Spenden

Dieser Artikel ist mehr als 10 Jahre alt.

Passwörter Einfach Erklärt

Alexander Lehmann erklärt in einem ersten von insgesamt fünf Kurzfilmen zum Thema Verschlüsselung, was Passwörter sind und wie man diese sinnvoll und sicher verwendet. Inhalt von www.youtube-nocookie.com anzeigen Hier klicken, um den Inhalt von www.youtube-nocookie.com anzuzeigen. Inhalt von www.

  • Markus Beckedahl
Markus Beckedahl
31

Alexander Lehmann

erklärt in einem ersten von insgesamt fünf Kurzfilmen zum Thema Verschlüsselung, was Passwörter sind und wie man diese sinnvoll und sicher verwendet.

Hier klicken, um den Inhalt von www.youtube-nocookie.com anzuzeigen.

Inhalt direkt öffnen

Über die Autor:innen

  • Markus Beckedahl
    Markus Beckedahl

    Markus Beckedahl hat schon 2003 in der Ur-Form von netzpolitik.org gebloggt und hat zwischen 2004 bis 2022 die Plattform als Chefredakteur entwickelt. Seit 2024 ist er nicht mehr Teil der Redaktion und schreibt einen Newsletter auf digitalpolitik.de. Kontakt: Mail: markus (ett) netzpolitik.org, Presseanfragen: +49-177-7503541 Er ist auch auf Mastodon, Facebook, Twitter und Instagram zu finden.

    Foto: Darja Preuss

Veröffentlicht

Kategorie

Schlagwörter

, , , ,

Weiterlesen

Thema

Linkschleuder

Thema

Animation

Thema

Filme

Ergänzungen

Wir freuen uns auf Deine Anmerkungen, Fragen, Korrekturen und inhaltlichen Ergänzungen zum Artikel. Bitte keine reinen Meinungsbeiträge. Unsere Regeln zur Veröffentlichung von Ergänzungen findest Du unter netzpolitik.org/kommentare. Deine E-Mail-Adresse wird nicht veröffentlicht.

31 Kommentare zu „Passwörter Einfach Erklärt“

  1. Daniela

    ,

    schön gemachter Film. Für mich offen bleibt die Frage:
    Wenn doch Knacker alle Wörterbücher durchsuchen – ist mein Passsatz denn wirklich sicher, wenn er aus lauter Wörtern besteht, die im Wörterbuch zu finden sind? Kann ein Knacker nicht nach Teilen des Passwortes (also Passsatzes) suchen und das geht dann doch wieder sehr schnell?

    1. Artemis

      ,

      Wenn die Passsätze nur aus Wörtern bestehen ist es relativ einfach zu knacken, beispielsweise „DasistmeinPassword“. Durch die zusätzliche Einschränkung der Sonderzeichen wird es schwieriger, beispielsweise das erste i durch ein Ausrufezeichen ersetzen. Hier muss natürlich auch damit gerechnet werden, dass bekannte Ersetzungen (i -> !, s -> 5) etc. in Wörterbüchern und Password-Knack-Tools berücksichtigt werden.
      Aber wenn der Passsatz lang genug ist und an verschiedenen Stellen verschiedene Sonderzeichen eingefügt wurden, ist der Aufwand schon deutlich größer.

    2. kalkfalke

      ,

      Gute Frage. Faustregel wie immer: je unintuitiver, desto sicherer. „DiesIstMeinPasswort“ ist ziemlich naheliegend als Passsatz und darum von Wörterbuch-Angreifern leicht zu erraten. „GurkensalatHeiltAugenkrebs“ oder „WespeStichtHerzBube“ hingegen sind schon schwieriger.

      Die Komplexität errechnet sich ja aus [Länge]^[MöglicheZeichen]. Je länger also der Passsatz ist oder, besser noch, je mehr Zeichen man verwendet, desto schwieriger wird der Passsatz zu erraten.

