AW: Vollpfosten-Alarm: Die dämlichsten Passwörter 2014
Empfehlenswert:
IssdenPudding oder Donaudampfschifffahrtsgesellschaftskapitaen, und für vorsichtige User eben Taumatawhakatangihangakoauauotamateaturipukakapikimaungahoronukupokaiwhenuakitanatahu.
Das ist natürlich weitaus besser als 123456 oder ähnlicher Käse, aber in der c´t gab es vor einiger Zeit einen Artikel, in dem sie aufgezeigt haben, dass sämtliche Passwörter, die auf beliebig komplizierten Merkregeln beruhen, für Profis relativ schnell zu knacken sind. Ich habe keine Zahlen mehr im Kopf aber es war schnell genug, dass sich so ein Hack u. U. auch lohnen würde. Also nicht etwa mehrere Jahre.
Ich fasse das mal zusammen, soweit ich es verstanden habe und mich noch daran erinnere. Das funktioniert dadurch, dass die Tools professioneller Passwortknacker nicht allein auf Brute Force setzen, sondern auf eine Kombination aus Brute Force mit speziellen Datenbanken. In diesen Datenbanken werden anhand geknackter Passwörter (ob durch Brute Force geknackt oder sonstwie gesammelt ist dabei wurscht) sämtliche Merkregeln eingetragen, die sich irgend jemand irgendwo einmal ausgedacht hat. Darauf basierend werden dann per Brute Force zuerst die nach diesen Regeln
wahrscheinlichtsten Passwörter ausprobiert und eben nicht einfach der Reihe nach jede Mögliche Kombination.
Ein Beispiel für so ein scheinbar zufälliges Passwort wäre SW3:dRdJ-R. Sieht doch ganz gut aus, oder? Ist aber leider relativ leicht zu knacken. Die Regel dahinter ist, einfach die Anfangsbuchstaben des Lieblingsfilmtitels zu verwenden. Hier war das Star Wars 3: die Rückkehr der Jedi-Ritter. (Das ist keineswegs mein Lieblingsfilm, aber man braucht einen längeren Filmtitel und ein anderer fiel mir gerade nicht ein.
) Der alte Trick, manche Buchstaben durch Sonderzeichen zu ersetzen, ändert nichts an dem Problem, das berücksichtigen die Programme natürlich auch.
Die Datenbanken für diese Methode werden permanent ausgebaut, sodass man davon ausgehen muss, dass die meisten Merkregeln, die uns einfallen, schon jemand anderes benutzt hat. Kurz gesagt kann heute kein auf einer für den Menschen funktionierenden Regel basierendes Passwort noch als sicher gelten. Soll ein Passwort also auch dieser datenbankgestützten Methode widerstehen, bleibt einem nichts anderes übrig, als sich ein wirklich zufälliges Passwort einzuprägen, indem man es so lange von einem Zettel abtippt, bis es sitzt. Solche Zufallspasswörter liefert eben Keepass, u. a. deshalb habe ich es in meinem ersten Posting empfohlen.
Dann gibt es auch noch diese supertollen Webseiten, die dir klipp und klar sagen "Nö, Junge, mehr wie 6 Zeichen darf dein Password nicht haben".
Oder noch besser: Es werden nur die ersten 8 Zeichen gespeichert, ins Textfeld eingeben lassen sich aber beliebig viele Zeichen...
Es wird dem unbedarften User so oder so viel zu einfach gemacht, etwas falsch zu machen.
Wenn es doch wenigstens sechs Zeichen wären! Meine Bank gestattet maximal 5 (!) Stellen als Passwort.
Ich frage mich wirklich, wie irgend ein Administrator auf so etwas kommen konnte, noch dazu der einer Bank.
