Das Entsperrmuster lässt sich an der Fettspur auf dem Handy-Display ablesen, den Fingerabdruck bekommt man zum Beispiel von einem Getränkebehälter oder aus einer erkennungsdienstlichen Behandlung. Ein Porträtfoto für die Gesichtserkennung lässt sich mit einer guten Kamera aus der Ferne machen: Die meisten Entsperrmechanismen sind recht simpel zu umgehen.
Die Hersteller bauen immer neue Sicherheitsmechanismen ein: Ist das Iris-Abbild wirklich auf einer gekrümmten Linse oder nur auf einem ausgedruckten Foto? Ist das vorgezeigte Gesicht dreidimensional? Bauen sie eine neue Vorkehrung ein, versuchen Sicherheitsforschende sie zu umgehen – ein Katz-und-Maus-Spiel.
Also muss ein sicheres Passwort her. Aber wie sieht das aus? Wie viele Zeichen soll es haben und müssen wirklich Sonderzeichen rein? Wir haben eine Reihe Expert*innen zum Thema befragt.
Janik Besendorf vom Digital Security Lab der Reporter ohne Grenzen sagt: „Wichtig ist vor allem die Länge, weniger, wie viele Sonderzeichen und Zahlen ich da drin habe und ob ich Groß- und Kleinschreibung verwende.“ Grundlage ist die Logik: Je mehr Versuche nötig sind, um ein Passwort zu erraten, desto sicherer ist es.
Die Länge macht’s
Die Formel, um zu berechnen, aus wie vielen möglichen Kombinationen ein Passwort besteht: Menge der möglichen Zeichen hoch Länge. Ein vierstelliges Passwort aus nur Kleinbuchstaben hätte damit 26 hoch 4 Möglichkeiten – rund eine halbe Million. Eine vierstelliges Passwort aus den 95 druckbaren ASCII-Zeichen (Groß- und Kleinbuchstaben, Zahlen von 0 bis 9 und Sonderzeichen) böte dagegen über 80 Millionen Kombinationsmöglichkeiten.
Wenn man allerdings stattdessen bei den Kleinbuchstaben bleibt und das Passwort einfach auf sechs Buchstaben verlängert, landet man schon bei über 300 Millionen möglichen Kombinationen. Aufgrund der Exponentialfunktion ist die Länge des Passworts der entscheidende Faktor.
Das bestätigt auch Joachim Wagner, Pressesprecher im Bundesamt für Sicherheit in der Informationstechnik. „Früher hat man ja immer gesagt, wir brauchen eine Mischung aus Zahlen, Buchstaben, Sonderzeichen. Mittlerweile ist aber der Ratschlag, dass man als Passphrase durchaus einen Satz nutzen kann, solange er lang genug ist. Also alles über 20 Zeichen.“
Auch Janik Besendorf sagt: „So ganz grob geschätzt ist man ab 20 Zeichen schon sehr gut dabei.“ Eine gute und gut erforschte Methode, selbst Passwörter zu generieren, sei das Diceware-Verfahren. Dabei reiht man erwürfelte Wörter aneinander und verbindet sie dann eventuell noch mit Sonderzeichen. „Das ist die gängige Empfehlung der Wissenschaft und von Organisationen, die sich mit digitaler Selbstverteidigung beschäftigen“, sagt Besendorf.
Wann der Fingerabdruck reicht
Eine Ausnahme von der Minimum-20-Zeichen-Regel sind die Entsperrcodes mancher Smartphones. Aktuelle iPhones und aktuelle Google-Pixel-Telefone sind mit einem Sicherheitschip ausgerüstet, der hardwareseitig dafür sorgt, dass die Wartezeit zwischen den PIN-Eingaben von Fehlversuch zu Fehlversuch immer weiter steigt.
Alexander Paul von resist.berlin, einer digitalen Sicherheitsberatung vor allem für Aktivist*innen sagt: „Dadurch werden relativ kurze PINs auf diesen Geräten vergleichsweise sicher. Die Empfehlung ist, mindestens eine sechsstelligen, zufälligen PIN zu verwenden. Auf einem Pixel-Telefon wird der im Schnitt erst nach 1.300 Jahren geknackt“.
