IT-Sicherheit

• Einleitung
• Grundlagen der Informationssicherheit
  • Sachziele
  • Schwachstellen, Bedrohungen, Gegenmaßnahmen
• Tipps zum sicheren Arbeiten
  • Sicherer Umgang mit Passwörtern

Sicherer Umgang mit Passwörtern

Dieses Dokument beschreibt, welche Kriterien "gute" und "schlechte" Passwörter auszeichnen und wie man mit seinen nach diesen Kriterien gewählten Passwörtern sicher umgeht.

Einleitung

Passwörter sind das am meisten genutzte Verfahren zur Authentifizierung von Benutzern. Auch wenn andere Verfahren im Einsatz sind, wie z. B. auf der Basis von "Tokens" (Chipkarten etc.) oder biometrischen Merkmalen, so stellen diese meist nur eine Ergänzung zu konventionellen Benutzerkennungen und Passwörtern und keinen Ersatz für diese dar. Passwörter sind auf den meisten informationsverarbeitenden Systemen der primäre Schutz gegen Eindringlinge. Um das (eigene) System und die darin gespeicherten Daten gegen unbefugten Zugriff und Missbrauch zu schützen, müssen "gute" (oder "robuste", d. h. ausreichend sichere) Passwörter gewählt und diese sorgfältig behandelt werden.

Studien zeigen jedoch, dass die meisten Benutzer Passwörter wählen, die recht einfach zu erraten sind – z. B. ihren Benutzernamen, ihre Initialen, ihr Geburtsdatum, den Namen eines Familienmitglieds oder Haustiers oder andere personenbezogenen Daten. Neben dieser Art Passwörter, die praktisch keinen sicheren Schutz bieten, gibt es eine Vielzahl weiterer Passwörter, die ebenfalls als unsicher anzusehen sind und dennoch oft verwendet werden. In diese Kategorie fallen auch alle Wörter, die in einem Lexikon oder Wörterbuch irgendeiner Sprache zu finden sind, wie z. B. deutsche oder englische Wörter, Namen von berühmten Personen, Tieren, Fahrzeugen oder Städten.

Verzeichnisse gängiger Passwörter, wie sie u. a. im Internet zu finden sind, enthalten außerdem weitere Zeichenketten, wie z. B. Namen von Charakteren aus Filmen oder Romanen, Bezeichnungen von Gegenständen aus Science-Fiction-Serien oder einfache Ziffern- und Buchstabenketten. Auch solche Wörter sollten keinesfalls als Passwort verwendet werden. Mit Hilfe von elektronischen Wörterbüchern ist ein Angreifer heute in der Lage, einen Großteil der Passwörter, die Benutzer üblicherweise wählen, zu erraten. Wenn jedoch ein "gutes" Passwort (nachfolgend dazu mehr) gewählt wird, sollte es einem Angreifer nicht möglich sein, dieses zu erraten – egal ob mit oder ohne Wörterbuch.

Auch die Länge eines Passworts ist ein entscheidendes Kriterium für seine Robustheit. Wenn ein Benutzer ein Passwort aus zufälligen Zeichen gewählt hat, so dass dieses nach vorgenannten Kriterien nicht einfach zu erraten oder mit Hilfe von Wörterbüchern zu finden ist, muss ein Angreifer nacheinander alle möglichen Zeichenkombinationen ausprobieren, bis er das richtige Passwort gefunden hat (so genannter "Brute-Force-Angriff"). Natürlich wurde dieser Prozess bereits automatisiert. Theoretisch dauert es um so länger, das richtige Passwort durch Ausprobieren aller möglichen Zeichenkombinationen herauszufinden, je länger das gewählte Passwort ist. Der benötigte Zeitaufwand steigt mit zunehmender Länge des Passworts exponentiell.

