regel kann man nach Belieben abändern, man muss sie sich nur merken können ;-)
Auf die Vorteile / Nachteile gehe ich erstmal nicht ein, es gibt jedoch eine Reihe von Tools, welche diese Prinzip erweitern und dabei helfen:
-
Hash My Pass-
SuperGenPass-
LessPass-
MasterPasswordIch kenne auch Leute, die speichern ihre Passwörter in Notepad++ ... je nach Sichtweise auch sicher.
Hacker sind normalen Usern um welten Überlegen, wenns drum geht, Filter und Regelwerke zu basteln um auch etwas ungewöhnliche Passworte zu hacken. Man geht selbst bei extrem gut verschlüsselten salted Passwortdateien davon aus, das mit Wörterbuchattacks 90% in weniger als 4 Wochen entschlüsselt wird. Die restlichen 10% sind dann Unique Passwörter die man nicht im Wörterbuch findet oder erzeugen kann. Die dauernd dann Jahrhunderte.
Das ist auch die Erklärung für den XKCD Comic. Daher sollte man sich nicht Passwörter mit irgendwelchen komplizierten Regeln ausdenken, sondern vielmehr die Methode ändern, z.B. Passwörter komplett zufallsgeneriert erstellen und dann aufschreiben ...
Also muss man sich entweder ein CorrectHorseBatteryStaple für jeden Dienst getrennt merken, oder zwangsläufig einen PW-Manager benutzen, der lange zufällige PWs generiert.
Was mach ich denn, wenn ich den nicht dabeihaben kann?
Am Handy ablesen und im Internetcafe/beim Kumpel 32x falsch abtippen, weil od7853D58r$§&T einfach fehlerträchtig ist? Je nach Zeichensatz ist I & L odr 0 & O z.B. sauschwer zu unterscheiden.
Zunächst einmal lässt sich z.B. in KeePass die verwendeteten Zeichen einstellen, bzw. man kann mit einem Häkchen explizit sich ähnlich aussehende Zeichen ausschließen.
Desweiteren bezweifle ich, dass due hunderte Webseiten unterwegs nutzt, sondern nur ein paar, bei denen du leicht zu merkende Passwörter verwenden kannst und bei den anderen dann die zufälligen.
Langfristig hoffe ich auf eine massenhafte Verbreitung von U2F.
Äh, das wird wohl noch dauern, lass mich mal gucken, ja, ich kann mich immer noch nicht im Firefox in mein Google Konto anmelden ...
Ja, aber das Passwort auf unsicheren Geräten einzugeben wäre dann OK für mich.
Man könnte dann auch immer einfach zu schreibende und auch nicht ganz so lange Passwörter nehmen.
Nur zur Klarstellung: Die Verwendung von 2FA welcher Art auch immer erhöht nur die
Schwierigkeit für den Angreifer, es macht einen Angriff nicht unmöglich.
PS. guter Anfang, weiter so!
