Ratschläge zu sicheren Passwörtern gibt es überall, und fast alle zielen auf den falschen Angriff.
Großbuchstaben, Ziffern, Sonderzeichen, Wechsel alle drei Monate: Das alles setzt voraus, dass jemand Ihr Passwort zu erraten versucht. Im häufigsten Fall errät heute niemand irgendetwas.
Was wirklich passiert: es wird nicht erraten, es wird erneut abgespielt
Der gewöhnliche Ablauf hat drei Schritte:
- Irgendein Dienst, bei dem Sie ein Konto hatten, verliert Daten;
- Ihre E-Mail-Adresse und Ihr Passwort landen in einer Liste;
- ein Programm probiert genau dieses Paar, unverändert, bei Dutzenden anderer Seiten aus.
Die Stärke des Passworts spielt in keinem dieser Schritte eine Rolle. Ein Passwort aus vierzig zufälligen Zeichen fällt genauso schnell wie ein schwaches, wenn es mehrfach verwendet wurde und der Dienst, der es gespeichert hatte, seine Daten verloren hat.
Deshalb steht Einmaligkeit vor Komplexität - und nicht umgekehrt, wie es die meisten Anmeldeformulare nahelegen.
Ein Stahlvorhängeschloss und seine Kette verschließen ein rotes Metallgitter vor dem Eingang eines Ladens. Hinter dem Gitter sind eine Tür, Aushänge und ein gemusterter Mosaikboden zu erkennen.
Warum Komplexitätsregeln enttäuschen
Die Vorgabe « ein Großbuchstabe, eine Ziffer, ein Sonderzeichen » hat eine Nebenwirkung, die jeder selbst beobachten kann: Fast alle umgehen die Vorgabe auf dieselbe Weise. Großbuchstabe vorn, Ziffer hinten, Ausrufezeichen zum Schluss. Die Regel wollte Unvorhersehbarkeit erzeugen; sie erzeugt ein Muster.
Ein langer Satz aus gewöhnlichen Wörtern ist dagegen leichter zu merken und teurer anzugreifen, denn was einen Rateangriff kostet, ist die Länge - nicht das Vorhandensein eines Symbols.
Die Frage lautet also nicht « sieht es kompliziert aus? », sondern « an wie vielen Stellen benutze ich es? ».
Regelmäßig wechseln: die Gewohnheit, die Serien erzeugt
Nach Kalender zu wechseln, ohne Anlass, führt zu dem, wozu willkürliche Vorgaben immer führen: zu durchnummerierten Varianten. Ist eine Version bekannt, sind die folgenden erratbar.
Was einen Wechsel rechtfertigt, ist ein Ereignis, kein Datum:
- ein Dienst meldet ein Datenleck;
- Sie sehen eine Anmeldung, die Sie nicht wiedererkennen;
- Sie wissen, dass Sie dieses Passwort anderswo ebenfalls benutzt haben;
- Sie haben ein Gerät verloren, das noch angemeldet war.
In diesen Fällen sofort wechseln - und beim E-Mail-Konto anfangen.
Die Reihenfolge, auf die es ankommt
- Ein eigenes Passwort pro Dienst. Das ist der einzige Punkt, der das Abspiel-Szenario bricht.
- Länge statt Symbole. Ein Satz aus mehreren Wörtern schlägt ein kurzes, verziertes Wort.
- Ein Passwort-Manager, weil ohne ihn der einzige Weg zu Punkt 1 darin besteht, zu wiederholen oder aufzuschreiben. Ein Passwort bleibt zu merken: Dieses muss lang sein und darf nirgendwo sonst je benutzt worden sein - der klassische Fehler ist, dort ein altes Passwort einzutragen.
- Das E-Mail-Konto zuerst. Es befehligt die anderen Konten, weil dort die Rücksetzlinks ankommen. Sie können das in drei Minuten selbst prüfen: Sehen Sie bei drei Diensten nach, wohin die Nachricht « Passwort vergessen » geschickt wird.
Punkt vier steht in den meisten Ratgeberlisten ganz am Ende, obwohl er über alles Übrige entscheidet.
Und etwas, das weder Länge noch Einmaligkeit abdecken
Alles Bisherige schützt Ihre Konten. Es sagt nichts darüber aus, was Ihr Browser nebenbei über sich preisgibt, was ein verlorenes Gerät noch entsperrt, oder welches Konto bei Ihnen persönlich die anderen zurücksetzen kann.
Das sind Gewohnheiten, keine Einstellungen, und mit einem Passwort lassen sie sich nicht beheben.
Verorten Sie Ihre eigene Angriffsfläche, 10 Fragen, etwa drei Minuten, ohne Konto, ohne E-Mail-Adresse, und nichts wird gespeichert. Das Ergebnis benennt die Maßnahme, die bei Ihnen die Angriffsfläche am stärksten verringert - und sie ist nicht für alle dieselbe.
Kurz zusammengefasst
| Üblicher Rat | Was er tatsächlich wert ist |
|---|---|
| « Großbuchstabe, Ziffer, Symbol » | Erzeugt vorhersehbare Muster; begrenzte Wirkung |
| « Alle drei Monate wechseln » | Erzeugt durchnummerierte Serien; besser bei Anlass |
| « Machen Sie es lang » | Richtig, und genau das kostet den Rateangriff |
| « Überall ein anderes Passwort » | Der einzige Punkt, der das Abspielen nach einem Leck bricht |
| « Beim wichtigsten Konto anfangen » | Beim E-Mail-Konto anfangen: es befehligt die anderen |
Der Satz, den man behalten sollte, passt in eine Zeile: Ein unknackbares Passwort, das mehrfach verwendet wird, ist kein sicheres Passwort.
Holen Sie sich NordVPN
30 Tage Geld-zurück-Garantie