      Beispiel GurkensalatHeiltAugenkrebs. Das sind 26 Groß- und Kleinbuchstaben. 26^52 = 3,789 * 10^73.
      Selbst wenn ich mit dem Supercomputer JUQUEEN vom Forschungszentrum Jülich dranginge, wäre ich bummelig 10^50 Jahre beschäftigt. Ärgerlicherweise würde nach relativ kurzer Zeit (nach ein paar Milliarden Jahren) die Sonne explodieren.
      Alternativ kann man diesen Passsatz auch als 3 Wörter betrachten. Im Duden sind ca. 140.000 Wörter verzeichnet und „Gurkensalat“ und „Augenkrebs“ stehen bei einer Häufigkeitssuche wahrscheinlich ziemlich weit hinten. 3^140000 = 9,455 * 10^66796. Der Computer, der solche Passwörter knacken kann, muss erst noch erfunden werden, wahrscheinlich würde sogar ein Cluster aus sämtlichen Computern der Welt daran zugrunde gehen.

      1. alex

        ,

        Richtig ist [Anzahl möglicher Zeichen]^[Länge]. Für ein Passwort der Länge 26 aus zufälligen Groß- und Kleinbuchstaben gibt es also 52^26 = 4.13*10^44 Möglichkeiten, für einen Passsatz aus drei zufälligen Duden-Wörtern 140000^3 = 2.7*10^15 Möglichkeiten. Der Passsatz hat natürlich weniger Varianten als ein zufälliges Passwort gleicher Länge, aber „GurkensalatHeiltAugenkrebs“ lässt sich halt auch viel besser merken als „dFdhZJnkHTxzrUmbgDSccDKOJg“. Drei zufällige Duden-Wörter sind etwa so sicher wie neun zufällige Groß- und Kleinbuchstaben.

    3. Agpied

      ,

      Ich hab den Film jetzt nicht gesehen. Aber ich vermute es geht dabei um Passwörter, die aus vier, fünf oder mehr zufällig aus einem Wörterbuch ausgewürfelten Wörtern bestehen.

      D.h. das Wörterbuch übernimmt die Rolle des Alphabets mit, sagen wir, 300000 Einträgen (mein Debian-Wörterbuch /usr/share/dict/ngerman hat 339099 Einträge). Dass das Alphabet bekannt ist, ist keine Schwäche (bei „abcde1234%&/.“ ist das Alphabet ja auch bekannt). Ein Passwort wird dadurch sicher, dass es aus möglichst vielen unvorhersehbaren Zeichen aus einem jedem bekannten Alphabet besteht.

      Ein Passwort aus 4 Wörtern gibt also 300000^4 =~ 8,1 * 10^21 Möglichkeiten.

      Es gibt 95 druckbare ASCII-Zeichen (also Ziffern, Buchstaben, Sonderzeichen, die sich auf jeder Tastatur eingeben lassen). Ein Passwort, dass aus zufälligen druckbaren ASCII-Zeichen besteht, müsste mindestens die Länge 11 haben, um eine Sicherheit von gleicher Größenordnung zu haben, denn 95^11 =~ 5,7 * 10^21.

    4. Frl. Unverständnis

      ,

      Mal praktisch gedacht: Damit das Passwort angenommen wird, kann man nicht wie beim Knacken eines Zahlenschlosses zuerst ein Wort erraten und dann das nächste. Ein Wort zu viel oder zu wenig führt zum Scheitern. Da ginge es vermutlich schneller, alle beliebigen Buchstabenkombinationen alphabetisch durchzuprobieren.

      Wörterbücher zum Passwortknacken enthalten außerdem vor allem Standardpasswörter wie „Passwort123“. Ein „Schäferhund“ mag auch noch drinstehen, doch „Schäferhundesindniedlich“ mit der Wörterbuchmethode anzugehen, müsste in der Realität ziemlich langatmig sein :)

    5. dumdidum

      ,

      Nein. Die Buchstaben sind ja auch bekannt und das macht Brute Force nicht leichter. Wörter zu benutzen ist äquivalent dazu ein größeres Alphabet zu nutzen.
      Statt 26^Länge Möglichkeiten gibts dann 10000^Länge Möglichkeiten. Das gilt für zufällig gewählte Wörter, nicht für Sätze. Diese sind deutlich schwächer, weil vorhersagbarer.

  2. kalkfalke

    ,

    Ich sag nur lLwszIguImdhIAhdg1989 – quasi unknackbar und doch leicht zu merken.

