Jonny_Joka / Pixabay / Pixabay-Lizenz

Pass­wort­hilfen

Sichere Passwörter auswählen und effizient managen

Digitale Forschungsdaten befinden sich auf Medien, die ebenso wie Papier ihre Schwächen haben. So ist der Schutz vor unberechtigtem Zugriff und Diebstahl bei Forschungsdaten gerade dann ein Thema, wenn es sich um nicht anonymisierte Daten handelt oder die Datenerhebung mit hohen Kosten verbunden war. Wichtige Maßnahmen um Daten vor solchen Ereignissen zu schützen, sind die Datenverschlüsselung und daran anschließend ein effektives Passwortmanagement. Dies beginnt mit der Auswahl eines sicheren Passworts. Wir stellen in den folgenden Abschnitten ein System hierfür sowie die wichtigsten Regeln für das Erstellen eines sicheren Passworts vor.

Passwörter generieren

Für das Generieren eines sicheren Passworts gibt es mehrere Möglichkeiten. Die unaufwändigste Möglichkeit ist die Verwendung einer Generierungssoftware. Wer keine eigene Software für das Erstellen von Passwörtern verwenden will, kann die Generierungsfunktion der Passwortmanagement-Software KeePass verwenden (siehe Passwörter managen). Abgeraten wird von Online-Generatoren, da von diesen generierte Passwörter abgegriffen werden können. Es ist selbstverständlich ebenso möglich, für jeden neuen Datensatz und jeden Dienst ein Passwort nach den untenstehenden Regeln für die sichere Passworterstellung selbst zu erdenken.

Regeln zum Erstellen eines sicheren Passworts

  1. Ein Passwort soll mindestens 8 Zeichen enthalten.
  2. Ein Passwort soll nicht zu simpel sein.
  3. Das Passwort soll keine Eigennamen enthalten, auch Geburtstage oder weitere Wörter, die mit der eigenen Person in verbindung stehen, sind zu meiden.
  4. Ein sicheres Passwort soll mindestens 2 Sonderzeichen sowie eine Zahl, einen Kleinbuchstaben und einen Großbuchstaben enthalten.
  5. Für jeden neuen Datensatz soll ein neues Passwort erstellt werden.

Passphrasen

Neben der Komplexität der Passwörter setzt sich immer mehr das Kriterium Länge als Goldstandard in der Passwortsicherheit durch. Je komplexer ein Passwort ist, desto schwieriger ist es durch sog. Brute-Force-Attacken (also das automatische Durchprobieren aller möglichen Zeichen-Kombinationen) zu knacken. Aber mit jedem weiteren Zeichen eines Passworts erhöht sich die Zahl der möglichen Zeichenkombinationen – und damit die Dauer, die benötigt wird, das Passwort zu erraten. Daher bieten lange Zeichenketten noch mehr Sicherheit. Umgekehrt lässt sich eine klug gewählte Passphrase besser merken als ein komplexes Passwort.

Ein Beispiel einer Passphrase:

DiesIstEineSicherePassphrase

Noch sicherer werden Passphrasen, wenn Sie sie durch Sonderzeichen verfremden:

Dies7st€ineSichere_Passphrase!

Webseiten wie https://www.passwortcheck.ch oder https://wiesicheristmeinpasswort.de/ errechnen, wie lang es braucht, bis eine gegebene Passphrase durch Brute-Force-Attacken geknackt werden kann – je mehr Zeit benötigt wird, desto besser. Die obigen Passphrasen können Brute-Force-Attacken demzufolge für «mehrere Millionen Jahre» bzw. «Jahrhunderte» widerstehen.

Um zu verhindern, dass Menschen die Passphrase durch Kontextwissen erraten können, sollte man potenziell allgemein bekannte Sätze (z.B. aus Liedern, Büchern, Filmen etc.) oder leicht erschliessbare Elemente (Namen von Haustieren, Geburtsdaten etc.) vermeiden. Auch sichere Passphrasen sollte man, genau wie kürzere Passwörter, immer nur einmal verwenden.

Varianten von Passphrasen zur Passwortgenerierung

Basierend auf Passphrasen sind noch andere Varianten zur nur scheinbar zufälligen Generierung von Passwörtern möglich. Auch hier liegt der Vorteil darin, Passwörter zu erzeugen, die dank ihrer Länge sicher und doch zugleich merkbar bleiben.

  • Schritt 1: Einen beliebigen Satz wählen, der leicht zu merken ist. Beispiel: „Der frühe Vogel fängt den Wurm!“
  • Schritt 2: Herauslösen der Anfangsbuchstaben und des Satzzeichens am Ende. „D -er f -rühe V -ogel f -ängt d -en W –urm !“ Das ergibt: DfVfdW!
  • Schritt 3: Anzahl der Zeichen zählen und als Zahlenwert am Ende hinzufügen: DfVfdW!7
  • Schritt 4: Anfangsbuchstabe des jeweiligen Dienstes/Projektes/Datensatzes hinzufügen

Dies ergibt beispielsweise das Passwort ´DfVfdW!7r´ für den Dienst re3data.org

Das Masterpasswort kann auch aus Vokalen bestehen. Es kann zukünftig mit beliebigen Anfangsbuchstaben oder Vokalen diverser Dienste kombiniert werden. Nach ca. 6-12 Monaten ist es sinnvoll ein neues Masterpasswort zu vergeben und die Login-Passwörter entsprechend anzupassen.

Passwörter managen

Passwortsafe-Software

Je nach Betriebssystem werden verschiedene Passwortsafes zu unterschiedlichen Preisen angeboten. Ein kostenloses Open-Source-Tool, welches auch als portable Version zur Verfügung steht und sichere Passwörter generieren kann, ist hingegen KeePass.

Das passwortgeschützte Dokument

Selbstverständlich ist es auch möglich ein Passwortdokument anzulegen, welches selbst mit einem Master-Passwort geschützt ist.

Zwei-Faktoren-Authentifizierung

Eine Zwei-Faktoren-Authentifizierung (2FA) ist ratsam zusätzlich zu verwenden. Hierdurch wird die Sicherheit auf jeden Fall erhöht. Denn dabei wird ergänzend zu dem Passwort ein Einmalcode erfragt, der entweder per SMS, Smartphone-App oder Hardware-Dongle mitgeteilt wird. Somit ist der Zugang zum Smartphone oder Hardware-Dongle notwendig, um sich Zugang zu den geschützten Daten zu beschaffen.

Vor- und Nachteile von Passworthilfen

Vorteile

  • Vollständige Übersicht über alle Zugangsdaten
  • Für den Zugang zu den Passwörtern ist nur ein Passwort erforderlich
  • Verschlüsselung der Passwörter möglich

Nachteile

  • Alle Zugangsdaten befinden sich an einem Ort
  • Zeit zum Erlernen eines neuen Programmes wird benötigt

Mehr erfahren

Vorteile

  • Vollständige Übersicht über alle Zugangsdaten in einem Dokument
  • Für den Zugang zu den Passwörtern ist nur ein Passwort erforderlich

Nachteile

  • Problematisch wenn das System geknackt wird

Mehr erfahren

Vorteile

  • Vollständige Übersicht über alle Zugangsdaten
  • Für den Zugang zu den Passwörtern ist nur das persönliche System erforderlich

Nachteile

  • Problematisch wenn das System geknackt wird

Mehr erfahren

Sobald auch nur ein leichter Verdacht besteht, dass jemand anderes ein Passwort kennt, sollte es geändert werden.