Generator für sichere Passwörter

Wie Sie ein starkes Passwort erstellen, das Sie sich nicht merken müssen

Die meisten Menschen erstellen Passwörter noch immer nach demselben Muster: Vorname, Geburtsjahr, Name des Haustiers und am Ende ein Ausrufezeichen. Ein solches Passwort wirkt komplex, ist für ein Programm zum Erraten von Passwörtern jedoch recht vorhersehbar, da sich alle Informationen über Sie in sozialen Netzwerken finden lassen. Die praktische Regel ist einfach: Ein starkes Passwort müssen Sie sich nicht merken, Sie sollten es generieren und in einem Passwortmanager aufbewahren.

Das Vorgehen ist kurz:

1. Wählen Sie eine Länge von mindestens 16 bis 20 Zeichen.
2. Erlauben Sie alle Buchstaben, Zahlen und Symbole, ohne Ausnahmen wie "Ich verwende den Buchstaben O nicht".
3. Generieren Sie das Passwort und speichern Sie es sofort im Passwortmanager, bevor Sie es in das Anmeldeformular einfügen.
4. Erstellen Sie für jedes Konto ein neues Passwort, niemals eine Variante desselben.
5. Aktivieren Sie die Zwei-Faktor-Authentifizierung, wo immer sie verfügbar ist.

Der entscheidende Unterschied zum "manuellen Ausdenken" besteht darin, dass der Generator Zeichen ohne jede Logik auswählt, die Sie reproduzieren könnten. Deshalb ist ein solches Passwort sowohl schwerer zu merken als auch schwerer zu erraten, und genau das ist es, was Sie wollen.

Was ist die Entropie eines Passworts und warum ist die Länge wichtiger als Symbole

Die Entropie ist ein Maß für die Unvorhersehbarkeit eines Passworts, ausgedrückt in Bits. Grob gesagt verdoppelt jedes Bit Entropie die Anzahl der Versuche, die zum Erraten des Passworts erforderlich sind. Wenn Sie Zeichen aus einem großen Satz wählen (Klein- und Großbuchstaben, Ziffern, Symbole), fügt jedes zusätzliche Zeichen mehr Entropie hinzu, als die meisten Menschen erwarten. Deshalb hat ein Passwort aus 20 zufälligen Zeichen einen enormen Vorteil gegenüber "P@ssw0rd2024!", das kompliziert aussieht, aber tatsächlich aus bekannten Wörtern und Mustern zusammengesetzt ist.

Ein praktisches Beispiel: Ein Wort aus acht Buchstaben mit ersetzten Buchstaben (a wird zu @, o wird zu 0) wirkt sicher, doch Werkzeuge zum Knacken haben genau solche Ersetzungen in ihren Wörterbüchern integriert. Eine zufällige Folge aus 20 Zeichen hat kein solches Muster, daher wirkt ein Wörterbuchangriff darauf nicht.

Ein fachlicher Hinweis: Wenn ein Dienst eine Begrenzung der Passwortlänge hat (zum Beispiel 12 oder 16 Zeichen), ist das ein Zeichen dafür, dass sein Backend wahrscheinlich veraltet ist. Wählen Sie in diesem Fall die maximal zulässige Länge und aktivieren Sie unbedingt MFA, denn das Passwort allein bietet dann weniger Schutz, als Sie wünschen würden.

Ist es sicher, ein Passwort im Browser zu generieren

Es ist sicher, wenn der Generator eine kryptografisch sichere Zufallsquelle verwendet, einen sogenannten CSPRNG, und nicht eine gewöhnliche mathematische Funktion, die nur "zufällig aussieht". Der Unterschied ist wichtig: Ein vorhersehbarer Generator kann eine Folge erzeugen, die ein Angreifer rekonstruieren kann, wenn er genügend vorherige Werte kennt.

Der zweite Teil der Geschichte ist, wo das Passwort landet. Wenn die Generierung in Ihrem Browser erfolgt, wird das Passwort nicht über das Netzwerk übertragen und bleibt nicht auf dem Server der Website. Das ist wichtig, denn es hat keinen Sinn, ein perfektes Passwort zu haben, wenn es irgendwo in einer Logdatei oder einer Datenbank gespeichert ist, die Sie nicht kontrollieren.

Ein fachlicher Hinweis: Prüfen Sie, ob die Website HTTPS verwendet und ob in der Beschreibung des Generators klar steht, dass nichts an den Server gesendet wird. Wenn der Generator verlangt, dass Sie das Passwort eingeben oder es per E-Mail senden, um es "zu speichern", ist das ein Warnsignal.

Die häufigsten Fehler bei der Passwortverwaltung

• Dasselbe Passwort an mehreren Stellen. Wenn ein Dienst kompromittiert wird, probieren Angreifer dieselbe Kombination automatisch bei E-Mail, Banking und sozialen Netzwerken aus.
• Kleine Änderungen am selben Passwort. Das Anhängen einer Zahl am Ende oder das Ändern eines Buchstabens erzeugt kein neues Passwort, sondern eine Variante, die Werkzeuge leicht erraten.
• Aufbewahrung in einem Notizbuch oder einer Tabelle auf dem Desktop. Ein Passwortmanager ist genau dafür gedacht, dass der Eintrag verschlüsselt ist und nicht für jeden zugänglich, der an den Computer tritt.
• Weitergabe von Passwörtern per E-Mail oder Nachricht. Für gemeinsame Konten im Unternehmen nutzen Sie Werkzeuge zur Zugriffsfreigabe mit Nachweis darüber, wer was verwendet hat.
• Vernachlässigung von MFA. Selbst das stärkste Passwort ist verwundbar, wenn es keinen zweiten Schutzfaktor gibt.

Wenn es um eine größere Anzahl von Konten, Mitarbeitenden oder Serverinfrastruktur geht, reichen einzelne Generatoren nicht aus. EVI Solutions richtet im Rahmen der Wartung von IT-Infrastruktur Passwortrichtlinien, Zugriffsmanagement und MFA so ein, dass der Schutz systemisch ist und nicht eine Frage der Disziplin des Einzelnen.