Beliebtes Passwort

Fast im Jahr 2020 ange­kom­men gibt es wieder alle mögli­chen Jahres­rück­bli­cke. Einer davon ist der des Pots­da­mer Hasso-Platt­ner-Insti­tuts. Und wie jedes Jahr steht darin das belieb­teste Pass­wort bei den Deut­schen. Es lautet: 123456, gleich danach folgt 123456789. Das Insti­tut veröf­fent­lichte die zehn belieb­tes­ten Pass­wör­ter in Deutsch­land, alle­samt waren alle in dieser Preis­klasse, also auch 111111, abc123 oder pass­word.

Nun kann man sich fragen, ob die Nutzer*innen tatsäch­lich glau­ben, dass diese Pass­wör­ter in irgend­ei­ner Weise sicher sein könn­ten. Ich schätze sie nutzen sie nur, weil man eben stän­dig eines ange­ben muss, ohne dass man selber eine Notwen­dig­keit dafür sieht. Dabei ist es vielen anschei­nend egal, dass es oft um sicher­heits­re­le­vante Daten geht, die damit geschützt werden soll­ten. Klar ist aber, dass 123456 genauso gut ist wie gar kein Pass­wort.
Bei vielen Diens­ten ist man deshalb gezwun­gen, sich ein siche­res Pass­wort auszu­den­ken, das Zahlen und Ziffern, große und kleine Buch­sta­ben enthält und eine Mindest­länge von zehn oder mehr Zeichen enthält.

Auswir­kun­gen

Offen­bar ist vielen Menschen nicht klar, was ein unsi­che­res Pass­wort für Folgen haben kann. Wenn einem „nur“ das E‑Mail-Post­fach gehackt wurde, ist es im besten Fall ärger­lich, dass Fremde die eige­nen E‑Mails lesen können. Aber eine beliebte Masche ist es, über die gehackte Mail­adresse Waren zu bestel­len, die dann zu einer tempo­rä­ren Adresse gelie­fert werden. Wenn dann die Rech­nung kommt, wundert sich der Inha­ber der Mail­adresse – und kann ggf. haft­bar gemacht werden.
Noch schlim­mer ist es, wenn das Pass­wort z.B. des Online-Bankings, bei Amazon o.ä. genutzt wird. Dann kann der Scha­den schnell in die Zehn­tau­sende gehen, und das tut es auch täglich.

Wen trifft es?

Jeden. Über auto­ma­ti­sierte Anfra­gen werden alle mögli­chen Benut­zer­na­men und Mail­adres­sen gecheckt. Und dabei reden wir über mehr als 10.000 Anfra­gen pro Sekunde! Sowie eine als exis­tent erkannt wird, beginnt der Craw­ler einen eben­falls auto­ma­ti­sier­ten Angriff auf die Pass­wör­ter. Dass dabei 123456 vermut­lich an erster Stelle steht, dürfte klar sein. Wenn solch ein Angriff aber eine Vier­tel­stunde dauert, werden rund 10 Millio­nen Vari­an­ten auspro­biert. Da ist auch ein Pass­wort wie Bello2005 oder Liebling1992 schnell erra­ten. Gerade, weil die Craw­ler auch nach Namen und exis­tie­ren­den Wörtern suchen.

Was kann man tun?

Klar ist, man braucht sichere Pass­wör­ter, möglichst für jede Anwen­dung ein ande­res. Weil diese mindes­tens 12 bis 20 Zeichen lang sein soll­ten, kann man sich die meis­tens nicht merken. Dazu könnte man sich im Compu­ter einen Pass­wort-Mana­ger instal­lie­ren. Manche (wie Fire­fox) haben bereits einen inte­griert. Sowie man irgendwo ein Pass­wort einge­ben muss, das bereits im Mana­ger gespei­chert ist, wird es auto­ma­tisch einge­tra­gen. Dazu muss man zuvor nur dem Pass­wort-Mana­ger erlau­ben, dass er die Pass­wör­ter frei­gibt.
Natür­lich braucht man dann noch ein siche­res Pass­wort für den Mana­ger, aber dies das das Einzige, dass man sich merken muss oder an einem siche­ren Ort aufbe­wahrt.
Um ein siche­res Pass­wort zu gene­rie­ren, gibt es einen Trick. Man nimmt einen belie­bi­gen Satz, den man sich merken kann (und muss!). Aus den Anfangs­buch­sta­ben und Zeichen wird das neue Pass­wort zusam­men­ge­stellt.
Beispiel (bitte NICHT dieses Pass­wort nutzen!):
Eine Schwalbe macht noch keinen Sommer — Das ist eines der ältes­ten Sprich­wör­ter, die es gibt!
1SmnkS-Di1daS,deg!
Oder man nimmt Pass­wör­ter, die auf Geburts­da­ten aufbauen:
1. Oma Anne­ma­rie 1943, 2. Mutter Sabine 1965, 3. Sohn Nico 1992!
1.OAn43,2.MSa65,3.SNi92!
Außer Umlaute (ä, ß) und Leer­schritte darf man alle Groß- und Klein­buch­sta­ben, Ziffern und Zeichen verwen­den – und sollte dies auch tun.

Grund­sätz­lich gilt: Lieber einmal ein paar Minu­ten inves­tie­ren, als im Nach­hin­ein Stun­den und Tage, um den Scha­den wieder zu behe­ben.