Die besten Tipps für ein sicheres Passwort

Haben Sie fürs E-Banking, für jeden Onlineshop und jeden E-Mail-Account ein eigenes, starkes Passwort, das Sie sich wunderbar merken können? Super, dann sind Sie auf der sicheren Seite. Falls Sie aber – wie die meisten von uns – mehr Zeit damit verbringen, vergessene Passwörter zurückzusetzen, als starke zu kreieren, lohnt es sich, unseren Blog zu lesen.

Was ist für ein sicheres Passwort wichtiger: Komplexität oder Länge?

Für ein sicheres Passwort braucht es eine gelungene Kombination aus Klein- und Grossbuchstaben, Ziffern und Sonderzeichen – und davon ausreichend, nämlich mindestens zwölf.

Lange Passwörter sind, vereinfacht gesagt, sicherer als kurze. Aber natürlich bringt ein Passwort wie «AAAAAAAAAAAAAAAAAAAAA» nichts. Auch Zahlenreihen wie «123456» oder Tastaturzeilen wie «qwertz» sind alles andere als sicher. Zu einfache Passwörter sind selbst für Amateur-Hacker leicht zu knacken. Und nein: Auch «Passw0rt» oder «123451» macht ein Kennwort nicht besser. 

Wie sicher ist es, einfache Wörter mit Sonderzeichen und Ziffern zu kombinieren?

Generell sollten Wörter im herkömmlichen Sinn vermieden werden. Sprich jede Kombination aus Klein- und Grossbuchstaben, Sonderzeichen und Zahlen, die im Wörterbuch zu finden ist.

Ein Beispiel: «G-7-Gipfeltreffen» erfüllt rein formal gesehen die Anforderungen an ein sicheres Passwort. Da es sich jedoch um ein reales Wort handelt, nimmt die Sicherheit bereits wieder ab. Weshalb? Hacker können mittels kleiner Programme (Scripts) einfach jedes im Duden befindliche Wort testen. In diesem Fall wäre das Passwort dann schnell gehackt.

Ist es also ratsam, möglichst viele Sonderzeichen zu verwenden?

Letztendlich macht die Mischung aus Länge und der Kombination unterschiedlicher Zeichenformate die Sicherheit aus – ob das nun ausschliesslich oder besonders viele Sonderzeichen sind, spielt eine untergeordnete Rolle.

Warum sind persönliche Informationen wie Lieblings-Club, Haustier oder Automarke als Passwort nicht geeignet?

Anstatt mit automatisierten Scripts zu arbeiten, besteht die Möglichkeit, dass sich Hacker zunächst die Angaben in den öffentlich zugänglichen Profilen des potenziellen Opfers ansehen. Denn: Noch immer werden genau solche Informationen mit Vorliebe als Passwort genutzt. Kein Wunder: An diese Passwörter erinnert man sich leicht. Hat ein User zum Beispiel auf seinem öffentlichen Profil angegeben, dass sein Hase Maxi heisst, sein Lieblingsclub der FC Barcelona ist und er sich so wahnsinnig über seinen neuen Audi freut, haben die Hacker bereits drei potentielle Passwörter gefunden. Daher sollten Passwörter inhaltlich keinen Bezug zur Nutzerin oder zum Nutzer haben.

Oft gibt es Passwortvorgaben. Machen es diese für Hacker nicht einfacher, ein Passwort zu knacken?

Nein, denn die Vorgaben stecken lediglich die Rahmenbedingungen ab und sind grundsätzlich dazu da, die Passwörter genau durch diese Vorgaben sicherer zu machen. Auch wenn diese Vorgaben im ersten Moment mühsam erscheinen, dienen sie der Erhöhung der Sicherheit.

Dass ich fürs E-Banking ein gutes Passwort brauche, leuchtet mir ein. Aber ist wirklich für jeden Onlineshop ein eigenes Passwort nötig?

Wenn jeweils der gleiche Username, z. B. die E-Mail-Adresse genutzt wird, empfiehlt es sich, verschiedene Passwörter zu nutzen.  Der Grund: Haben Hacker den Zugang in diesem Fall zu einem Onlineshop, haben sie den Zugang zu allen Onlineshops, die mit dieser Kombination genutzt werden. Das Risiko für Folgeschäden nimmt damit deutlich zu.

So viele Passwörter kann ich mir unmöglich merken. Welche Tools gibt es?

