Sichere Passwörter

Wichtige Grundlagen

Bei der Eingabe Ihres Passworts z.B. bei der Anmeldung an Windows, wird dieses mit einem gespeicherten sogenannten Hash-Wert Ihres Passworts verglichen. Der Hash-Wert hat zwei große Vorteile:

1. Er ist wie eine Einbahnstraße: Gleiche Passwörter generieren den gleichen Hash-Wert, aber aus dem Hash kann nicht auf das Passwort zurückgeschlossen werden.
2. Einfach zu rechnen und schwer zu raten: Das Hashen geht sehr schnell und einfach, zudem liefern sehr ähnliche Passwörter komplett andere Hashes (siehe „Ausflug HASH).

Klar ist, was guten Schutz ausmacht:

1. Das Passwort sehr lang bzw. komplex zu machen.
2. Das Passwort anderen NICHT verraten und gut schützen.
3. Den Hash schützen.
4. Sichere Hash-Algorithmen verwenden, am besten mit „Salt“ und „Pepper“

Die Punkte 1 und 2 obliegen Ihrer Verantwortung. Die Punkte 3 und 4 betreffen nur Entwickler. Weiter unten im Text ("Ausflug Hash") sehen Sie verschiedene Hashes

Wie knacken Cracker das Passwort?

Es gibt eine Vielzahl an Hardware und Software-Werkzeugen. Die meisten sind frei verfügbar und können leicht benutzt werden.

Diese Werkzeuge wollen die Ratezeit stark verkürzen, indem sie z.B.

• in Tabellen mit Milliarden von gespeicherten HASH–PASSWORT-Paaren nachschlagen.
• die Zeichen clever setzen. So kann man die maximal möglichen 256 ASCII Zeichen stark reduzieren, da wir in Deutschland wohl überwiegen 26 kleine und 26 große Buchstaben, 10 Ziffern und die 10 gängigen Sonderzeichen verwendet. Das macht dann in Summe 72 Zeichen statt 256. Das ist erheblich weniger, da die Anzahl der möglichen Passwort-Varianten exponentiell steigt.
• bekannte, bereits geknackte Nutzer-Passwort-Kombinationen in anderen Services ausprobieren.
• bekannte Infos nutzen, z.B. die Organisation verwendet Passwörter mit 8 Stellen und lässt nur diese 4 Sonderzeichen zu.
• spezielle Hardware einsetzen, die viele Werte in kürzester Zeit ausprobieren, sehr gut eignen sich hierfür Grafikprozessoren.

Was heißt das nun im ungünstigsten Fall (für den Hacker)? Der Hacker benötigt mit einem heutigen PC zum Knacken (Daumenwerte):

• Bei   6-stelligen Passwörtern: Sekunden
• Bei   8-stelligen Passwörtern: Tage
• Bei 10-stelligen Passwörtern: Jahre
• Bei 12-stelligen Passwörtern: Jahrtausende

Nochmals unser Rat

1. Wenn Sie sich bei der Güte Ihres Anmeldepassworts unsicher sind, ändern Sie dieses gleich unter https://www.uni-augsburg.de/passwort/.
2. Finger weg von kurzen/keinen Passwörtern.
3. Wenn Sie ein komplexes Passwort wie M4Wskw?100!N verwenden, sind 12 Stellen ein guter Kompromiss zwischen sehr guter Passwort-Sicherheit und Benutzerfreundlichkeit. Bei einer Administrator-Kennung muss das Passwort zumindest 16 Stellen aufweisen.
4. Verwenden Sie unbedingt bei jedem Verfahren ein signifikant anderes Passwort. Es keine gute Idee nur eine Zahl zu erhöhen, wie MeInP@ssWORT12, MeInP@ssWORT13, …
5. Testen Sie ab und zu, z.B. unter https://sec.hpi.de/ilc, ob Ihre Anmeldedaten bereits bekannt sind.
6. Benutzen Sie am besten einen Passwort-Manager, der Ihnen gute Passwörter generiert, Sie bei Gleichheit warnt, oder auch, wenn das Pärchen Kennung/Passwort geleakt wurde bzw. das Passwort inzwischen unsicher ist.
7. Prüfen Sie, ob Sie eine Zwei- bzw. Mehrfaktor-Authentifizierung (2FA/MFA) verwenden, soweit diese vom Verfahren angeboten wird. Dies gilt insbesondere bei erhöhten Sicherheitsanforderungen.
8. Behandeln Sie Passwörter immer vertraulich, persönliche Passwörter sollten weder einsehbar sein, noch weitergegeben werden.

Passwörter wechseln?

Wie oft sollte ich meine Passwörter wechseln? Früher lautete die Antwort des BSI: mindestens alle 3 Monate. Das ist inzwischen revidiert. Auf alle Fälle immer komplexe Passwörter, die aber nicht ohne Grund gewechselt werden müssen.
Anders gefragt: Wenn Sie einen Passwort-Manager benutzen, was hindert, zumindest die wichtigsten Passwörter jährlich zu wechseln? Der Passwort-Manager erinnert Sie zudem daran.
UNBEDINGT BEACHTEN! Wann immer Sie Bedenken haben, dass Ihr Passwort bekannt geworden sein könnte (z.B. weil ein Shopsystem, das Sie benutzen, geknackt wurde), müssen Sie es UNBEDINGT SOFORT ändern.

Ausflug HASH - für Interessierte

Passwörter werden nicht im Klartext gespeichert sondern als Hash-Wert. Hash-Werte haben zwei wichtige Eigenschaften:  Erstens ist es einfach aus einem Passwort einen Hash zu erzeugen, aber nahezu unmöglich aus einem Hash das Passwort zu erhalten. Zweitens haben zwei ähnliche Passwörter total unterschiedliche Hash-Werte. 

Wenn Sie sich z.B. in Windows anmelden wird das eingegebene Passwort zu einem Hash umgerechnet und mit dem gespeicherten Hash verglichen. Falls jemand nun den Hash klaut, weiß er noch lange nicht das Passwort. Nun gibt es aber Tabellen mit Milliarden bereits gerechneter Passwort - Hash Paaren. Der Hacker versucht sich also den Hash zu schnappen und vergleicht ihn mit der Tabelle. Falls der Wert in der Tabelle gefunden wird, ist damit das zugehörige Passwort bekannt und ihr Account geknackt. Darum niemals bekannte Passwörter oder einfache Passwörter vewenden. 

Nachfolgend haben wir einige Hashwerte generiert. Die verhashten Passwörter lauten PasswörtersindKlasse (schwarze Schrift) sowie Passwörtersindklasse (fette Zeichen) und zeigen, wie unterschiedlich die Hashes selbst bei solch geringen Änderungen werden.

Die durchgestrichenen Algorithmen gelten als nicht mehr sicher und dürfen künftig nicht verwendet werden. Die SHA-Familie ist wohl die am besten abgesicherte Methode. Manchmal werden HASH-Algorithmen auch kombiniert. SHA-256+RIPEMD-160 wird bei Bitcoin verwendet, was kurze Endwerte (RIPEMD-160) mit hoher Sicherheit (vorangehender SHA-256 Hash) verbindet.        

Das Hashen geht übrigens auch mit Dateien. Mit einem Hashwert können Sie auf einfache Weise prüfen, ob Dateien verändert wurden.

Gute Generatoren mit vielen Algorithmen gibt es natürlich im Netz, z.B. https://md5calc.com/hash.