Menschen, die den Sicherheitschips nicht trauen, könnten stattdessen auch eine Kombination aus langem Passwort und Fingerabdruck nutzen, so Alexander Paul. Auf dem Google-Pixel-Telefon ließe sich eine Funktion einstellen, mit der man das Telefon im Alltag mit Fingerabdruck entsperre. Doch sobald man sich aus dem Profil abmeldet, wird das lange, sichere Passwort für den Zugang zum Telefon nötig. „Wer öfters auf Demos geht, kann sich das ruhig mal antrainieren“, sagt er.
Joachim Wagner vom Bundesamt für Sicherheit in der Informationstechnik empfiehlt allen Nutzer*innen, für besonders wichtige Accounts eine Zwei-Faktor-Authentifizierung einzurichten. Das heißt, neben dem Passwort braucht es noch eine weitere Information, um sich einzuloggen. Oft sind das einmalig nutzbare, generierte Codes.
Wichtig ist auch, für jeden Dienst ein eigenes Passwort zu verwenden. Sonst liegt bei einem Datenleck eines genutzten Dienstes potenziell die ganze digitale Identität offen. Und auch das heimische W-LAN braucht ein neues sicheres Passwort, da die voreingestellten Passwörter oft Teil von Datenlecks sind.
Passwortmanager und Datenlecks
Um die zahlreichen langen Passwörter zu verwalten, empfehlen Wagner, Besendorf und Paul einen Passwortmanager, der könne die guten Passwörter auch gleich generieren. „Dann muss ich mir nur ein starkes Passwort merken, das für den Passwortmanager“, sagt Wagner. Das müsse man sich dann aber wirklich gut merken, denn wenn es weg sei, seien es auch alle Zugänge.
Wagner darf als Behördenmitarbeiter keine Produktempfehlung abgeben, Besendorf empfiehlt: „Entweder Bitwarden oder KeepassXC, die sind beide Open Source, werden aktiv weiterentwickelt und haben erst kürzlich ein Audit veröffentlicht, da hat eine Sicherheitsfirma die auf mögliche Probleme überprüft.“
Bitwarden kommt mit einer Cloudanbindung, mit der die Passwörter synchronisiert werden. KeepassXC hat dafür einfach nur eine verschlüsselte Datei, die es den Nutzer*innen überlässt, wie sie die sichern und auf unterschiedlichen Geräten nutzen. Auch die Electronic Frontier Foundation empfiehlt KeepassXC.
Mit den Passwortmanagern ist es auch möglich, die Passwörter regelmäßig zu ändern. Schnellstmöglich sollte man das tun, wenn man sein Passwort auf einem nicht vertrauenswürdigen Gerät eingetippt hat oder das Passwort in einem Datenleck veröffentlicht wurde. Ob E-Mail-Accounts in solchen Datenlecks enthalten sind, lässt sich unter anderem auf haveibeenpwned.com herausfinden.
Man kann sich dort auch benachrichtigen lassen, sobald persönliche Accountdetails im Netz gefunden werden. Die Seite des Sicherheitsforschers Troy Hunt versammelt allerdings nur frei zugängliche Breaches. Wenn ein Account dort nicht verzeichnet ist, heißt das nicht, dass das Passwort dazu nicht bereits anderen Menschen bekannt ist.
Mehr Tipps zur digitalen Selbstverteidigung gibt es hier und unter netzpolitik.org/digitale-selbstverteidigung.
https://www.eff.org/deeplinks/2016/07/new-wordlists-random-passphrases
Bzgl KeepassXC sei noch erwähnt, dass man die Datenbank zusätzlich zum Masterpasswort als Zweitfaktor mit einer Keyfile oder über Challenge Response mit einem Yubikey absichern kann.
Zudem lassen sich in KeepassXC seit der aktuellen Version auch Passkeys importieren.
Wie das alles bei Bitwarden aussieht, kann ich nicht sagen.