Um dieses Problem zu lösen, bieten sich Passwort-Manager an. Dabei handelt es sich um Programme, die auf den Geräten installiert werden. Nach der Installation verwalten sie die Zugangsdaten und speichern diese sicher ab. Stellen Sie sich eine Art Liste vor, auf der die Zugangsdaten notiert sind. Diese «Liste» wird zusätzlich mit einem gesonderten Passwort – dem Masterpasswort – gesichert und gespeichert. So kann nur die Person auf die Liste zugreifen, die das Masterpasswort kennt.

Hilft mir ein Passwort-Generator dabei, starke Passwörter zu generieren?

Auf jeden Fall. Denn man kann sich noch so Mühe geben, eigenständig komplexe Passwörter auszudenken. Jede Person verfällt dabei in bestimmte Muster und wird so wieder leichter «durchschaubar».

Der Vorteil eines Passwort-Generators ist, dass auf Zufallsbasis mit den Richtlinien für sichere Passwörter gearbeitet wird. Der Generator verfällt nicht in die erwähnten Muster und hat – im Gegensatz zu uns Menschen – kein Problem mit komplizierten, langen Passwörtern. 

Sind diese Passwort-Manager sicher?

Ja, diese Passwort-Manager sind sicher. Denn die Zugangsdaten werden verschlüsselt gespeichert. Entweder lokal auf dem Gerät oder bei der Verwendung von mehreren Geräten – zum Beispiel Mobiltelefon und Laptop – cloudbasiert.

Muss das Passwort für den Manager, ein Master-Passwort, noch sicherer sein?

Das Master-Passwort sollte den gängigen Regeln für sichere Passwörter entsprechen und die Userin oder der User sollte es sich gut merken können. Falls man sich nicht mehr an dieses Masterpasswort erinnern kann, sind schlimmstenfalls die gespeicherten Zugangsdaten nicht mehr verfügbar. Das bedeutet, die Zugänge zu den über den Passwort-Manager verwalteten Konten müssen manuell zurückgesetzt und anschliessend neu eingerichtet werden. Um die Sicherheit zusätzlich zu erhöhen, kann bei vielen Passwort-Managern eine Zwei-Faktor-Authentifizierung installiert werden.

Wie oft sollte ich mein Passwort ändern?

Die Änderung eines Passworts nach drei bis sechs Monaten ist sinnvoll. Fallen Ihnen Unregelmässigkeiten in Ihrem Account auf, sollten Sie Ihr Passwort sofort ändern.

Auch bei der Verwendung eines öffentlich zugänglichen und damit nicht sicheren WLANs steigt die Gefahr, dass die Daten des verwendeten Endgeräts ausgelesen wurden. Zudem nehmen in der letzten Zeit Datenleaks auf grossen Plattformen wie comparis.ch oder LinkedIn zu. Für die Userinnen und User der betroffenen Plattformen heisst das: Passwort ändern. 

Was genau ist die Zwei-Faktor-Authentifizierung und wie sicher ist sie?

Wie der Name schon sagt, wird bei der Zwei-Faktor-Authentifizierung der Standardlogin, der aus Username und Passwort besteht, um einen weiteren Faktor ergänzt. Dieser Faktor wird via App an die Plattform oder durch eine SMS an die Nutzerin oder den Nutzer übermittelt. Erst nach erfolgreicher Eingabe erfolgt der Login.

Die Sicherheit des Logins wird durch die Zwei-Faktor-Authentifizierung deutlich erhöht. Denn der Login ist nicht mehr an einen reinen Datensatz geknüpft, sondern zusätzlich an ein physisches Endgerät – in den meisten Fällen das Mobiltelefon.

Die Wahrscheinlichkeit, dass beide Faktoren, Datensatz und Endgerät gestohlen werden, ist sehr gering. 

Wie gehen Cyberkriminelle vor, wenn sie Passwörter knacken?

Ein Passwort wird geknackt, wenn durch «Trial and Error» versucht wird, das Passwort zu erraten. Wenn ein Passwort zum Beispiel nur aus einer einzigen Ziffer zwischen 0 und 9 besteht, braucht es wenige Versuche, bis das Passwort geknackt ist.

Mit ansteigender Komplexität des Passworts – durch die Kombination aus Gross- und Kleinbuchstaben, Ziffern sowie Sonderzeichen – steigt die Anzahl der Versuche, die es selbst mit systematischem «Trial and Error» braucht, um die richtige Kombination zu erraten.