Sicheres Passwort: Die häufigsten Fehler, die Sie (vermutlich) auch machen

Name der Ehefrau, 12345, „weiß nicht“ oder sogar „Passwort“. Umfragen zeigen, dass tschechische Nutzer genau solche Passwörter seit Langem am liebsten haben. Ja, Sie lesen richtig. Auch im Jahr 2018 gibt es Zehntausende Menschen, die sich um ihre Sicherheit im Internet nicht groß kümmern. Und die Folgen können tragisch sein. 

Zu Hause und auch am Computer

Können Sie sich vorstellen, in den Urlaub zu fahren und Ihre Wohnungstür sperrangelweit offen zu lassen? Wahrscheinlich nicht. Sobald es aber um Sicherheit im Internet geht, sind wir nicht mehr so vorsichtig.

Dabei steht viel auf dem Spiel. Ein schwaches Passwort und ein paar Klicks genügen – und im besseren Fall liest ein Kollege Ihre E-Mails, im schlechteren tauchen Ihre intimen Fotos im Internet auf, und Ihr Bankkonto ist leer. Hacker und Cyberkriminelle werden einfach immer erfinderischer. Und vor ihnen ist nichts sicher: weder Ihre E-Mail, Ihr Fotospeicher, Ihre sozialen Netzwerke noch Ihr Online-Banking.
Die größten Fehler, die (vermutlich) auch Sie machen

Um an Ihr Passwort zu gelangen, braucht jemand keine ausgeklügelte Technik. Wie Sicherheitsexperten warnen, können Sie sich in den meisten Fällen selbst die Schuld geben, wenn jemand Ihr Passwort erhält. Sie machen nämlich einige der häufigsten (und größten) Fehler.

1. Sie verwenden ein Passwort, das leicht zu erraten ist

Das Geburtsdatum von Ihnen oder Ihren Angehörigen, der Name Ihres Hundes oder etwa „12345“. Wenn Sie eines dieser Passwörter verwenden, ist das, als würden Sie den Schlüssel zu Ihrer Wohnungstür auf die Fußmatte legen – sodass ihn jeder benutzen kann, der gerade vorbeikommt.

Und Ihr Geburtsdatum kennen nur Ihre Angehörigen? Ein Irrtum. Jeder kann es entweder in Ihren sozialen Netzwerken oder etwa auf den Seiten des Handelsregisters herausfinden.

2. Sie schreiben sich das Passwort auf einen Zettel

Egal, ob Sie das Passwort auf den Monitor kleben, in Ihrer Geldbörse verstecken oder im Handy notieren: Eines gilt immer – das ist eine ziemlich dumme Idee. 

3. Sie geben das Passwort in Gegenwart fremder Menschen ein

Wenn Sie sich irgendwo außerhalb der Sicherheit Ihres Zuhauses anmelden, seien Sie vorsichtig: sowohl gegenüber fremden Menschen als auch gegenüber möglichen Kameras. Das Mitlesen Ihrer Tastatur, während Sie tippen, ist bis heute eine der gängigsten Methoden, um Ihr Passwort herauszufinden. Seien Sie vorsichtig.

4. Sie verwenden dasselbe Passwort an mehreren Stellen

Ja, wir wissen es. Das ist einfacher. Und Dienste, für die Sie ein Passwort brauchen, gibt es Dutzende. Dennoch warnen wir Sie: Halten Sie sich konsequent an den Grundsatz „für jeden Dienst ein anderes Passwort“.

Der Grund ist einfach. Erlangt ein Angreifer Ihr Passwort für einen beliebigen Dienst, droht er auch Zugang zu einer Reihe weiterer Stellen zu erhalten. Dass das Passwort verloren ging, muss dabei übrigens nicht Ihr Fehler sein: Leider gilt nach wie vor, dass nicht alle Internetdiensteanbieter so auf die Sicherheit ihrer Nutzer achten, wie es nötig wäre. 

Erinnern Sie sich übrigens an die bekannten Fälle, in denen die großen Dienste LinkedIn und Dropbox zugaben, dass Daten Millionen ihrer Nutzer an die Öffentlichkeit gelangt sind? Passwörter, unter denen sich vielleicht auch Ihres befand, wurden anschließend auf dem Schwarzmarkt verkauft. Die Ursache war dabei eine schwache Absicherung der Server, auf denen die Dienste die Passwörter der Nutzer speicherten.

5. Sie registrieren sich auf verdächtigen Servern

Wissen Sie wirklich, wo Sie sich anmelden? Und wer alles Ihre sensiblen Daten im Internet „sieht“? Auch wenn Sie überzeugt sind, dass niemand, seien Sie vorsichtig: Ihr Passwort und weitere Daten können Sie, wenn auch unwissentlich, an einen Betreiber verraten, der nicht die besten Absichten hat. 
Wie Hacker an Ihr Passwort gelangen

In der Welt der Sicherheit – und besonders in der Internetsicherheit – ist leider nichts einfach. Denn selbst wenn Sie keinen Fehler machen (oder sich nur den kleinsten erlauben), können Sie Ihr Passwort (und den Zugang zu wichtigen Anwendungen) verlieren. Hacker wissen nämlich genau, wie man an Passwörter kommt. Vor allem an fremde.
Phishing: Den Haken auswerfen … und fangen

TIPP: Lesen Sie den Artikel Wie Sie Phishing erkennen und sich davor schützen.

