Wie sicher ist mein Passwort? Better safe than sorry!

Der 6. Mai steht im Zeichen des Passworts. Auch 2021 macht der erste Donnerstag im Mai weltweit auf das Thema Passwort-Sicherheit aufmerksam. Relevanter geht es kaum in der zunehmend digitalen Welt: Durch die Rahmenbedingungen der COVID-19-Pandemie greifen Verbraucher vermehrt auf digitale Services und Produkte zurück.

Gleichzeitig haben viele Unternehmen verstärkt auf Remote Working gesetzt und ihren Mitarbeitern das Arbeiten von überall ermöglicht. Egal ob digitale Services oder Arbeiten von Zuhause – Passwörter sind ein zentraler Bestandteil der IT-Sicherheit von Nutzern und Unternehmen. Julian Totzek-Hallhuber, Solution Architect bei Veracode, gibt wertvolle Tipps für maximale Passwortsicherheit.

1. Warum einfach, wenn es auch kompliziert geht?

Sich auf der Arbeit, bei der privaten E-Mail-Adresse und diversen sozialen Medien mit dem gleichen Passwort anzumelden, ist einfach. Ein Passwort für mehrere Logins zu verwenden, klingt daher zunächst verlockend. Dabei führt Recycling von Passwörtern lediglich dazu, dass Hacker durch einen einzigen erfolgreichen Angriff Zugriff auf mehrere Konten erhalten. Das gilt auch für die Abwandlung von Passwörtern. Verbraucher müssen es sich also kompliziert machen. Auch bei der Auswahl des Passworts gilt dieser Leitsatz. Hacker knacken ein 7-Zeichen-Passwort in bis zu 0,29 Millisekunden. Sicherer: Zufällige Wortfolgen, die Sonderzeichen enthalten.

2. Das Passwort der Zukunft ist nicht nur ein Passwort

Im Rahmen der Zweifaktor-Authentifizierung nutzen Anwendungen neben dem Passwort ein weiteres Identifizierungsmerkmal, um den Zugriff von Nutzern zu regulieren. Dies erhöht die Sicherheit von Nutzern und ihren Daten enorm. Ein gängiges Modell ist die Kombination eines Passwortes mit einem Code, der per SMS an eine hinterlegte Mobilfunknummer gesendet wird. Weitere solche Identifizierungsmerkmale können biometrische Charakteristika, wie etwa ein Fingerabdruck, oder ein physischer Gegenstand, beispielsweise eine Bankkarte, sein.

3. Der Administrator gibt die Regeln vor

Neben den Nutzern stehen auch Unternehmen in der Verantwortung. Sie müssen Verbraucher dabei unterstützen, einen möglichst sicheren Code zu generieren. Trotz jahrelanger Aufklärungsarbeit im Bereich der Passwortsicherheit ist 123456 immer noch eines der häufigsten Passwörter. Administratoren müssen ihren Nutzern den Einsatz von Ziffern, Sonderzeichen oder Groß- und Kleinbuchstaben vorschreiben. Sie können auch dazu auffordern, ganze Sätze oder längere Passwörter zu verwenden. Zusätzlich können Administratoren die Nutzer dazu verpflichten, ihr Passwort in Abschnitten von mindestens 60-90 Tagen zu ändern.

4. Technik und Entwickler – immer up to date

Unternehmen müssen ihren Entwicklern Best Practices zum Thema Secure Coding vermitteln. Regelmäßige Weiterbildungen sollten also im Fokus stehen. Außerdem brauchen die Verantwortlichen die notwendigen Sicherheitstools, um Nutzer und deren Passwörter zu schützen. Die Entwickler müssen darauf achten, wie Passwörter in den Datenbanken der Anwendungen gespeichert werden. So sollen Passwörter unter keinen Umständen in Klartext gespeichert werden. Derzeit ist die sicherste Art, Passwörter zu speichern, die passwortbasierte Verschlüsselung (Password Based Encryption, PBE), die Funktionen (sogenannte Key Derivation Functions, KDFs) bereitstellt. Diese wandeln Passwörter mit niedriger Entropie in zufällige, unvorhersehbare und vor allem nicht umkehrbare Daten um.