Passwortstärke prüfen

Wie Sie ein starkes Passwort erstellen, das Sie sich merken können

Die Länge ist am wichtigsten, aber allein nicht ausreichend. Ein Passwort aus 20 Zeichen, das aus gewöhnlichen Wörtern besteht (meinhunderstergeburtstag), hat deutlich weniger tatsächliche Entropie, als die Zeichenzahl vermuten lässt, denn ein Angreifer rät nicht Buchstabe für Buchstabe, sondern probiert Wörter aus Wörterbüchern und deren Kombinationen aus. Deshalb misst eine Passwortstärkeprüfung zwei Dinge: wie lang das Passwort ist und wie vorhersehbar es ist.

Ein praktischer Ansatz für die meisten Menschen ist die sogenannte Passphrase: vier bis sechs zufällig ausgewählte Wörter, verbunden durch ein Trennzeichen oder eine Zahl, z. B. kaffee-berg-7-tastatur. Eine solche Phrase ist lang, leichter zu merken als eine zufällige Zeichenfolge und widerstandsfähig gegen Wörterbuchangriffe, sofern die Wörter wirklich zufällig gewählt und nicht inhaltlich miteinander verbunden sind.

Wenn Sie ein Passwort manuell erstellen, beachten Sie Folgendes:

1. Streben Sie mindestens 16 Zeichen für wichtige Konten an (E-Mail, Bank, Passwortmanager).
2. Vermeiden Sie persönliche Daten: Namen, Geburtsdaten, Namen von Haustieren, Firmennamen.
3. Verwenden Sie keine Muster wie Passwort2024! oder Qwerty123; Knacktools führen diese ganz oben auf ihren Listen.
4. Verwenden Sie dasselbe Passwort nicht auf mehreren Websites erneut, denn ein einziger Leak öffnet dann alle Konten.
5. Verwenden Sie für zufällige Passwörter einen Generator und zum Merken einen Passwortmanager.

Warum ein langes Passwort als schwach eingestuft wird

Dies ist das häufigste Missverständnis. Das Passwort Berlin2023Berlin hat 18 Zeichen, besteht aber aus einem bekannten Wort, einer Jahreszahl und einer Wiederholung. Die Einschätzung ist, dass ein solches Passwort in wenigen Sekunden oder Minuten fällt, denn der Angreifer beginnt nicht bei null: Er nutzt Listen geleakter Passwörter, Wörterbücher, Regeln zur Buchstabensubstitution (a zu @, o zu 0) und Muster, die Menschen gewohnheitsmäßig erzeugen.

Entropie ist ein Maß für Unvorhersehbarkeit, ausgedrückt in Bits. Jedes zusätzliche Bit verdoppelt die Anzahl der Versuche, die zum Knacken nötig sind. Ein zufälliges Passwort aus 12 Zeichen mit gemischten Groß- und Kleinbuchstaben, Zahlen und Symbolen hat etwa 70 Bit Entropie, während eine Phrase aus vier gewöhnlichen Wörtern je nach Größe des Wörterbuchs, aus dem sie gewählt wurden, weniger haben kann. Deshalb betrachtet die Prüfung nicht nur die Länge, sondern auch die Struktur.

Tipp für Fortgeschrittene: Wenn Sie eine Passphrase verwenden, wählen Sie Wörter aus einem größeren Wörterbuch und fügen Sie eine zufällige Zahl oder ein Symbol an einer unerwarteten Stelle ein, nicht am Ende. Vermeiden Sie Zitate, Sprichwörter und Verse, denn auch diese finden sich in den Datenbanken, die Angreifer nutzen.

Wie genau die Schätzung der Knackzeit ist

Die Schätzung geht von 10 Milliarden Versuchen pro Sekunde aus, was der Geschwindigkeit entspricht, die moderne Grafikkarten erreichen, wenn ein Angreifer an einen gestohlenen Passwort-Hash gelangt. Das ist ein realistisches Szenario für Websites, die Passwörter als schnelle Hashes speichern (z. B. altes MD5 oder SHA1 ohne Salt). Wenn die Website langsames Hashing verwendet (bcrypt, Argon2) und ein Salt einsetzt, ist die tatsächliche Knackgeschwindigkeit um ein Vielfaches geringer.

Lesen Sie die Schätzung daher als Größenordnung, nicht als exakte Frist. Wenn das Tool "durchschnittliche Knackzeit: 3 Sekunden" anzeigt, bedeutet das, dass das Passwort praktisch keinen Schutz bietet. Wenn es "mehrere Jahrhunderte" anzeigt, heißt das nicht, dass das Passwort ewig sicher ist: Wenn es auf einer Website leakt, die es schlecht speichert, kann ein Angreifer es auch schneller knacken, als die Schätzung vermuten lässt.

Die häufigsten Fehler bei der Prüfung und Speicherung von Passwörtern

Der erste Fehler ist das Testen des echten Passworts auf beliebigen Websites. Dieses Tool arbeitet lokal im Browser und das Passwort verlässt das Gerät nicht, aber das ist keine Regel für alle ähnlichen Dienste. Wenn Sie nicht sicher sind, wohin die Daten gesendet werden, testen Sie eine Variante des Passworts, niemals das Original.

Der zweite Fehler ist die ausschließliche Verlassung auf das Passwort. Ein langes und starkes Passwort hilft nicht, wenn das Konto durch Phishing oder einen Leak von einer anderen Website kompromittiert wurde. Aktivieren Sie die Zwei-Faktor-Authentifizierung (MFA), wo immer sie verfügbar ist, möglichst per App oder Hardwareschlüssel, nicht per SMS.

Der dritte Fehler ist die Speicherung von Passwörtern im Klartext, in Notizen oder einer Tabelle. Ein Passwortmanager löst sowohl das Merken als auch die Einzigartigkeit: Sie merken sich ein einziges langes Master-Passwort, und alle anderen generiert das Tool.

Wenn in einem Unternehmen mehrere hundert Konten und Systeme existieren, geht die Verwaltung von Passwörtern und Zugriff über den Rahmen eines einzelnen Tools hinaus; in solchen Fällen kann EVI Solutions bei der Einführung eines Passwortmanagers, von MFA und einer Zugriffsrichtlinie unterstützen.