Das Ende des Passworts

Hacken leicht gemacht: Der erste Versuch zum Cyberangriff beginnt mit der versuchsweisen Eingabe der beliebten Kennwörter „password“, „iloveyou“, „letmein“ oder „admin“. Zahlreiche Anwender nutzen derart simple Kennwörter selbst für den Zugang zu sicherheitskritischen Benutzerkonten.

Diese und viele andere einfache Passwörter wie „master“ oder „trsutno1“ finden sich auf der alljährlich erscheinenden Liste von SplashData, einem Hersteller von Sicherheitssoftware. Das Unternehmen hat dafür verschiedene von Hackern veröffentlicht Passwortdatenbanken analysiert. Das Ergebnis ist eine Liste des Grauens, die allerdings logische Folge der heute noch üblichen Kennwortregeln ist.

Passwörter erzeugen Scheinsicherheit

Ein sicheres Kennwort ist danach mindestens acht Zeichen lang und besteht aus einer zufälligen Folge von Klein- und Großbuchstaben, Ziffern und Sonderzeichen. Es gibt allerdings zwei Probleme: zum einen können sich die meisten Menschen so etwas nicht merken und zum anderen ist selbst ein zufälliges Passwort mit acht Zeichen kein echter Schutz.

Zumindest die kürzeren Kennwörter sind unsicher, denn sie sind durch moderne Hardware in Rekordzeit zu knacken. Praktisch jede Person mit einem mittleren technischen Verständnis kann sich aus handelsüblichen Bauteilen einen Rechner mit der Spezialaufgabe “Kennwort knacken” bauen und die notwendige Software aus dem Internet herunterladen.

Der Trick dabei ist ganz simpel. Für das Ausprobieren von möglichst vielen Zeichenkombinationen werden moderne Grafikchips als Rechenknechte genutzt. Sie sind viel stärker auf bestimmte, grundlegende Rechenoperationen ausgerichtet und schaffen somit rekordverdächtig kurze Hackings. Bereits vor zwei Jahren gelang einem Wissenschaftler das Knacken eines achtstelligen Windows-Passworts innerhalb von sechs Stunden.

Schließlich lässt sich ein Schluss ziehen: Kennwörter im alten Stil (mindestens acht zufällig gewählte Zeichen) sind unsinnig. Sie erzeugen Scheinsicherheit. Geht man von der bisherigen Hardware-Entwicklung aus, dürften in nicht allzu langer Zeit auch Passwörter mit zehn Stellen keine große Hürde mehr sein.

Sicherheit durch Zwei-Faktor-Authentifizierung

Zahlreiche Hersteller von Hardware und Software, unter anderem auch Microsoft, haben daraus eine Konsequenz gezogen: Sie setzen auf zusätzliche Sicherungsmaßnahmen wie Zwei-Faktor-Authentifizierung und biometrische Sensoren. Die herkömmliche Passwort-Authentifizierung wird zwar auch weiterhin unterstützt, dürfte aber vor allem im Unternehmenseinsatz sehr rasch an den Rand gedrängt und damit de facto abgeschafft werden.

Eine einfache und relativ simpel umzusetzende Absicherung ist die Zwei-Faktor-Authentifizierung, bei der in der Grundform auch weiterhin ein normales Kennwort eingesetzt wird. Doch es gibt noch ein zusätzliches Erkennungsmerkmal für den legitimen Benutzer: Er erhält zum Beispiel über sein Handy einen vierstelligen PIN-Code zugesandt, den er zusätzlich eingeben muss. Dieser Code gilt nur für einen Anmeldevorgang und sichert somit das Benutzerkonto zusätzlich ab.

Das Verfahren ist merklich sicherer als die reine Eingabe eines Kennworts, da ein Cyberkrimineller sowohl das Kennwort als auch den zweiten Faktor (Handy) besitzen muss. Noch deutlich sicherer sind Authentifizierungsverfahren, die biometrische Sensoren benutzen. Sie ersetzen entweder die Eingabe eines Kennworts oder werden als zweiter Faktor bei einer Zwei-Faktor-Authentifizierung eingesetzt.

Zwar gab es auch bislang bereits Anwendungen unter Windows, die biometrische Verfahren genutzt haben, sie waren aber häufig proprietär und kompliziert einzusetzen. Mit Windows 10 setzt Microsoft auf die kommende Version 2.0 des Anmeldestandards FIDO (Fast IDentity Online) und integriert sie direkt in das System.

Das FIDO-Verfahren arbeitet auf Basis eines Public-Key-Verfahrens und ist dazu geeignet, die Eingabe von Passwörtern komplett zu ersetzen. Unternehmen können mit Windows 10 eine Zwei-Faktor-Authentifizierung aus einem Pool unterschiedlicher Verfahren kombinieren, beispielweise Passwörter, PINs, Hardware-Token und biometrische Merkmale.

Die schlimmsten Passwörter 2014
Der Anmeldestandard Fast Identity Online (FIDO)

Bildquelle: Thinkstock/ iStock