Passwörter einfach erklärt
von caschy | 15 Kommentare
Ich mag einen Großteil von Alexander Lehmanns Videos. Das populärste davon ist sicherlich die „Du bist Terrorist“-Geschichte, die wir hier damals auch im Blog hatten. Aber auch „Das Netzwerk„, „Cleanternet“ und „Wir lieben Überwachung“ sind tolle Werke. Oftmals einfach heruntergebrochen, regen sie vielleicht bei dem einen oder anderen dazu an, einmal nachzudenken. Das Ganze ohne den erhobenen Zeigefinger, auf eine wirklich sympathische Art. Das aktuelle Video von Alexander Lehmann hört auf den Namen „Passwörter einfach erklärt“ und ist am 10. September 2015 erschienen.
Während ich diesen Beitrag schreibe, hat das Video unter 5.000 Zugriffe, dabei hat es wesentlich mehr verdient. Es geht nicht um Terroristen oder Überwachung, aber um ein anderes wichtiges Thema – unsere Passwörter. Alexander Lehmann bricht einiges in dem Video herunter und erklärt für Einsteiger, warum es wichtig ist, ausreichend lange Passwörter – besser noch Passwortsätze – zu benutzen.
Dennoch muss man bedenken, dass auch Passwortsätze nicht der Weisheit letzter Schluss sind, wenn diese in Form von „DiesIstMeinPasswortFürEmail“ und „DiesIstmeinPasswortFürEbay“ genutzt werden und ein Angreifer vielleicht nur eines in der Hand hat. Man muss schon kreativer sein – und wenn es mit dem Merken schwer wird, dann greift man zu Passwort-Managern. Davon gibt es ja genug, beispielsweise Password Safe oder aber auch KeePass.
Tja – und wenn einige mal ehrlich sind: Verbesserungspotential ist in Sachen Passwörtern sicherlich auch bei uns vorhanden – nicht nur bei denen, die wir Einsteiger nennen…
Wird geladen ...
Nein, ein Passwortsatz ist per se nicht sicherer als ein Passwort – er ist nur leichter zu merken. Die Passwortstärke ergibt sich aus der Länge des Passworts und seiner Komplexität (d.h. dem verwendeten Zeichenraum) – und natürlich muss das Passwort durch einen fairer Zufallsprozess entstehen.
Ein 20-stelliges Passwort, das aus einem 94-stelligen Zeichenraum erstellt wurde, ist sicherer als ein 20-stelliger, alphanumerischer Passwortsatz. Das sind natürlich nur theoretische Betrachtungen, aber dennoch sollte es erwähnt werden.
Lesematerial:
Relevante XKCD Comics:
1. https://xkcd.com/936/ (Password Strength)
2. https://xkcd.com/792/ (Password Reuse)
Kommentare zu diesen Comics:
1. https://www.reddit.com/r/askscience/comments/wmzrz/is_xkcd_right_about_password_strength
2. http://security.stackexchange.com/questions/6095/xkcd-936-short-complex-password-or-long-dictionary-passphrase
3. http://security.stackexchange.com/questions/62832/is-the-oft-cited-xkcd-scheme-no-longer-good-advice
Enjoy (or not)…
Für die Allgemeinheit gut erklärt, vielleicht wacht dann der eine oder andere auf, und nimmt nicht nur den Names seines Haustieres als Passwort.
Komisch, dass bis jetzt immer noch niemand auf xkcd verlinkt hat http://xkcd.com/936/
1password ist die Lösung.
Die Rechnung geht aber auch nur auf wenn man annimmt, dass die Wörter im Satz zufällig sind (deswegen tut Randall in seinem xkcd ja auch extra sagen man soll 4 zufällige Wörter nehmen).
Sonst sind wir wieder an dem Punkt wo man Listen mit den häufigst benutzen Sätzen erstellen kann.
Ich glaube nicht dass wir Menschen beim zufälligen Bauen von Sätzen sehr besser sind als beim zufälligen wählen von Wörtern.
Ich benutze ja aktuell einen Passwortmanager und habe mal eine Zeit lang (so halb aus Jux) probiert online 32 oder sogar 64 Zeichen lange Passwörter zu verwenden. So grob geschätzt 80% der Seiten nehmen die nicht mal an und haben eine _maximal_ Länge von 20 Zeichen (Hätte vorher nicht einmal gedacht, dass die so was wie eine Maximallänge überhaupt implementieren).
Und bei so wenig Zeichen ist’s natürlich dann auch Essig mit den schön langen Passphrasen 🙁
… just my 2cents
Mike
Ich nutze seit einiger Zeit http://masterpasswordapp.com. Bin durch einen ct Artikel drauf aufmerksam geworden. Vorteil ist, dass die Passwörter nicht gespeichert werden müssen und trotzdem immer auf allen Geräten synchron sind.
Bleibt noch Pwcalc zu erwähnen. Auch als Chrome Plug-in…
Ich finde es befauernswert dass manche Anbieter nur kurze Passwörter zulassen. So bin ich auf mehreren Seiten registriert, wo die maximale Passwortlänge nur 10 Zeichen beträgt. Für einen Passwortsatz ist das definitiv nicht lang genug. Hier sollten auch die Anbieter so langsam mal mit der Zeit gehen.
Allem voran hier als negativ Beispiel zu nennen ist die Postbank.
Diese lässt nur 5 Zeichen zum Anmelden für die Privatkunden zu.
Ich reg mich auch des öfteren über die irsinnge maximal Länge von Passwörtern bei manchen Diensten auf… Aber was dann noch dazu kommt, ist meistens ein Verbot von (manchen) Sonderzeichen…
Passwörter lass ich mir von KeePass erstellen, schön lang und mit allen möglichen Sonderzeichen. Bei der Registration kopier ich das Passwort dann da rein und stell dann in der Regel erstmal fest: zu lang… Ok, neues kürzeres Passwort. Dann nächster Fehler: Passwort darf keine Leerzeichen enthalten. Ok, neues Passwort ohne Leerzeichen, dann aber: Passwort darf kein §$% enthalten… Irgendwann hab ich dann meine schön sichere Struktur so weiter verkrüppelt und heruntergebrochen, dass der Dienst das endlich annimmt.
Am schlimmst war da noch Rockstar, welche gewisse Sonderzeichen wollen, aber nicht alle unterstützen. Und zu dem Zeitpunkt, wo ich mir da nen Acc angelegt hatte, hatten die nicht mal verraten welche Sonderzeichen Pflicht sind und welche verboten sind -.-#
Was ich aber bis heute immer noch nicht verstehe: WIESO zum Henker muss ich fürs Onlinebanking ein exakt 5 Zeichen langes Passwort nehmen?
Das lustigste Verhalten haben die Sparkassen: Sie erlauben auch längere Passwörter. Aber nur beim Zugriff über die Webseite funktioniert das auch. Per App bspw. werden nur die ersten fünf Zeichen verglichen, weshalb dann selbst das richtige Passwort abgewiesen wird …
Hmm, sehe nur ich den Link zu dem Video nicht oder gibt es den im Artikel nicht??
@Endogen: Den zeigts in der App nicht an. Auf der normalen Seite ist das video einfsch eigebunden.
https://youtu.be/jtFc6B5lmIM
@Caschy: Den Link zum anfangs erwähnten Terroristen-Video ist auch nirgends zu finden. 😉