    (Hintergrund, wers nicht mitbekommen hat: Frank-Walter Steinmeier verriet das Passwort fürs WLAN des Auswärtigen Amtes, siehe oben. Es sind die Anfangsbuchstaben des Satzes „Liebe Landsleute, wir sind zu Ihnen gekommen, um Ihnen mitzuteilen, dass heute Ihre Ausreise…“ von Hans-Dietrich Genscher (hdg) aus dem Jahr 1989. Ich habs vor ein paar Wochen ein Mal in der Zeitung gelesen und weiß es immer noch auswendig…)

    1. Agpied

      ,

      Die Passwörter sind super zu merken. Stimmt. Das Problem: man kann sich kaum ein eigenes Mantra ausdenken, was man dann nie wieder vergisst, sondern nimmt i.d.R. ein Gedicht, ein Zitat, oder ähnliches, das man bereits auswendig kennt.

      Ein Angriff auf solch ein Passwort würde also Gedichte, Zitate, Songtexte heranziehen und nach obigem Schema Passwörter bilden. Wenn man etwas über das Ziel weiß, kann man da erheblich eingrenzen: Grundschulgedichte, Musikgeschmack, Beruflicher Kontext, Vorbilder etc.

  3. Marc

    ,

    Alles sehr schön bis zur Praxis:

    Fünfzig/9=8
    ! Enthält ungültige Zeichen

    Fünfzigdurch9=8
    ! Enthält ungültige Zeichen

    Fünfzigdurch9gleich8
    ! Zu lang

    50durch9gleich8
    ! Kein Großbuchstabe

    Passwort123!
    Sicherheit: hoch! Akzeptiert!

    1. Rumpelstilz

      ,

      Danke’ dieser Beitrag hat mir den Abend versüßt.

    2. kalkfalke

      ,

      Das Problem heißt ü, ü ist nämlich kein ASCII-Zeichen. Fuenfzig/9=Acht müsste funktionieren.

    3. Manu

      ,

      Ja, das ist in der Tat ein Problem.

      Auch wenn man einen Passwortmanager nimmt und dann im Prinzip beliebig lange Passwörter einsetzen könnte und dann von „Passwort mit 8–12 Zeichen“-Websites ausgebremst wird.

      Und noch schlimmer: Websites, bei denen man auf „Passwort vergessen“ klickt und dann sein Passwort zugeschickt bekommt. Gibt Communities mit Millionen Usern, wo das so ist. War zumindest mal bei Traceparts.com (CAD-Modell-Datenbank) so. Hatte mich da mal beschwert. Scheint jetzt geändert, man bekommt ein temporäres Passwort. Ob das Passwort allerdings als Hash (mit Salt) gespeichert wird, weiß man trotzdem nicht.

  4. Fahrstuhl

    ,

    Passphrasen mit korrekter Grammatik sind aber auch nicht unbedingt sicher, die Regelmäßigkeit verkleinert den Suchraum erheblich: http://www.isri.cmu.edu/news/2013/jan24-rao-grammer.html
    Meine Lieblingsmethode ist Diceware (aktuell mit mindestens 6 Worten): https://de.wikipedia.org/wiki/Diceware
    Die Stärke lässt sich leicht berechnen, man kann sich die Passwörter ziemlich gut merken und auch auf ner Touchtastatur schnell eintippen.
    Am Ende benutze ich aber einen Passwortmanager, über 300 Passphrasen sind ein bisschen zu viel fürs Gedächtnis.

    1. badger

      ,

      In der Tat, sobald bei Passphrases Grammatikalität ins Spiel kommt, sinkt die Sicherheit dramatisch. Diceware wird hier sehr schön von Micah Lee (früher EFF, heute The Intercept) erklärt:
      https://theintercept.com/2015/03/26/passphrases-can-memorize-attackers-cant-guess/

    2. Passwortmanager

      ,

      Hast du da keine Bedenken, dass die App z.B. dein Bankpasswort nach Hause telefoniert?