Bei einem Passwort bestehend aus acht zufällig gewählten Zeichen aus der Menge aller Kleinbuchstaben, Großbuchstaben, Ziffern sowie einiger Sonderzeichen (insgesamt also ein Vorrat von ca. 80 Zeichen) gibt es ungefähr 1.680.000.000.000.000 mögliche Kombinationen. Mit einem System, welches eine Million Kombinationen pro Sekunde ausprobieren kann, würde es durchschnittlich 25 Jahre dauern, das richtige Passwort herauszufinden. Verkürzt man die Länge des Passworts von acht auf sechs Zeichen, so gibt es nur noch ca. 262.000.000.000 mögliche Kombinationen. Das richtige Passwort könnte mit einem Computer o. g. Rechenleistung dann in durchschnittlich lediglich 1,5 Tagen herausgefunden werden.

Schlechte Passwörter

Das schlechteste aller Passwörter ist gar keines. Benutzerkennungen, die nicht durch ein Passwort geschützt sind, stellen ein hohes Risiko für die Sicherheit eines Systems und die in ihm gespeicherten Daten dar. Ebenfalls kritisch sind nach einem bestimmten Schema (automatisch) generierte oder vom Systemadministrator vergebene Standard-Passwörter, die nicht vom Benutzer geändert wurden.

Nachfolgend sind einige Beispiele aufgeführt, welche Passwörter als "schlecht" (d. h. nicht ausreichend sicher) anzusehen sind und keinesfalls verwendet werden sollten:

• Die Benutzerkennung,
• der Vor- oder Nachname des Benutzers,
• Namen von Familienmitgliedern, Lebenspartnern, Freunden oder Haustieren,
• Zeichenfolgen, die sich aus dem persönlichen Umfeld des Benutzers ergeben, z. B. Datumsangaben (02081971), Adressangaben (PostStr42) oder Vereinsnamen (TSVKoeln),
• einfache Buchstaben- oder Ziffernfolgen (qwertz, abcdef, 12345678, 08154711),
• Namen von Städten, Orten oder Ländern (Hamburg, Bodensee, Mexiko),
• gängige Wörter aus natürlichen Sprachen (Sonne, holiday, musica),
• Namen von Gegenständen oder Personen aus Filmen und Romanen (Enterprise, Spock, Romeo, Hamlet),
• der Name des Unternehmens bzw. der Institution, in der man arbeitet,
• der Name des Systems, auf dem das Passwort gültig ist,
• Zeichenketten, die häufig als Passwörter bei Standardinstallationen oder für Gastkennungen vergeben werden (admin, test, gast, guest).

Als unsicher sind jedoch nicht nur die oben dargestellten Arten von Passwörtern, sondern auch alle einfachen Ableitungen daraus anzusehen. Dies sind beispielsweise:

• Der Begriff rückwärts geschrieben,
• der Begriff mit abwechselnden Groß- und Kleinbuchstaben geschrieben,
• der Begriff, ergänzt um eine einzelne Ziffer oder ein einzelnes Sonderzeichen am Anfang oder Ende.

Gute Passwörter

Ein "gutes" Passwort sollte keine der oben aufgelisteten Eigenschaften aufweisen und außerdem folgende Kriterien erfüllen:

• Das Passwort sollte mindestens acht lang Zeichen sein.
  Achtung: Bei einigen (älteren) Systemen ist die Länge eines Passworts auf acht Zeichen beschränkt (was bei einem gut gewählten Passwort jedoch eine ausreichende Sicherheit bietet, wie die Rechnung oben zeigt). Manchmal ist auf diesen Systemen die Eingabe von mehr als acht Zeichen möglich, für die Überprüfung des Passworts sind jedoch immer nur die ersten acht Zeichen relevant, der Rest wird ignoriert).
• Das Passwort sollte sowohl Groß- als auch Kleinbuchstaben sowie mindestens zwei Zeichen aus der Menge der Ziffern und Sonderzeichen (!&$/,:;.- etc.) enthalten.
  Vorsicht ist jedoch bei der Verwendung von Umlauten oder bestimmten Sonderzeichen geboten: Diese lassen sich nicht auf jeder Tastatur problemlos eingeben (z. B. wenn diese nicht über ein deutschsprachiges Tastaturlayout verfügt), was unter Umständen eine Anmeldung unmöglich macht!

