123456

von Christian Schorno

Wie Futurezone berichtet, war «123456» das beliebteste Passwort im vergangenen Jahr. O.K. Das ist schockierend, aber wenn man ehrlich zu sich selbst ist, überrascht es einen dann doch nicht so sehr. Was mich mehr wundert, ist, wie um alles in der Welt man das wissen kann. Ist nicht das Wissen darüber doppelt beunruhigend? Die Quelle, die Futurezone angibt, ist Gizmodo, wo uns ein Blogger zurecht und mit der gehörigen Portion Empathie als Idioten beschimpft. Gizmodo verweist wiederum auf eine Security-Firma mit dem Namen SplashData, deren Webseite grad unten ist (falls Sie es probieren möchten, hier der Link). SplashData würde, so heisst es, gestohlene Passwörter sammeln, auswerten und zu einer Hitparade der menschlichen Unzulänglichkeit aufbereiten.

Lassen wir die methodischen Fragen nun beiseite und ziehen die Lehre aus der Sache: Gehen Sie die folgende Liste aufmerksam durch, erkennen Sie die Muster und verwenden Sie diese Muster bitte in Zukunft NICHT mehr!

1. 123456 (Unchanged)
2. password (Unchanged)
3. 12345678 (Up 1)
4. qwerty (Up 1)
5. 12345 (Down 2)
6. 123456789 (Unchanged)
7. football (Up 3)
8. 1234 (Down 1)
9. 1234567 (Up 2)
10. baseball (Down 2)
11. welcome (New)
12. 1234567890 (New)
13. abc123 (Up 1)
14. 111111 (Up 1)
15. 1qaz2wsx (New)
16. dragon (Down 7)
17. master (Up 2)
18. monkey (Down 6)
19. letmein (Down 6)
20. login (New)
21. princess (New)
22. qwertyuiop (New)
23. solo (New)
24. passw0rd (New)
25. starwars (New)

Was aber sollen wir tun? Welche Passwortstrategien empfehlen uns Profis?
Ich fasse mal zusammen, was Healthy Passwords empfiehlt, eine Seite die sich anpreist, dass sie «Technical advice for non-technical people» gebe. Vier Passwortstrategien seien besser als «123456»:

1. Verwenden eines Passwortmanagers – das ist eine Software wie z.B. Lastpass oder Roboform, die alle Passwörter, die Sie verwenden, für Sie verwaltet. Sie brauchen lediglich ein sehr starkes Passwort, um sich in die Software einzuloggen. (Nachtrag: Futurezone hat am 24. Januar 2016 einen Artikel zu Passwortmanagern nachgetragen.)
2. Schreiben Sie die Liste mit allen starken Passwörtern, die Sie sich nicht merken können, in einem Notizbuch auf. Denken Sie dran, dass ein Passwortbuch eine Sicherheitslücke darstellt. Lassen Sie das Notizbuch nicht herumliegen.
   Was die zitierte Webseite nicht nennt, was ich aber seit Jahren mache: Ich führe eine solche Liste als Textfile auf dem Computer. Die Datei ist mit einem sehr starken Passwort verschlüsselt. Ich verwende dazu eine Software wie FileWard.
3. Verwenden Sie den Stanford Passwort Hasher. Diese Lösung können Sie als Browser-Addon einrichten – bei Firefox, Chrome oder Opera. Damit können Sie schwache Passwörter verwenden, an die Sie sich leicht erinnern. Die Passwörter werden vom AddOn in starke Passwörter verwandelt.
4. Schliesslich gibt es mnemotechnische Methoden mit denen Sie schwache Passwörter nach gewissen Regeln, die nur Sie kennen sollten, in starke verwandeln. Nicht genug stark ist das, was viele machen: aus einem «e» eine «3» machen, aus einem «O» eine Null. Aber dies ist das Prinzip.

Und sonst noch wichtig ist: Melden Sie sich nie über öffentliche Computer bei Services an, die mit sicheren Passwörtern geschützt sind. Falls Sie – wie ich – gerne mit Google-Produkten arbeiten, schauen Sie sich die Option «Anmeldung in zwei Schritten» an. Schalten Sie diese ein, müssen Sie wie z.B. beim eBanking ein zweites, übers Telefon zugesandtes Passwort eingeben. Die Passwörter der UZH verwalten Sie über ITIM. Sodann: Ändern Sie Passwörter regelmässig. Daher sollten Ihre einfachen Passwörter, die Sie auf mnemotechnischem oder softwaretechnischem Weg stark machen, einen Datumsanteil haben, der sich verändert («MeinTwitterpasswort1Quartal16» oder ähnlich). Sie sehen, eine Passwortstrategie ist und bleibt eine interessante Knobelaufgabe, mit der wir uns nicht unterfordern sollten.