Wissenswertes zum Thema Kennwort
Wie lang sollte ein Kennwort mindestens sein ?
Ein Kennwort unter 8 Zeichen Länge gilt in jedem Fall als unzeitgemäß. Je nach verwendetem Algorithmus für die Speicherung des Kennwortes oder der verwendeten Verschlüsselung kann aber auch eine Kennwortphrase zwischen 20 und 40 Zeichen erforderlich sein.
Wie denke ich mir ein sicheres Kennwort aus ?
Ein sicheres Kennwort, dass auch die erforderliche Länge hat, sollte mindestens aus Groß- und Kleinbuchstaben bestehen, zusätzlich auch noch Sonderzeichen und Ziffern. Es sollen keine gängigen Silbenkombination, Namen oder Geburtdaten enthalten sein. Ab jetzt wird es komplex: Was bleibt dann noch ? Ich muss mir das auch noch merken können !
Sehr gut sind z.B. bestimmte Tastaturmuster, die für Außenstehende keinen Sinn ergeben. Diese kann man noch mit Groß-/Kleinbuchstaben aufpeppen. Oder man bildet einen sprechenden Satz, verwendet aber aus jedem Wort nur einen Buchstaben: aus dem ersten Wort den ersten Buchstaben, aus dem zweiten den …. Phantasie ist gefragt.
Wieso muß ich mir ständig neue Kennworte ausdenken ?
Kennwortalterung, Kennworthistorie, Begrenzung der Anmeldeversuche und automatische Accountsperre bei Nichtbenutzung sind aktuelle Konzepte zur Sicherung eines kennwortgeschützten Zugangs.
Wegen der u.a. Methoden um ein Kennwort zu knacken ist eine Kennwortalterung von 30-90 Tagen sinnvoll. Hierdurch wird das Risiko eines bekannt gewordenen Kennworts auf einen begrenzten Zeitraum minimiert. Damit nicht immer wieder das gleiche Kennwort verwendet wird, ist eine Regelung sinnvoll, dass das neue Kennwort keinem der 3 letzten Kennworte entspricht. Spätestens nach 3-5 Fehlversuchen muß der Account gesperrt werden. Hat sich ein Benutzer 30-90 Tage nicht angemeldet, ist der Account ebenfalls zu sperren. Immer wieder werden sogenannte „verwaiste Accounts“ für Zwecke der Hacker mißbraucht.
Kann man es auch übertreiben ?
Ja, selbstverständlich. Besonders in Firmen führen strenge Passwortregeln dazu, dass die Kennworte aufgeschrieben werden. Mitarbeiter lassen sich jedoch durch Schulungen sensibilieren, auch die strengen Kennwortregeln zu akzeptieren. In den Schulungen kann auch vermittelt werden, wie man sich sichere Kennworte ausdenkt und diese auch nicht so schnell vergisst.
Wie speichern die Systeme mein Kennwort, ohne das andere das lesen können ?
In sicheren Systemen wird nicht das Kennwort selbst gespeichert, sondern der aus dem Kennwort berechnete hash-Wert. Dieser hash-Wert stellt eine Verschlüsselung dar, die nur in eine Richtung funktioniert und nicht zurückgerechnet werden kann. Beim Zugriff mit dem richtigen Kennwort berechnet das System den hash-Wert erneut. Ist der gleich dem gespeicherten Wert, ist das Kennwort ok. Gängige Verfahren der Bildung eines hash-Wertes sind z.B. md5 (128bit) oder sha-256.
Ein Kennwort für alles ?
Es wird dringend empfohlen, nicht für alle Accounts das gleiche Kennwort zu wählen. Sollte ein Kennwort mal bekannt werden, hat man gleich eine riesige Sicherheitslücke. Leider ist es so, das man in der aktuellen Onlinewelt sehr viele Accounts bei verschiedenen Auktionshäusern, Onlinehändlern, Mailaccounts etc. hat. Mindestens sollte man aber eine handvoll verschiedene Varianten benutzen, je nach Grad der Vertraulichkeit.
Im professionellen Umfeld bieten so genannte „Single Sign On (SSO)“ Lösungen eine komfortable Lösung. Man muss sich nur einmal Anmelden und kann alle beteiligten Anwendungen benutzen. Das vermindert den administrativen Aufwand, auch bei Personalveränderungen. Es ist sichergestellt, das bei Berechtigungsänderungen oder Wegfall an einer Stelle administriert wird und nicht einzelne Berechtigungen vergessen werden. Auch der Aufwand für „Kennwort vergessen“ ist geringer, weil der Mitarbeiter sich nicht mehr so viele Kennworte merken muß. Nachteile: Wird das Kennwort bekannt, hat der Hacker alles. Wenn ich den Account sperre habe ich nichts mehr.
Kann ich mir Kennworte auch sicher aufschreiben ?
Gerade für seltene Benutzung eines Accounts kann das sehr nützlich sein. Möglichkeiten dazu bestehen in verschlüsselten Dateien. Hochrisiko behaftet sind die immer noch gängigen Zettel in der Geldbörse und der Zettel unter der Tastatur.
Wie sicher sind „Kennwort speichern“ Funktionen ?
Jeder Browser oder jedes Mailprogramm bieten diese Funktion. Es geht dabei aber nicht nur um die Möglichkeit, dass das gespeicherte Kennwort zurückentschlüsselt werden kann, sondern mehr um das Risiko, das jeder der den PC benutzt damit auch gleich Zugriff auf meine anderen Accounts hat. Von der Benutzung dieser Funktionen kann daher nur abgeraten werden. Insbesondere im beruflichen Umfeld. Sollte der Administrator meines beruflichen PCs auch die Möglichkeit haben meinen PC zu starten. Damit kommt er aber noch lange nicht an meine Mail, meine Internetforen und sonstigen Anwendungen.
Wie kann ich einen gesperrten Account zurücksetzen lassen
Im Internet werden häufig „Kennwortrücksetzungsfragen“ schon beim Anlegen eines Accounts vereinbart. Dabei werden Fragen gestellt, wie z.B. „Wie lautet ihr Lieblingsberuf“ oder „Wie hieß die erste Schule auf die sie gegangen sind“… Diese Frage bekommen sie wieder gestellt, wenn sie ihren Account gesperrt haben oder ihr Kennwort vergessen haben. Aber: Diese Fragen und Antworten sind in der Regel so einfach, dass auch Bekannte/Freunde dies beantworten können. In einem seriösen oder professionellen Umfeld wird man ihnen ein neues Kennwort gesichert übermitteln.
Welche Methoden gibt es Kennworte zu knacken ?
Moderne Computer sind in der Lage tausende von Versuchen zu unternehmen um ein Kennwort durch ausprobieren zu knacken. Diese Methode nennt man „Brute Force Attacke“.
Weiterhin werden Kennworte durch ausprobieren geknackt, indem „beliebte“ Kennwortkombinationen aus einer Wortbibliothek verwendet werden. Diese Wortbibliotheken sind abhängig von der Region/Sprache in dem der zu knackende Account betrieben wird. In der Bibliothek sind neben den üblichen Trivialkennworten „start“, „root“, „Administrator“ vor allem Namen, Vornamen, Firmennamen enthalten. Diese Worte werden je nach „Intelligenz“ des Knackers in verschiedenen Groß-/Kleinschreibvarianten probiert, ggf. noch mit Zusätzen wie Ziffern. Hiermit lassen sich durch einige Tausend Versuche bis zu 80% der Kennworte knacken.