      1. badger

        ,

        Keepass ist Open Source und seit Jahren im Einsatz – da würde ich mir keine Sorgen machen. Aber es geht ja nicht nur um das Programm selbst. Wer sich beispielsweise einen Trojaner einfängt, der darauf spezialisiert ist, Passwort-Manager anzuzapfen, hat Pech gehabt. Das ist der Grund, warum Bruce Schneier, der selbst an einem Passwort-Manager mitgearbeitet hat, mittlerweile eine Passwortliste auf Papier in der Brieftasche mit sich rumträgt. (Nachdem mir vor ein paar Wochen ein ziemlich genialer Tachendieb mein Portemonnaie geklaut hat, habe ich meine Zweifel an dieser Lösung.)

      2. Fahrstuhl

        ,

        Wie badger sagt, ist Keepass Open Source, von daher vertraue ich dem ganzen eher schon.
        Wenn ich mir einen Trojaner einfange, der meinen Passwortmanager ausspähen kann, kann er vermutlich auch meine Tastatureingaben ausspähen. Klar hätte er bei ner Papierliste dann nicht alle Passwörter auf einmal, aber meine wichtigen Accounts (Bank und so) benutze ich oft genug, sodass die so oder so kompromittiert werden würden. Andererseits können die wirklich wichtigen Sachen mittlerweile Zwei-Faktor-Authentifizierung.
        Es gibt auch externe Open Source Passwortmanager als USB Stecker, die mehr oder weniger das beste aus beiden Welten vereinen: Erlauben automatisierte Eingaben, viele Einträge, sind aber nicht gleich kompromittiert, wenn man nen Virus hat oder ihn verliert.
        Kosten aber gut Geld: http://inversepath.com/usbarmory
        Die perfekte Lösung des Problems scheint nicht so wirklich zu existieren.

      3. Manu

        ,

        Ja, richtig. Und vorallem ist zweifelhaft, ob man bei einer Papierliste dann auch so lange und komplexe Passwörter benutzt wie bei einem Passwortmanager. Ist halt immer ein Abwägen, was für einen halt besser passt.

  5. Naja

    ,

    Da nehm ich doch lieber Diceware.
    https://theintercept.com/2015/03/26/passphrases-can-memorize-attackers-cant-guess/

  6. Klaus Löfflad

    ,

    Gut gemacht, danke! Aber wie merke ich mir, welchen Passsatz ich für welche App auf welchem Gerät benutzt habe?

  7. Janett

    ,

    Was ich hier vermisse, ist die Herausforderung, sich fuer jede Webseite oder jedes Kundenkonto ein anderes Passwort zu merken. Ich habe mal gehoert, dass es sinnvoll waere sich einfach ein „Wort“ auszudenken, dass in keinem Woerterbuch steht und es mit einem Wort was die Webseite oder die Firma repraesentiert zu verbinden (+Sonderzeichen und Zahlen). Man benutzt dann immer das ausgedachte Wort und kann sich an die Webseite oder Firma leicht erinnern. Dann kann man nicht mit dem gleichen Passwort ueberall rein, aber wenn das ein Mensch sieht, koennte er dieses Muster natuerlich erraten.

    Wie steht es also mit dieser Methode und ihrer Sicherheit?

    1. Volker Birk

      ,

      Ich kann da folgendes empfehlen:

      Nimm lange Zufallskennwörter für Webseiten, für jede ein anderes. Aber tipp sie nie, sondern speichere sie im Browser.

      Ideal ist das ganze, wenn man die Festplattenverschlüsselung an hat. Dann kann man nämlich in den Programmen Kennwörter ohne besondere Gefahr speichern.

  8. Markus R

    ,

    Hallo,

    Ich bezweifle, dass alleine die Benutzung von ganzen, korrekt geschriebenen Wörter anstatt Buchstaben die Sicherheit wesentlich erhöht. Wenn der Angreifer davon ausgeht, dass Wörter aneinander gereiht sind, kann man die Argumentation mit der theoretisch hohen Anzahl an Zeichenkombinationen vergessen.

    D.h. Wörter müssen falsch geschrieben werden, durch Zahlen und Sonderzeichen ersetzt werden; oder man verwendet mal nur Anfangsbuchstaben bzw. n‑te Buchstaben von Wörter.

    Insgesamt fehlt mir im Video auch der Hinweis, dass es eigentlich schon viel bessere Verfahren als Passwörter gibt. Das Video ist aber zugegebenermaßen sehr schön gemacht und das angegebene Verfahren ist sicher *viel* besser als asdf passwörter!

