Kennwörter: Die einzige Hürde

Was einem niemand in dieser Klarheit sagt: Daten sind in den meisten Fällen ausschließlich und wirklich nur durch ein Kennwort geschützt. Verschlüsselte Festplatte? Um damit zu arbeiten, ist das Windows-Anmeldekennwort nötig. Netzwerkzugriff? Hat niemand, außer er kennt das Passwort. Single-Sign-On mit Smartcard? Klappt prima mit der vierstelligen PIN.

Die meisten IT-Zugriffe sind durch ein zwei- oder dreiteiliges Anmeldeverfahren geschützt. Zum Beispiel “Benutzername, Kennwort” oder “Benutzername, Codekarte, PIN”. Doch ehrlich gesagt: Gigantische Hürden für jemanden mit einem echten kriminellen Interesse an den Daten sind das alles nicht.

Der Benutzername ist meist bekannt (E-Mail-Adresse) oder leicht zu erraten. Name, Vorname und Firma sind typische Bestandteile, der Rest ist Ausprobieren. Damit ist dann bereits der halbe Zugang sicher. Schwieriger wird es bei Systemen mit Codekarte. Die muss erst mal geklaut werden. Oder sie wird gleich beim Hersteller komplett weggehackt.

Kurz und gut: Die einzige wirkliche Hürde zwischen den Daten und einem illegalen Zugriff darauf ist das Kennwort. In der Theorie reicht das vollkommen aus. Ein sicheres Kennwort besteht ja schließlich aus einer idealerweise zwölfstelligen Folge von zufällig gewählten Buchstaben, Ziffern und Sonderzeichen - also zum Beispiel P23%gUHn&-s oder FghTz&G3f4%T.

Im Ernst: Kennen Sie jemanden, der so ein Passwortmonster wirklich benutzt? Die meisten Leute nutzen irgendwas leicht zu Merkendes. Der Name der Frau, des Hundes, des Kindes und Klassiker wie “123456, “Passwort” oder “Geheim” - benutzt wird alles, was nicht gleich nach ein paar Minuten wieder vergessen ist.

Das lässt sich sogar empirisch nachweisen, denn im Internet kursieren Listen mit echten Kennwörtern, unter anderem von einer Playstation-Community. Bei dem Sony-Hack vor kurzem kam heraus, dass Sony die Kennwörter im Klartext gespeichert hatte - ein Skandal im Skandal. Aber er ermöglicht einen interessanten Einblick in die “Kennwortkultur”.

Die Daten zeigen: Einige Kennwörter werden immer wieder gerne benutzt. Viele Leute schützen ihre Zugänge wirklich und ernsthaft mit “123456”. Da fällt das Hacken leicht. Doch auch die anderen Passwörter waren nicht besonders sicher: Etwa 36 Prozent der 37.600 Kennwörter fanden sich auf einer speziellen, ebenfalls im Internet kursierenden Passwortliste.

Dieses Verzeichnis hat 1,7 Millionen Einträge mit typischerweise genutzten Kennwörtern. Sie wird für eine so genannte Wörterbuchattacke genutzt. Die Liste rechnet ein Programm in ein paar Minuten durch und schon ist der Zugang offen. Ein Monsterpasswort wie fR7%f&h56JHs dagegen erfordert selbst mit modernen Rechnern schon ein paar Jahre. Doch es stellt sich die Frage: Wie merkt sich ein Normalsterblicher so etwas?

Die klassische Administratorantwort lautet: Mit einer Eselsbrücke. Die ideale Quelle für ein sicheres Kennwort ist ein leicht zu merkender Satz, dessen Anfangsbuchstaben das Kennwort ergeben. Zum Beispiel ergibt "Nützliche Passwörter für die Anmeldung sind 12 Zeichen & Ziffern lang" das ziemlich sichere Kennwort "NPfdAs12Z&Zl".

Dieses Kennwort ist eine echte Hürde für jeden Hacker. Es darf natürlich nirgendwo aufgeschrieben werden - eine weitere Todsünde. Aber sie wird dauernd begangen. Versuchen Sie es selbst: Gehen Sie in Ihrem Unternehmen über die Flure, suchen Sie sich einen beliebigen PC-Arbeitsplatz aus und schauen Sie unter der Tastatur, dem Mauspad, der Schreibtischunterlage oder auf der Unterseite der Schubladen nach. Wetten, dass Sie höchstens 10 Versuche brauchen, um fündig zu werden?


Bildquelle: Paul Golla/pixelio.de