Passwortsicherheit: Was sichere Passwörter ausmacht

Das Wichtigste in Kürze

• Passwortsicherheit umfasst die Erstellung, Verwendung und geschützte Aufbewahrung von Passwörtern. Sichere Passwörter sind lang, schwer vorherzusagen und für jedes Konto unterschiedlich.
• Sichere Passwörter erschweren unbefugte Zugriffe auf geschäftliche und private Informationen. Ein eigenes Passwort je Konto verhindert, dass bekannt gewordene Zugangsdaten auch bei anderen Diensten passen.
• Ein Passwortmanager erstellt und speichert unterschiedliche Passwörter für Ihre Konten. MFA ergänzt die Anmeldung um einen weiteren Nachweis und erhöht dadurch den Schutz bei einem Passwortdiebstahl.

Was macht ein Passwort sicher?

Beim Erraten eines Passworts müssen Angreifer nicht jede denkbare Zeichenfolge durchprobieren. Sie können mit bekannten Passwörtern, gebräuchlichen Wörtern und vorhersehbaren Abwandlungen beginnen. Typische Beispiele sind „passwort“ oder „Passwort123“. Auch mit einem angehängten Sonderzeichen bleiben solche Begriffe leicht vorhersehbar.

Bei einem Brute-Force-Angriff probieren Angreifer automatisiert mögliche Zeichenkombinationen aus. Je länger das Passwort ist, desto mehr Kombinationen kommen infrage. Deshalb kann ein langes Passwort aus zufälligen Kleinbuchstaben stärker sein als ein kurzes mit vielen Sonderzeichen.

Entscheidend sind Länge und Unvorhersehbarkeit. Ein langer Name oder eine einfache Zahlenfolge bleibt dagegen leicht vorhersehbar.

Hinzu kommt die Einzigartigkeit. Ein Passwort kann schwer zu erraten sein und trotzdem unsicher werden, wenn es durch ein Datenleck bei einem anderen Dienst bekannt geworden ist. Für jedes Konto empfiehlt es sich daher, ein eigenes Passwort zu verwenden. Das gilt auch dann, wenn Sie einen Dienst nur gelegentlich nutzen oder dort keine vertraulichen Unterlagen ablegen.

Wie gelangen Passwörter in fremde Hände?

Bei einem Datenleck gelangen Daten eines Unternehmens oder einer Website unbefugt nach außen. Betrifft das einen Dienst, bei dem Sie ein Konto haben, können darunter auch Ihre E-Mail-Adresse und Ihr Passwort sein. Angreifer probieren bekannt gewordene Kombinationen bei weiteren Diensten aus. Dieses Vorgehen ist unter dem Begriff Credential Stuffing bekannt.

Selbst ein Unternehmen, das seine eigenen Systeme sorgfältig absichert, kann davon betroffen sein. Verwenden Beschäftigte dieselben Zugangsdaten auch bei einem kleinen Onlineshop und werden sie dort gestohlen, können Angreifer damit die Anmeldung am Firmenkonto versuchen. Sie müssen dafür keine Schwachstelle in den Systemen des Unternehmens ausnutzen. Verlangt das Firmenkonto ausschließlich ein Passwort, können die erbeuteten Zugangsdaten bereits für den Zugriff ausreichen. Eine zusätzliche Prüfung durch MFA bleibt eine weitere Hürde.

Beim Phishing versuchen Angreifer, Sie unter einem Vorwand zur Anmeldung auf einer gefälschten Website zu bewegen. Wer dort sein Passwort eingibt, übermittelt es an die Angreifer. Die Komplexität des Passworts spielt bei dieser Form des Diebstahls keine Rolle. Zudem können Angreifer über einen vermeintlichen Supportanruf versuchen, Sie zur Herausgabe Ihrer Zugangsdaten zu bewegen. Solche Täuschungen gehören zum Social Engineering.

Besonders weit können die Folgen reichen, wenn jemand Zugriff auf Ihr E-Mail-Konto erhält. Über das Postfach lassen sich bei vielen Diensten Links zum Zurücksetzen des Passworts anfordern. Die Angreifer sind damit in der Lage, weitere Konten zu übernehmen, sofern das E-Mail-Konto zur Wiederherstellung dieser Zugänge verwendet wird und dabei keine zusätzliche Prüfung (etwa Multi-Faktor-Authentifizierung) erforderlich ist.

Sichere Passwörter erstellen

Für Ihre privaten Konten können Sie einen Passwortmanager verwenden, der sichere Passwörter automatisch erzeugt. Programme wie Bitwarden, KeePassXC und 1Password bieten dafür einen integrierten Generator. Er erstellt zufällige Zeichenfolgen, sodass Sie sich nicht für jeden Dienst selbst ein neues Passwort ausdenken müssen.

Eine Passphrase ist ebenfalls ein Passwort, besteht jedoch aus mehreren zufällig ausgewählten Wörtern. Dadurch entsteht eine längere Kombination, die sich leichter lesen und merken lässt als eine Folge einzelner Zeichen. Auch Passphrasen lassen sich automatisch erzeugen. Bei Bitwarden und KeePassXC übernimmt diese Aufgabe ein entsprechender Generator; Sie müssen die Wörter nicht selbst auswählen oder zusammenfügen.

