Das Problem mit den Passwörtern

Wir wissen ja alle, dass halbwegs sichere Passwörter länger als 12 Zeichen sein sollten und neben großen und kleinen Buchstaben auch Zahlen und Sonderzeichen enthalten müssen.
Ganz wichtig ist natürlich auch, dass die gewählte Zeichenkette keinen Sinn ergibt und dass man sie mindestens einmal im Quartal ändert. Und das muss man natürlich für jeden Log-in und Dienst machen, den man hat oder benutzt – denn wer ein und dasselbe Kennwort für mehrere Sachen verwendet, der kann es ja auch gleich sein lassen.

Ungünstigerweise braucht der moderne Mensch in seinem Alltag immer mehr Log-ins und Kennwörter, um irgendwie zu überleben.
Die oben skizzierten Kriterien (die ja von vielen Systemen via Zwang durchgesetzt werden) führen schnell zur Überforderung des Anwenders und so macht dieser dann das Schlimmste überhaupt: Er notiert sein Passwort mit einem Stift auf Papier und legt es unter die Tastatur seines Computers (schlimm), steckt den Zettel in sein Portemonnaie (schlimmer) oder noch katastrophaler, er speichert die Passwortliste als unverschlüsselte Word-Datei auf seiner Festplatte ab, die, wenn es richtig bitter kommt, auch noch mit Dropbox, OneDrive oder irgendeiner anderen Cloud synchronisiert wird (am schlimmsten).

Passwörter sind für die meisten Menschen ein Problem. Als Informatiker sehe ich mich quasi täglich mit Leuten konfrontiert, denen ich freundlich aber bestimmt erklären muss, dass es sich bei ihren Kennwörtern wohl eher um schlechte Witze, als um ernst zu nehmende Passphrasen handelt.

Die Themen IT-Sicherheit und Datenschutz sind nach wie vor nicht in den Köpfen der Menschen angekommen, auch wenn sie viele Stunden am Tag vorm Rechner sitzen oder permanent ihr Smartphone in Händen halten.
Wenn es bei Computern um Sicherheit geht, handelt es sich meist um abstrakte, nicht sichtbare Probleme und Risiken, mit denen die meisten Anwender mangels technischem Verständnis nicht viel anfangen können. Wie groß das Risiko ist, dem sie sich aussetzen, wenn sie nur ein einziges, unsicheres Passwort für alle Dienste verwenden, verstehen sie nicht.

Erst wenn man keinen Zugang mehr zum eigenen Mailaccount hat, alle Fotos und Dokumente von der Festplatte verschwunden sind, eBay eine neue Jacht in Rechnung stellt, das Kreditkartenlimit ausgeschöpft ist und die Polizei vor der Tür steht und nachfragt, warum man sich so sehr für Bilder von kleinen Kindern interessiert, beginnt mancher Mensch sein Verhalten zu überdenken.
Nur dann ist es eben schon zu spät. Es sind irreparable Schäden entstanden, für die man im schlimmsten Fall auch noch haften muss.
Man braucht sich da auch nichts vormachen und annehmen, dass einem die Polizei noch aus der Misere raus helfen kann. Bedingt durch gesetzliche Grauzonen, international uneinheitliches Recht und unklare Zuständigkeiten, ist es in den meisten Fällen von Online-Kriminalität so, dass nur Fahndungserfolge erzielt werden, wenn sich die Täter sehr unvorsichtig anstellen oder selbst überhaupt keine Ahnung von der Technik haben, die sie gerade angreifen.

Durch sichere Passwörter kann man sich sehr viel Ärger sparen.
Dieser Artikel soll ein Appell an alle Leser sein, das eigene Verhalten zu überdenken und zu hinterfragen, ob man in Sachen IT-Sicherheit zurzeit wirklich (noch) gut und ausreichend geschützt ist.

Ich weiß auch, dass meine Beiträge von sehr vielen Administratoren, Softwareentwicklern und anderen hauptberuflichen Informatikern gelesen werden. Ich erlebe leider immer wieder, dass auch im IT-Sektor viele Leute unsichere Passwörter vergeben und ihre Kunden (oder auch Freunde und Bekannten), was das Thema Sicherheit angeht, schlecht beraten. So was ist total daneben und zeigt, dass sich mancher seiner Verantwortung nicht bewusst ist.
Seid ein gutes Vorbild, habt ein Auge auf die Sicherheit der Systeme, die ihr aufbaut und betreut, und erklärt den Nicht-ITlern mit den ihr zu tun habt bitte, WARUM dieser ganze Aufwand sinnvoll und wichtig ist! (Andernfalls macht ihr einen echt schlechten Job und das kann sich jederzeit rächen ...)


Passwörter sind in gewisser Weise lästig, doch im Moment noch ein notwendiges Übel. Zwar arbeiten viele (auch große) Firmen an möglichst alltagstauglichen Alternativen, doch bis da etwas kommt, das wirklich ein ausreichendes Maß an Sicherheit verspricht, vergehen sicher noch einige Jahre. Auch biometrische Systeme wie Iris- oder Fingerabdruckscanner lassen sich mit sehr einfachen und preiswerten Mitteln überlisten. (Die Handvenenerkennung könnte etwas mehr Sicherheit bringen, aber die ist noch nicht allzu etabliert und die Praxis muss erst zeigen, ob sich das Verfahren nicht doch austricksen lässt.)

Da ein Leben ohne Passwörter also momentan kaum möglich scheint, sollten wir uns mit ihnen anfreunden, anstatt uns über sie zu ärgern. Das menschliche Gehirn bringt viel Rechenleistung mit und hat massive Speicherkapazitäten zu bieten. Die Aussage "ich kann mir das nicht merken" hat auch ein Stück weit mit der eigenen Einstellung und mit Faulheit zu tun. Und wer sich wirklich partout keine fünf bis zehn Kennwörter merken kann, der sollte sich wenigstens ein sicheres Passwort merken, welches er benutzt um die anderen sicher verschlüsselt zu speichern. Zu diesem Zweck gibt es viele kostenlose (und zum Teil auch quelloffene) Passwortmanager für Windows, Linux, Android und iOS.

Zum Abschluss noch (einmal) das sehr witzige, aber auch erschreckende Video, das dazu geführt hat, dass ich diesen Artikel verfasst habe:

Geschnatter