Sichere und merkbare Passwörter: x!FdD´Px3+UWG8.a
Geknackte SSL-Verbindungen erinnern uns daran: Ein Passwort muss sicher sein. Und man sollte es sich merken können. Wie geht das zusammen?
Chefredaktion taugt nicht. Auch nicht in den Varianten ChEfRedàKt10n oder 3hEFréD1kt9oN. Chefredaktion taugt nicht, weil ein gutes Passwort mindestens 15, besser noch 16 Zeichen haben soll, die sich zufällig aus groß und klein geschriebenen Buchstaben, Ziffern und Sonderzeichen mischen.
Ein gutes (im Sinne von sicheres) Passwort ist x!FdD´Px3+UWG8.a oder o´FnXE.;h2XJ0P8U bzw. keins von beiden, weil sie hier schon publiziert wurden und damit verbrannt sind. Jeder Passwort-Generator, der auf 16 Stellen ausgerichtet ist, kann passende Antworten geben.
Das Problem an x!FdD´Px3+UWG8.a und o´FnXE.;h2XJ0P8U ist: Das können wir uns nicht merken. Zumindest dann nicht, wenn wir dem Rat von Fachleuten folgen, die sagen, dass alle wichtigen Accounts wie E-Mail, Online-Banking, digitales Shopping etc. mit je einem eigenen Passwort gesichert sein sollten.
Mit Mühe ließe sich x!FdD´Px3+UWG8.a als generelles Passwort lernen, nicht aber auch noch o´FnXE.;h2XJ0P8U und WzIRE"GpyGWubN?h. Was heißt schon wichtige Accounts? Der eine steckt viel Liebe und Fleiß in den eigenen Facebook-Auftritt, die andere kann ohne drei Stunden „Everquest“ am Tag nicht leben.
12345678 und qwertzu
Und nun? Alles im Passwort-Manager des Rechners speichern? Eher nicht. Das ist, als legte man einem Taschendieb im Portemonnaie auch gleich noch eine Tan-Liste, den Fahrzeugbrief und einen Zweitschlüssel für die Wohnung als Service bereit. Kehren wir in den Blütezeiten der Digitalisierung zur Zettelwirtschaft zurück? Das kann machen, wer niemals Zettel verliert oder verlegt und sie stets so aufbewahrt, dass sie tatsächlich immer parat sind. Sicherheit kommt dort an ihre Grenzen, wo das Gedächtnis dem Menschen sagt: Was mir nicht dient, bringt nichts.
Jedes Jahr veröffentlichen Sicherheitsdienstleister Listen mit den größten Passwortdämlichkeiten. In der englischsprachigen Welt heißt ein häufig verwendetes Passwort dann „Password“, in Deutschland „Passwort“. Auch naheliegende Tastaturkombinationen wie qwertzu und 12345678 sind beliebt, ebenso die Namen von Popstars und Fußballvereinen.
Digital Viertelgebildete lachen über solche Listen und jene User, die solche Passwörter verwenden. Sie selbst fühlen sich sicher, weil sie glauben, auf ihr uztrewq und 87654321 komme niemand. Darüber wiederum schütten digital Halbgebildete viel Häme aus. Ihre Kombination aus Merkbarkeit und Sicherheit besteht in Worten aus dem persönlichen oder beruflichen Kontext, die mit Ziffern und Sonderzeichen aufgepimpt werden: aus Chefredaktion wird ChEfRedàKt10n.
Aus lukpssulzm wird ?lUkpSsUlZm14%
Digital Dreiviertelgebildete schmunzeln auch darüber. Sie wissen: Das eine Passwort gibt es nicht. Es gibt nur viele Passwörter, die in einem unregelmäßigen Abstand auch noch gewechselt werden. Als Basis kann beispielsweise dieser Satz dienen: „Lange und komplizierte Passwörter sind sicherer und leichter zu merken“. Aus den einzelnen Wortanfängen wird erst „lukpssulzm“, dann folgt die eingearbeitete Groß-/Kleinschreibung mit „lUkpSsUlZm“, weiterhin werden Ziffern eingefügt, die für einen selbst Sinn ergeben (Geburtsjahr der Mutter; Alter, in dem ich den ersten Joint rauchte; das Jahr, in dem mein Fußballverein sein letztes Spiel gewann) wie in „lUkpSsUlZm04“, schließlich folgen Sonderzeichen, so dass am Ende „?lUkpSsUlZm14%“ steht.
Für unterschiedliche Passwörter muss jede und jeder sein eigenes System finden. Anders geht es nicht. Um beim Beispielsatz „Lange und komplizierte Passwörter sind sicherer und leichter zu merken“ und seiner Abkürzung „lukpssulzm“ zu bleiben: Beim Online-Banking-Passwort wird dann nur die Groß-/Kleinschreibung alle ein/zwei/drei Monate variiert, zuerst werden die ersten beiden Buchstaben in Versalien geschrieben, dann die nächsten beiden usw. Ziffern und Sonderzeichen bleiben gleich.