„Dadurch werden relativ kurze PINs auf diesen Geräten vergleichsweise sicher. Die Empfehlung ist, mindestens eine sechsstelligen, zufälligen PIN zu verwenden. Auf einem Pixel-Telefon wird der im Schnitt erst nach 1.300 Jahren geknackt“.
„1500 Jahren“ wohlmöglich auf bzw. am Smartphone selber;
aber dieses so doch nicht durch profies, denn die erstellen eine Image vom Chip dessen Inhalt .
Wer RAM-Drive oder VM kennt und diese in vielen tausenden Micro-Image-Instanzen, kann sich gut vorstellen wie schnell eine Image mit zuvor generierten und angefertigten PIN-Listen und mit passender Stellenanzahl entschlüsselt wird .
Wer Killswitch in sein Geräten unterbringt, bringt auch anderes dort unter .
Wer Apps aus der Ferne mit ein Befehl deinstallieren kann, der kann auch mehr .
Sonst eine Push-Nachricht an das System senden, CA Listenupdate und oder ein Update für kritische Lücken nachschieben .
Mit den Updates, wird ein neues ROOT Passwort oder ein Backdoor eingespielt .
Das kommt sicherlich auf das Design und die Implementierung der Funktionen im Chip an.
Sie sagen jetzt (warum auch immer): alles von Amateuren designt, Profis können das einfach knacken.
Warum aber schließen Sie aus, dass die Chips von Profis designt wurden um
auch von anderen Profis NICHT knackbar zu sein?
Software ist dann wieder ein anderes Thema.
Google Pixel + GrapheneOS bilden hier bspw. eine von IT-Experten empfohlene Kombination.
Auf der man gerne auch längere PINs nutzen kann wenn man will.
Sofern man denn der Hardware traut.
Vielleicht ja doch lieber was von Huawei….? :)
Dein Kommentar ist leider so verquer und voller unbelegter Behauptungen, dass es schwer fällt, darauf adäquat zu antworten. Man kann nicht einfach Komponenten aus Smartphones ausbauen und anderweitig „knacken“, da der Speicherinhalt ja nicht einfach mit dem PIN verschlüsselt wird, das wäre selbstverständlich extrem dämlich. Du brauchst immer die Hardwarekomponente des Titan M-Chips, die extrem tamper resistant ist. Hierzu verweise ich auf die GrapheneOS-Dokumentation zu dem Thema: https://grapheneos.org/faq#encryption
Für deine weiteren Behauptungen fehlen auch jegliche Belege. Bitte schau dir die Artikel zu Insider Attack Resistance und dem Design des Titan M Chips an:
https://android-developers.googleblog.com/2018/10/building-titan-better-security-through.html
https://android-developers.googleblog.com/2018/05/insider-attack-resistance.html
Im Endeffekt führt das dazu, dass führende Firmen wie Cellebrite aktuelle Pixels eben nicht brute-forcen können, wie man der firmeneigenen Dokumentation entnehmen kann: https://discuss.grapheneos.org/d/14344-cellebrite-premium-july-2024-documentation
Bis jemand Zugang zum Passwortmanager hat, mag das sinnvoll sein.
Den bekommt man aber nur mit dem richtigen Passwort.
Schlau, oder?
Frage zu den Pixel phones: Ich wusste nicht, dass man sich „von seinem Profil abmelden“ kann – wie geht das?
vom oberen Rand nach unten wischen, dann nochmal nach unten wischen, dann taucht unten ein Benutzer-Symbol auf. Wenn ich da drauf tippe, kann ich mich aus dem Profil abmelden. Bei mir scheint das allerdings nur zu gehen, wenn man mehr als ein Profil hat
Danke, ich hatte „mehrere Nutzer zulassen“ deaktiviert.
Das ist etwas unglücklich ausgedrückt und ich glaube, das geht auf meine Kappe. Man kann sowohl bei stock Android als auch bei GrapheneOS in einem Profil mit hinterlegtem Fingerabdruck lange die Ein-/Aus-Taste drücken und dann auf „Sperren“ gehen. Dann wird die Entsperrung per Fingerabdruck deaktiviert und PIN/Passwort sind nötig.