Für ein neues Konto sollte eine vollständig neue Kombination entstehen. Wird ein vorhandenes Passwort lediglich um den Namen des Dienstes ergänzt, kann ein bekannt gewordenes Passwort das Muster der übrigen Zugänge verraten. Für berufliche Konten kann das Unternehmen einen Passwortmanager bereitstellen oder ein geeignetes Programm freigeben. Welche Lösung vorgesehen ist, erfahren Beschäftigte bei ihrer IT oder der zuständigen Ansprechperson.

Wie hilft ein Passwortmanager?

Mit jedem zusätzlichen Onlinekonto steigt die Zahl der Passwörter, die Sie verwalten müssen. Ein Passwortmanager speichert Ihre Zugangsdaten verschlüsselt und stellt sie für die Anmeldung bereit. Viele Passwortmanager werden über ein zentrales Hauptpasswort entsperrt, das entsprechend sicher gewählt werden sollte. Je nach Produkt und Gerät sind auch biometrische Merkmale wie ein Fingerabdruck oder die Gesichtserkennung zum Entsperren möglich.

Je nach Produkt lassen sich die gespeicherten Zugangsdaten auf mehreren Geräten synchronisieren und beim Login automatisch ausfüllen. So stehen Ihre unterschiedlichen Passwörter auch dann zur Verfügung, wenn Sie zwischen Smartphone und Computer wechseln. Sie müssen sich nicht jedes Passwort einzeln merken oder die Zugangsdaten in Nachrichten zwischen den Geräten verschicken.

Weil der Passwortmanager die Zugangsdaten mehrerer Konten verwahrt, verdient sein eigener Zugang besonderen Schutz. Das Hauptpasswort sollte lang, schwer vorhersehbar und ausschließlich für den Passwortmanager bestimmt sein. Mit MFA lässt sich, soweit unterstützt, auch die Anmeldung beim Passwortmanager zusätzlich absichern.

Wann sollten Sie Passwörter ändern?

Ein Passwortwechsel ist erforderlich, wenn Zugangsdaten offengelegt wurden oder ein begründeter Verdacht auf Missbrauch besteht. Der regelmäßige Wechsel ohne konkreten Anlass bietet dagegen keinen verlässlichen zusätzlichen Schutz. Das britische Zentrum für Cybersicherheit rät von erzwungenen Routinewechseln ab, weil Menschen darauf mit vorhersehbaren Abwandlungen reagieren können. Aus einem bereits bekannten Passwort entsteht dann lediglich eine neue Variante desselben Musters.

Wird ein mehrfach verwendetes Passwort bekannt, benötigen auch die anderen betroffenen Konten jeweils ein neues, ausschließlich dort verwendetes Passwort. Für Firmenkonten sollte das Unternehmen festlegen, wie Beschäftigte einen solchen Verdacht melden und wer die weiteren Schritte übernimmt.

Passwörter durch MFA ergänzen

Multi-Faktor-Authentifizierung (MFA) ergänzt das Passwort um einen weiteren Nachweis, etwa die Bestätigung über eine zuvor eingerichtete App. Der Dienst gibt den Zugang erst frei, nachdem auch diese zusätzliche Prüfung erfolgreich war. Für eine solche Anmeldung genügt ein gestohlenes Passwort allein nicht mehr. Dieser Schutz ist besonders bei E-Mail-Konten sinnvoll, über die sich auch Passwörter anderer Dienste zurücksetzen lassen.

Eine Passphrase bleibt ein Passwort. Ein Passkey ist dagegen ein digitaler Schlüssel, der die Anmeldung ohne Kontopasswort ermöglicht, sofern der Dienst dieses Verfahren unterstützt. Sie geben den gespeicherten digitalen Schlüssel auf Ihrem Gerät frei, beispielsweise mit einem Fingerabdruck. Der Passkey ist an die jeweilige Website gebunden und kann auf einer gefälschten Seite nicht zur Anmeldung beim ursprünglichen Dienst verwendet werden. Welche Verfahren für berufliche Konten verfügbar sind, hängt von den eingesetzten Anwendungen und ihrer Einrichtung ab.

Passwortsicherheit im Unternehmen umsetzen

Im Unternehmen braucht Passwortsicherheit geeignete Werkzeuge und Regeln, die sich im Arbeitsalltag anwenden lassen. Ein freigegebener Passwortmanager erleichtert Beschäftigten die Verwaltung ihrer Zugänge. Persönliche Konten mit passenden Berechtigungen ermöglichen die Zusammenarbeit, ohne Passwörter im Team weiterzugeben. Für Vertretungen können Unternehmen Zugriffsrechte entsprechend vergeben und anschließend wieder entziehen.

Die IT kann den Schutz außerdem technisch unterstützen. Begrenzte Anmeldeversuche erschweren automatisiertes Erraten; die Prüfung neuer Passwörter gegen bekannte, bereits veröffentlichte Zugangsdaten verhindert die erneute Verwendung solcher Zeichenfolgen. Beschäftigte müssen dafür wissen, welches Werkzeug sie verwenden sollen und an wen sie sich bei verdächtigen Anfragen wenden können.

Damit Beschäftigte Sicherheitsregeln im Alltag anwenden können, müssen sie deren Zweck und die zugrunde liegenden Risiken verstehen. Das Security Awareness Training von ClickWise vermittelt grundlegendes Wissen zur IT-Sicherheit in verständlichen Lernmodulen. Unternehmensinterne Vorgaben ergänzen dieses Wissen um die tatsächlich eingesetzten Programme und Zuständigkeiten.