Der Trugschluss des "perfekt komplexen" Passworts
Ich habe im Laufe der Jahre unzählige Ratschläge gehört, die alle darauf hinausliefen, dass man Großbuchstaben, Kleinbuchstaben, Zahlen und Sonderzeichen mischen muss. Und ja, das ist besser als nur "hallo123". Aber ich habe bemerkt, dass viele Leute dadurch in eine Falle tappen: Sie erstellen ein Passwort wie A$t_r0n0m!e1, das zwar kompliziert *aussieht*, aber nur acht Zeichen lang ist. Das ist, ehrlich gesagt, ein Witz für moderne Rechenleistung.
Wenn wir über Sicherheit sprechen, reden wir über die benötigte Zeit für einen Brute-Force-Angriff. Ein Angreifer mit einer halbwegs modernen Grafikkarte kann Millionen von diesen kurzen, komplexen Kombinationen pro Sekunde durchprobieren. Ich denke, das größere Problem ist die menschliche Psychologie, die uns dazu bringt, Muster zu suchen, selbst wenn wir versuchen, zufällig zu sein.
Wir glauben, wir seien clever, wenn wir das 'S' durch ein '$' ersetzen, aber die Angreifer wissen das schon, seit es das Internet gibt. Es ist ein alter Trick, der leider viel zu oft noch als aktueller Sicherheitstipp verkauft wird, was ich wirklich schade finde.
Länge schlägt Komplexität – Warum 16 Zeichen wichtiger sind als Sonderzeichen
Hier wird es mathematisch, aber ich versuche es einfach zu halten. Jedes zusätzliche Zeichen in einer zufälligen Zeichenkette vervielfacht die Anzahl der möglichen Kombinationen enorm. Das ist der Kern der Entropie, und darum ist LÄNGE der wichtigste Faktor, um ein wirklich sicheres Passwort zu generieren.
Stellen Sie sich vor, Sie haben ein Passwort mit 8 Zeichen, gemischt aus 60 möglichen Symbolen (Kleinbuchstaben, Großbuchstaben, Zahlen, einige Sonderzeichen). Das ergibt ungefähr $5,3 imes 10^{13}$ Möglichkeiten. Klingt viel, aber das ist in wenigen Stunden oder Tagen geknackt. Wenn Sie nun auf 16 Zeichen gehen, mit denselben 60 Symbolen, reden wir über etwa $2,8 imes 10^{28}$ Möglichkeiten. Das ist ein astronomischer Unterschied, der die Knackzeit von Stunden auf Jahrmillionen ausdehnt, selbst wenn die Komplexität pro Zeichen gleich bleibt.
Deshalb ist meine Meinung klar: Wenn Sie wählen müssen, ob Sie 10 Zeichen mit vielen Sonderzeichen oder 18 Zeichen mit nur Kleinbuchstaben und Zahlen erstellen, wählen Sie die 18 Zeichen. Die schiere Länge ist Ihr bester Freund gegen automatisierte Angriffe.
Was gilt als Mindeststandard für ein sicheres Passwort heute?
Ich würde persönlich nicht mehr unter 14 Zeichen gehen, ehrlich gesagt. Aber idealerweise, wenn wir über die höchstwahrscheinlich sicherste Variante sprechen, die man sich noch merken kann, bewegen wir uns im Bereich von 16 bis 20 Zeichen. Alles darunter ist heutzutage eher eine nette Geste als eine echte Verteidigungslinie, besonders wenn Sie Konten absichern, die wirklich wichtig sind, wie Ihr E-Mail-Postfach oder Ihre Finanzdaten.
Die Königsdisziplin: Passphrasen statt Einzelwörter
Wie merkt man sich nun 20 zufällige Zeichen? Genau das ist der Punkt, an dem die meisten scheitern und dann doch wieder auf "Maus1985!" zurückfallen. Hier kommt die Methode der Passphrase ins Spiel, die ich absolut bevorzugehe. Anstatt ein kurzes, kompliziertes Wort zu wählen, wählen Sie vier oder fünf völlig unabhängige, nicht zusammenhängende Wörter.