Tipps zur Wahl von guten Passwörtern

Nachdem nun viele Kriterien genannt wurden, die ein gutes Passwort auszeichnen, stellt sich die Frage, wie man ein solches Passwort geschickt wählt – denn ein ansich gutes Passwort ist auch schlecht, wenn es so schwer zu merken ist, dass es irgendwo aufgeschrieben werden muss (und schlimmstenfalls dann auf einem Zettel steht, welcher am Bildschirm oder unter der Tastatur klebt).
Nachfolgend werden drei Verfahren vorgestellt, mit denen sich gute Passwörter erzeugen lassen, die anschließend für den Erzeugenden, da dieser die "Eselsbrücken" kennt) einfach zu merken sind.

Collage-Verfahren

Man wählt mehrere kurze Wörter und kombiniert diese mit Ziffern und Sonderzeichen. Dabei sollten sowohl Groß- als auch Kleinbuchstaben benutzt werden.
Beispiele: "Zug+2Weg" oder "Tee!Rot5".

Alternativ kann man auch ein beliebiges Wort wählen und dieses in eine andere Sprache übersetzen. Dann nimmt man von beiden Wörtern die ersten drei Buchstaben (die natürlich in beiden Wörtern unterschiedlich sein sollten) und kombiniert diese wie oben geschildert.
Beispiele: Aus "Anfang" und "beginning" wird "ANF4beg7" oder aus "Bild" und "image" wird "Ima2+Bil".

Akronym-Verfahren

Man wählt einen beliebigen Satz, den man sich selbst gut merken kann. Dabei sollte es sich jedoch nicht um ein berühmtes Zitat o. ä. handeln. Als Passwort verwendet man die Anfangsbuchstaben der Wörter dieses Satzes und ersetzt geeignete Wörter durch entsprechende Ziffern bzw. Sonderzeichen.
Beispiel: Aus "Passwort hat acht Zeichen und ist ausreichend sicher" wird "Ph8Z&ias".

Wortverfremdung

Man wählt ein Wort, schreibt dieses absichtlich falsch und ersetzt anschließend einzelne Buchstaben durch ähnlich aussehende Ziffern oder Sonderzeichen.
Beispiel: Aus "Security" wird "Se(vr1tY".

Sicherer Umgang mit Passwörtern

Ein nach obigen Kriterien gewähltes "gutes" Passwort gewährleistet keinen Schutz, wenn es selbst nicht ausreichend vor unbefugtem Zugriff geschützt wird und dadurch (vielleicht sogar unbemerkt) Dritte Kenntnis des Passworts erlangen könnten. Nachfolgend sind einige wichtige Regeln aufgelistet, die beim Umgang mit Passwörtern unbedingt beachtet werden sollten.

Die oberste Regel beim Umgang mit Passwörtern sollte sein:
"Behandle deine Passwörter wie deine Zahnbürste: Benutze sie täglich, wechsle sie regelmäßig und teile sie NICHT mit deinen Freunden!" (Zitat aus dem Usenet)

Weitere wichtige Regeln, die teilweise schon angesprochen wurden:

• Ein Passwort sollte nur dem Inhaber der dazugehörigen Benutzerkennung bekannt sein und auch an Freunde oder Bekannte niemals weitergegeben werden.
• Man sollte sich bei der Eingabe eines Passworts nicht über die Schulter schauen lassen.
  Auch wenn ein Dritter das Passwort bei der Eingabe nicht genau erkennen kann, so ist es ihm – je nach Verteilung der in dem Passwort enthaltenen Zeichen auf der Tastatur und dem eigenen "Tippverhalten" – durch seine Beobachtung unter Umständen möglich, den Zeichenvorrat für einen Brute-Force-Angriff (wie oben erläutert) stark einzuschränken und das Passwort auf diesem Wege schnell herauszufinden.
• Passwörter sollten möglichst niemals aufgeschrieben und insbesondere nicht in der Nähe eines Systems aufbewahrt werden, auf dem sie gültig sind (keine Zettel am Bildschirm, unter der Tastatur oder in der Schublade!).
  Muss ein Passwort aus einem besonderen Grund dennoch einmal notiert werden, so sollte es keinesfalls als solches erkennbar sein – man könnte es z. B. auf eine für Dritte nicht leicht durchschaubare Weise mit weiteren Zeichen mischen. Weiterhin sollte ein Passwort niemals zusammen mit der Benutzerkennung oder dem Namen des Systems, auf dem es gültig ist, aufgeschrieben werden – auch ein "verfremdetes" Passwort nicht.
• Passwörter sollten niemals elektronisch gespeichert (Datei mit Passwortliste auf der Festplatte) oder per E-Mail versendet werden – es sei denn, die Datei bzw. E-Mail wird ausreichend stark verschlüsselt.
  Auch die von vielen Anwendungen angebotene Option "Passwort speichern" sollte – auch wenn sie nützlich erscheinen mag – möglichst nicht verwendet werden, da die Passwörter dabei meist nicht ausreichend stark verschlüsselt oder im schlimmsten Fall sogar im Klartext auf der Festplatte gespeichert werden.
• Wird bekannt oder vermutet, dass ein unbefugter Dritter – absichtlich oder versehentlich – Kenntnis von einem Passwort erlangt hat, so sollte das Passwort umgehend geändert werden.
• Alle Passwörter sollten in angemessenen Abständen geändert werden.
  "Angemessen" hängt dabei von den Anforderungen an die Sicherheit des Systems und den darauf gespeicherten Daten ab. Üblicherweise ist ein Intervall von drei bis sechs Monaten bei normalen Benutzerkennungen und ein Intervall von ein bis zwei Monaten bei priviligierten Konten ausreichend.
• Für verschiedene Benutzerkennungen auf einem System bzw. für identische Kennungen auf verschiedenen Systemen sollten unbedingt auch unterschiedliche Passwörter gewählt werden.
  Werden viele Passwörter benötigt, empfiehlt es sich – um sich diese merken zu können und nicht aufscheiben zu müssen – "Familien" von Passwörtern anzulegen. Diese Passwörter sollten auf eine für den Inhaber systematische, für Dritte aber nicht offensichtliche Weise erzeugt werden.

Neben diesen für alle Benutzer wichtigen Regeln sollten Systemadministratoren außerdem auch die folgenden Punkte beherzigen:

• Jede Benutzerkennung sollte mit einem Passwort versehen sein. Es sollte keine Anmeldung unter irgendeiner Benutzerkennung ohne die Eingabe eines Passworts möglich sein (auch nicht bei "Gast"- oder "Test"-Konten).
• Auf einem neu installierten oder vorinstalliert gelieferten System sollten alle vorhandenen Standard-Passwörter geändert werden, bevor das System zur Anmeldung für Benutzer freigegeben wird.
  
• Es sollte unbedingt vermieden werden, "Gruppenkennungen" einzurichten, bei der sich mehrere oder alle Mitglieder einer Arbeitsgruppe unter der gleichen Benutzerkennung und mit einem einzigen Passwort am System anmelden. Gruppenkennungen können u. a. zu folgenden Problemen führen:
  • Eines der Gruppenmitglieder macht versehentlich oder absichtlich (Saboteur) einen Fehler. Dieser wirkt sich bei einer Gruppenkennung schnell auf den kompletten Datenbestand der Arbeitsgruppe aus.
  • Im Fehlerfall ist es schwierig, den Verursacher zu identifizieren, wenn dieser sich nicht freiwillig meldet.
  • Mit wachsender Anzahl von Mitgliedern der Arbeitsgruppe (und somit auch der Anzahl von Personen, denen das gemeinsame Passwort bekannt ist) steigt die Gefahr, dass das Passwort an Dritte weitergegeben wird.
  • Man verliert schnell den Überblick, wem das gemeinsame Passwort (z. B. auch noch nach dem Ausscheiden aus der Arbeitsgruppe) bekannt ist und wem nicht.
• Scheidet ein Mitarbeiter aus dem Unternehmen aus, sollte (soweit keine besonderen Gründe dagegen sprechen) das Passwort seines Benutzerkontos umgehend geändert bzw. das Konto deaktiviert oder gelöscht werden.