Unsere Passwörter sind nicht sicher

Die Beratungsfirma Deloitte erwartet, dass im Jahr 2013 mehr als 90 Prozent aller von Nutzern erstellten Passwörter nicht sicher sind. Früher sei man davon ausgegangen, dass ein achtstelliges Passwort aus Buchstaben, Zahlen und Sonderzeichen ausreichend sicher sei. Doch dies sei heute nicht mehr der Fall – mit einer professionellen Infrastruktur sei es möglich, jedes achtstellige Passwort in rund fünfeinhalb Stunden zu knacken. Und: Dank Crowd-Hacking, bei dem die zum Cracken nötige Rechenpower auf Tausende von Computern verteilt wird, geht es sogar noch einfacher.
Eines der Hauptprobleme sei, dass sich der Mensch die Passwortvergabe in der Regel einfach macht. Er setzt Passwörter aus realen Wörtern zusammen, stellt Grossbuchstaben üblicherweise an den Anfang und Zahlenfolgen ans Ende. Die so erstellten Passwörter sind dann alles andere als sicher, denn Hacker können auf sogenannte Dictionaries zurückgreifen, Wörterbücher, die bekannte Wortkombinationen enthalten. Einer kürzlich durchgeführten Studie zufolge würden die 10'000 meistverwendeten Passwörter ausreichen, um Zugang zu über 98 Prozent aller Accounts zu erhalten.

Mehr Zeichen und mehr Faktoren

Wie gestaltet man seine Passwörter dennoch sicher? Laut Deloitte hilft es schon, ein Passwort statt aus acht aus zehn Zeichen zu bilden – unter Verwendung von Buchstaben, Zahlen und Sonderzeichen. Verglichen mit den fünfeinhalb Stunden für die acht Zeichen würde das Knacken eines zehnstelligen Passworts mit den gleichen Mitteln bereits über fünf Jahre in Anspruch nehmen. Das Problem: Durch den aktuellen Erfolg von mobilen Geräten neigen die Nutzer wieder vermehrt zu kürzeren Passwörtern, weil die Eingabe von langen und komplizierten Passwörtern auf Smartphones und Co. vergleichsweise umständlich ist.
Ein wichtiger Trend für das aktuelle Jahr sieht das Unternehmen in der Mehrfaktorauthentifizierung. Dabei wird zusätzlich zum eigentlichen Passwort ein weiterer Kanal zur Authentifizierung beigezogen, z.B. das Mobiltelefon des Nutzers, an das ein zufälliger Anmelde-Code verschickt wird. Auch Fingerabdruck-Scanner oder NFC-Chips könnten als solche zusätzlichen Sicherheitsfaktoren zum Einsatz kommen. Deloitte erwartet, dass 2013 einige Technologiefirmen entsprechende Mehrfaktorverfahren implementieren werden.