    1. Volker Birk

      ,

      Damit irrst Du. Munroe hat wie immer recht:

      https://xkcd.com/936/

  9. badger

    ,

    @Markus R.: Dein Zweifel ist eher auf der intuitiven Ebene angesiedelt, die Logik sagt etwas anderes. Das lateinische Alphabet besteht aus 26 Buchstaben, wenn man Groß- und Kleinschreibung kombiniert, kommt man auf 52 mögliche Elemente eines Passworts. Nimmt man die Ziffern von 0–9 dazu, 62. Plus, sagen wir mal, 30 Sonderzeichen = 92. Die Wahrscheinlichkeit, bei einem so große Zeichenraum eines der Elemente deines Passworts zu erraten, liegt also bei 1:92. Wenn ich allerdings eine Wortliste von 300.000 Wörten zugrunde lege, wovon jedes ein mögliches Element meiner Passphrase bildet, beträgt die Wahrscheinlichkeit des Erratens nur 1:300.000.
    Das oft gehörte Argument gegen im Wörterbuch aufgeführte Zeichenfolgen, dass die potentiellen Angreifern bekannt seien, ist natürlich Blödsinn. Den Angreifern sind ja auch alle Buchstaben, Ziffern und Sonderzeichen bekannt – damit muss man in jedem Fall leben.

  10. Netzpolitiker

    ,

    Das ganze als Cartoon erklärt: https://xkcd.com/936/

  11. Passwörter Einfach Erklärt von Alexander Lehmann - lebigmac.org

    ,

    […] Quelle: Passwörter Einfach Erklärt | netzpolitik.org […]

  12. Volker Birk

    ,

    Schade, die Kritik war korrekt, der Tipp jedoch falsch.

    Wenn man wie am Ende des Films dargestellt wenige Worte verwendet, so dürfen diese nicht zusammenhängen. Sie dürfen als Satz keinen Sinn ergeben. Will man einen Passsatz, der schwer zu knacken ist, so muss der sehr, sehr lang sein.

    Der Klassiker zum Thema:

    https://xkcd.com/936/

    Schon die hier dargestellten vier Wörter sollten besser auf fünf Wörter erhöht werden, um sicher zu sein. Bei einem Passsatz geht es dann um viel mehr Wörter.

    Trotzdem ist die Idee des Passsatzes machbar: versucht mal, einen längeren Satz in Eurer Muttersprache zu tippen. Wie, das macht Ihr ja die ganze Zeit hier im Netz? Eben. Das gelingt auch erstaunlich fehlerfrei und schnell, wenn man den Satz dann als Passsatz benutzt.

    Wem das nicht gefällt, dem bleiben immer noch fünf zufällig gewählte Wörter.

  13. Joerg

    ,

    hmm.Und wie helfen die Passätze bei dem Problem, dass man für jeden Dienst ein anderes Passwort verwenden soll ? Gar nicht (zumindest für mich).

    Ich bleibe bei einem Passwortmanager + jeder Dienst ein eigenes, zufallsgeneriertes Passwort.
    Klar kann dann mal mein persönlicher Gau kommen, dass jemand die Datei stiehlt und knackt, oder dasss die Datei + Backups zerstört werden, aber das Risiko gehe ich ein.

    Und ich halte es wirklich für Unsinn, alle User drangsalieren, kryptische Passwörter zu verwenden, nur um brute force Attacken schwerer zu machen. Wenn die Passwortdatei gestohlen wurde, muss man eh davon ausgehen, dass das eigenene PW kompromittiert ist für diesen Dienst ist (was weiss ich was es alles für PW-Listen auch für ungewöhnliche Passwörter gibt und ob meins getroffen wurde oder nicht).

    1. Manu

      ,

      Ja, man kann es doch nicht ernst nehmen, wenn man bei manchen Diensten gezwungen wird, Klein-/Großbuchstaben, Sonderzeichen (aber ggfs. nur ausgewählte) und Ziffern zu benutzen und dann das Passwort aber nur 8 Zeichen lang sein darf.

Dieser Artikel ist älter als 10 Jahre, daher sind die Ergänzungen geschlossen.