Bei weiteren Passwörtern bleibt die Groß-/Kleinschreibung gleich, und nur die Ziffern werden verändert. Bei Facebook beispielsweise rücken alle drei Monate die Zahlen um je zwei Positionen von hinten auf oder aber die Ziffern werden nach einem bestimmten System ausgetauscht – von 50 aufwärts um je 3 Ziffern, von 500 abwärts um je vier Ziffern usw. Weitere Accounts werden allein von einer sinnvollen, für den Nutzer und die Nutzerin einfach nachvollziehbaren Änderung der Sonderzeichen geschützt, Groß-/Kleinschreibung und Ziffern bleiben gleich. Da sind Fantasie und Logik gleichermaßen gefragt, statische Systeme verbieten sich auf dieser Ebene von selbst.
16stellige Zufallskombinationen samt Mehrfaktorautorisierung
Digital Ganzgebildete runzeln über die Mühen der digital Dreiviertelgebildeten die Stirn. Sie wissen: Sicherheit gibt auch dieses Verfahren nicht. Ein Algorithmus, der darauf angesetzt wird, ein Passwort zu knacken, dessen Kern etwas anderes als reiner Zufall ist – und der Satz „Lange und komplizierte Passwörter sind sicherer und leichter zu merken“ samt seiner Abkürzungen und Verfremdungen ist ja eben kein Zufall –, wird es auch knacken. Die Frage dabei ist nicht ob, sondern wann. Dem entgegengesetzt werden 16stellige Zufallskombinationen, am besten versehen mit einer sogenannten Mehrfaktorautorisierung.
Das bedeutet, das lange Zufallspasswörter noch einmal anders bestätigt bzw. ergänzt werden müssen. Bei der Passwortabfrage wird eine verschlüsselte E-Mail mit einem Code an ein anderes Gerät verschickt, dieser Code wiederum kann nur per SMS bestätigt werden. Den meisten Nutzern ist das mTan-Verfahren bei elektronischen Banküberweisungen bekannt, auch hier dient ein anderes Gerät der Authentifizierung.
Ebenso können biometrische Merkmale wie Fingerabdruck- oder Irisscan zur Anwendung kommen. Denkbar für die Mehrfaktorautorisierung sind zudem komplexe körperliche Merkmale wie DNS-Informationen. Und ebenso denkbar ist, dass damit aus mittelgroßen Problemen des Datenschutzes riesige Probleme werden.
Der Unterschied von Wahrscheinlichkeit und Sicherheit
Absolute Sicherheit von Passwörtern geht auf Kosten der Merkbarkeit und umgekehrt. Eine Lösung, die beiden Aspekten gerecht wird, ist nicht in Sicht. Man mag sich in der Sicherheit wiegen, die Wahrscheinlichkeit, dass jemand einen Algorithmus ausgerechnet auf mein Passwort(-System) ansetzt, sei im Vergleich zu Angriffen auf die IT-Systeme der Deutschen Bank, des Europäischen Parlaments oder einer Rüstungsfirma gering. Wahrscheinlichkeit ist gut, endgültige Sicherheit sieht anders aus.
Ein großer Vorteil der digitalen Welt bestand bislang darin, das Leben der Menschen einfacher zu machen. Die nicht einfache Antwort auf die einfache Frage, wie ein Passwort zugleich sicher und merkbar sein kann, zeigt: Der Vorteil schwindet. NSA, GCHQ und Verfassungsschutz, die nach eigenem Bekunden angetreten sind, das Leben der Menschen sicherer zu machen, machen es im Alltag unsicherer. Und schwieriger.
Links lesen, Rechts bekämpfen
Gerade jetzt, wo der Rechtsextremismus weiter erstarkt, braucht es Zusammenhalt und Solidarität. Auch und vor allem mit den Menschen, die sich vor Ort für eine starke Zivilgesellschaft einsetzen. Die taz kooperiert deshalb mit Polylux. Das Netzwerk engagiert sich seit 2018 gegen den Rechtsruck in Ostdeutschland und unterstützt Projekte, die sich für Demokratie und Toleranz einsetzen. Eine offene Gesellschaft braucht guten, frei zugänglichen Journalismus – und zivilgesellschaftliches Engagement. Finden Sie auch? Dann machen Sie mit und unterstützen Sie unsere Aktion. Noch bis zum 31. Oktober gehen 50 Prozent aller Einnahmen aus den Anmeldungen bei taz zahl ich an das Netzwerk gegen Rechts. In Zeiten wie diesen brauchen alle, die für eine offene Gesellschaft eintreten, unsere Unterstützung. Sind Sie dabei? Jetzt unterstützen
meistkommentiert
BSW in Thüringen
Das hat Erpresserpotenzial
Friedenspreis für Anne Applebaum
Für den Frieden, aber nicht bedingungslos
BSW in Sachsen und Thüringen
Wagenknecht grätscht Landesverbänden rein
Rückkehr zur Atomkraft
Italien will erstes AKW seit 40 Jahren bauen
Klimaschädliche Dienstwagen
Andersrum umverteilen
Tech-Investor Peter Thiel
Der Auszug der Milliardäre aus der Verantwortung