Bei GrapheneOS kann man in Sekundärprofilen an selber Stelle zusätzlich „Sitzung beenden“ wählen, dann wird das aktuelle Profil komplett geschlossen und zum Eigentümerprofil zurückgewechselt: https://grapheneos.org/features#end-session. Wenn man im Eigentümerprofil keinen Fingerabdruck hinterlegt hat, hat das dann denselben Effekt.
Aus verschiedenen Anlässen mache ich mir in letzter Zeit Gedanken darüber, wie meine Frau (oder wer auch immer meine nächsten Angehörigen in dem Fall sind) Zugang zu meinen Daten bekommt, falls mir etwas passiert. Ich benutze KeepassXC, also ist zumindest alles an einer Stelle, aber wie bewahre ich z.B. das Master-Passwort so auf, dass es sowohl sicher ist, aber auch in diesem Fall auffindbar? Wir hatten es vor Kurzem recht schwer, die Angelegenheiten in einem Todesfall in der Familie zu regeln, weil wir keinen Zugang zu bestimmten Diensten hatten – oder auch nur zu den Kontaktdaten der engsten Freunde der Person. Und im Trauerfall ist die Energie, nach Passwörtern zu fahnden, begrenzt… Diesen Stress würde ich meinen Nächsten gerne ersparen. Hat hier jemand Ideen oder schon entsprechende Vorkehrungen getroffen?
> Hat hier jemand Ideen?
Die Frage ist, wie gut ist das Vertrauensverhältnis zu seinen Lieben, und welchen Schutz möchte man dennoch für das Master-Passwort haben. Denkbar sind auch zwei oder mehrere KeepassXC-Datenbanken für unterschiedliche Zwecke, wobei in einer nur jene PWs sind, die im Notfall bekannt werden sollen.
Jemandem das Master-Password (MPW) zu geben, der normalerweise keinen physischen Zugang zum Gerät hat, dürfte unter „normalen Umständen“ kein großes Problem sein, ebenso das hinterlegen des MPW in einem auffindbaren Briefumschlag oder im Testament. Bei Vertrauensentzug wird das MPW geändert.
Wer seine Privatsphäre bis zum Tod voll geschützt haben will, und auf Nummer Sicher gehen will, der hinterlegt das bei einem Notar. Man kann verfügen, dass es auch vor Eröffnung des Testaments an bestimmte Personen weiter gegeben werden soll, oder bei Eintreten von Situationen wie z.B. Pflegebedürftigkeit.
Ich nutze schon seit Jahren pwgen und auch FDE mit cryptsetup.
In diesem Artikel steht 4 Zeichen mit Kleinbuchstaben sind 500.000 möglichkeiten und mit „allen“ Zeichen 80 Millionen.
Ich Frage mich jetzt nur jedesmal, woher weiß der Hacker, was ich für Zeichen eingesetzt habe?
Das ergibt für mich keinen Sinn. Denn es können ja theoretisch immer 80 Millionen Möglichkeiten sein.
Und wenn mir das Passwort nicht in verschlüsselter Form vorliegt, dann muss man eigentlich immer von den 80 Mio Möglichkeiten ausgehen.
Sollte mir das Passwort jedoch in verschlüsselter Form vorliegen, dann kann ich trotzdem noch immer nicht darauf schließen, ob nur Kleinbuchstaben verwendet wurden. Oder kann man das dann über Rainbowtables ermitteln?
Man probiert idR nicht völlig zufällig über den größten anzunehmenden Suchraum, sondern fängt mit den wahrscheinlichsten Möglichkeiten an.
Viele Leute verwenden sehr einfache Kombinationen, und die probiert man zuerst. Und findet die damit dann auch viel schneller.
Rainbow tables sind einfach vorberechnet Tabellen von Passwörtern und ihrer hashes. Das geht nur bei entsprechend kleinem Suchraum, und man muss den hash haben, um das passende Passwort zu finden.