Nehmen wir als Beispiel: Schmetterling-Kaffee-Regenschirm-Traktor. Das ist lang, es ist leicht zu merken, und es enthält genug Zeichen, um eine hohe Entropie zu gewährleisten, selbst wenn Sie am Ende noch ein paar Zahlen oder ein Sonderzeichen hinzufügen. Ich habe bemerkt, dass Menschen diese Sätze viel leichter abrufen können, weil unser Gehirn Geschichten und Assoziationen viel besser speichert als zufällige Buchstabenfolgen.
Wenn Sie diese Passphrase noch etwas "härten" wollen, ohne die Einprägbarkeit zu zerstören, fügen Sie die ersten beiden Buchstaben des Monats hinzu, in dem Sie Ihren ersten Computer hatten, oder so etwas Persönliches, aber nicht Offensichtliches. Aber auch ohne diese Verfeinerung ist eine gut gewählte, vier Wörter umfassende Phrase schon ein echtes Bollwerk.
Die wahre Sicherheit: Der Passwortmanager als Werkzeug
Fakt ist, wenn wir über das absolut sicherste Passwort reden, dann ist es das, was kein Mensch jemals bewusst eingetippt hat. Das ist das zufällig generierte, 30 Zeichen lange Ungetüm, das nur Ihr Passwortmanager kennt.
Ich bin da sehr pragmatisch: Warum sollte ich versuchen, mir 50 hochkomplexe, einzigartige Passwörter zu merken, wenn ich mich nur an eines erinnern muss – das Master-Passwort für meinen Manager? In meiner täglichen Arbeit setze ich voll auf Generatoren. Die generieren mir Strings wie g$7hK!pL@9zXwR3qP&sT6vYcE2uNfB1 und ich muss mich nicht einmal darum kümmern, ob ich die Groß- und Kleinschreibung richtig getroffen habe.
Das ist der Schlüssel zur modernen Passwortsicherheit: Delegieren Sie das Merken an eine sichere Software und konzentrieren Sie sich darauf, dass dieses eine Master-Passwort absolut unknackbar ist – also lang, zufällig und einzigartig.
Häufig übersehene Fehler, die die beste Passwortwahl zunichtemachen
Selbst das längste, zufälligste Passwort wird nutzlos, wenn Sie dumme Fehler machen. Ich habe es oft gesehen, wie Leute Stunden damit verbringen, das perfekte Passwort zu erstellen, nur um es dann sofort zu kompromittieren. Das ist wie eine Panzerung für Ihr Haus zu kaufen, aber die Haustür offen stehen zu lassen.
Der größte Fehler, den ich immer wieder beobachte, ist das Wiederverwenden von Passwörtern. Wenn Sie das gleiche Passwort für Ihre Fitness-App und Ihr Bankkonto verwenden, dann reicht ein einziger Leak bei der Fitness-App, um Ihre Bank zu gefährden. Das ist ein absolutes No-Go, und ich mache da keine Kompromisse.
Ein weiterer Punkt: Seien Sie vorsichtig mit dem, was Sie in öffentlichen Foren oder bei schlecht abgesicherten Diensten angeben. Wenn ein Dienst, den Sie nutzen, gehackt wird, und Ihr Passwort dort bekannt wird – selbst wenn es ein schwächeres für diesen unwichtigen Dienst war – werden Angreifer es sofort bei Google oder Amazon probieren. Das nennt man Credential Stuffing, und es ist erschreckend effektiv, weil wir alle zu bequem sind, um für jeden Dienst ein eigenes Passwort zu verwenden.
Fazit: Das sicherste Passwort ist eine Strategie, kein Wort
Zusammenfassend lässt sich sagen, dass das höchstwahrscheinlich sicherste Passwort keine feste Formel hat, sondern eine flexible Strategie ist. Wenn Sie es sich merken müssen, wählen Sie eine lange, unzusammenhängende Passphrase von mindestens 16 Zeichen. Wenn Sie einen Passwortmanager nutzen – und das sollten Sie –, dann ist das sicherste Passwort das, was der Generator ausspuckt: lang, komplex und völlig zufällig.
Denken Sie immer daran: Sicherheit ist ein Prozess, keine einmalige Aktion. Überprüfen Sie regelmäßig, ob Sie Passwörter wiederverwenden, und aktivieren Sie, wo immer es möglich ist, die Zwei-Faktor-Authentifizierung. Das kombiniert die Stärke Ihres Passworts mit einer zweiten Verteidigungslinie, und das ist meiner Meinung nach der beste Schutz, den wir heute bekommen können.