Gerade Phishing – also betrügerische E-Mails – ist heute die häufigste Art von Internetangriffen, die auf Ihre sensiblen Daten abzielen. Allein in den letzten zwei Jahren war fast die Hälfte der tschechischen Unternehmen, die einen Cyberangriff meldeten, von dieser Art der Cyberkriminalität betroffen. Und auch Angriffe in Mobilfunknetzen nehmen zu.

Das Wort Phishing stammt vom englischen „fishing“, also „Angeln“. Und es beschreibt die Tätigkeit der Internetbetrüger sehr treffend. Sie verschicken nämlich E-Mails an unterschiedlichste Adressen und versuchen, möglichst viele Opfer zu „fangen“.

Wie sieht so ein Angriff aus? Stellen Sie sich vor, Sie öffnen Ihr E-Mail-Postfach und finden neben der üblichen Post eine neue E-Mail von Ihrer Bank. Mit alarmierendem Inhalt: Ihr Passwort wurde kompromittiert, und um einen Geldverlust zu verhindern, müssen Sie das Passwort sofort ändern. Die E-Mail enthält natürlich auch einen direkten Link zur Seite Ihres Online-Bankings.

Mit einem großen „Aber“. Auch wenn die Seite, auf die Sie nach dem Klick gelangen, fast genauso aussieht wie die Seite Ihrer Bank: Wenn Sie in die Adresszeile schauen, stellen Sie fest, dass Sie sich in Wirklichkeit auf einer ganz anderen Website befinden – wenn auch mit identischem Design.

Ja, Sie haben richtig verstanden. Es hat nicht viel gefehlt, und Sie hätten Ihr Online-Banking-Passwort in die Hände von Cyberkriminellen gegeben. Gesunder Menschenverstand genügt dabei. Überlegen Sie: Würde eine Bank wirklich wollen, dass Sie Ihre sensiblen Daten per E-Mail eingeben?

Sniffing: Achtung, wer alles zuschaut

Das Wort Sniffing stammt vom englischen „to sniff“, also schnüffeln, schnuppern. Und es beschreibt sehr gut, worin Sniffing eigentlich besteht. Vereinfacht gesagt handelt es sich um eine spezielle Technik, mit der sich der Datenverkehr – einschließlich Passwörtern – „belauschen“ lässt.

Für Sie als Nutzer bedeutet das vor allem: Geben Sie Ihre Passwörter nicht in öffentlichen, ungesicherten WLAN-Netzen ein, und melden Sie sich nach Möglichkeit nicht bei Diensten an, die kein gesichertes Protokoll HTTPS verwenden. Sonst besteht die Gefahr, dass Ihr Passwort auch von jemandem „mitgehört“ wird, der es nicht erfahren sollte.

Wörterbuchangriff: alle Möglichkeiten durchprobieren

Verwenden Sie als Passwort ein bestimmtes Wort? Dann haben Sie ein Problem. Auf die Länge Ihres Passworts kommt es dabei kaum an. Hacker probieren nämlich mithilfe eines sogenannten Wörterbuchangriffs nacheinander alle Wörter durch (vom meistgenutzten bis zu den seltener verwendeten) und stoßen früher oder später auch auf Ihres. (Zur Veranschaulichung: Heutige Computer können mit einem Wörterbuchangriff ein einfaches Passwort, das aus einem bestimmten Wort besteht, in wenigen Millisekunden knacken!)

Erinnern Sie sich übrigens an das Jahr 2013, als im Internet riesige Textdateien mit 152 Millionen Benutzernamen und Passwörtern zu kursieren begannen, die Hacker von schlecht gesicherten Servern von Adobe erbeutet hatten? Auch diese erbeuteten Passwörter verwenden Hacker als neues Wörterbuch. Und 150 Millionen Passwörter – das ist eine beachtliche Stichprobe.

Brute Force: rechenintensiv

Das Prinzip der Methode namens „Brute Force“ (also rohe Gewalt) ist einfach. Mithilfe eines leistungsstarken Computers versuchen Hacker, Ihr Passwort wie eine Aufgabe aus der Kombinatorik der Oberstufe zu „lösen“. Einfach gesagt: Sie probieren nacheinander einfach alle Möglichkeiten aus.

Dazu haben wir eine gute und eine schlechte Nachricht. Zuerst die schlechte: Mit dieser Methode kommen Hacker an jedes beliebige Passwort der Welt heran. Und die gute? Wenn Sie sich Mühe mit Ihrem Passwort gegeben haben, kann es sie Hunderte von Jahren kosten. Denn es gilt immer die einfache Regel: Je komplexer das Passwort, desto mehr Zeit brauchen Cyberkriminelle, um es zu knacken. (Das ist übrigens der Grund, warum heute die meisten Dienste bei der Passworteingabe eine Mindestlänge und die Verwendung von Sonderzeichen verlangen.) 

Das ist für Sie eine eindeutige Botschaft: Je mehr Sonderzeichen, Ziffern sowie Groß- und Kleinbuchstaben Sie in Ihrem Passwort verwenden, desto mehr erschweren Sie Hackern und Cyberkriminellen das Leben. Und desto sicherer können Sie sein, dass Ihr Passwort (und Ihre Privatsphäre) geschützt ist.

Seien Sie im Internet sicher. Hier sind ein paar Tipps

Haben Sie nach dem Lesen der vorherigen Absätze das Gefühl, dass der Kampf um Ihre Privatsphäre im Internet von vornherein verloren ist? Zum Glück ist es nicht so schlimm. Auch wenn Hacker heute viele Werkzeuge haben, mit denen sie Ihr Passwort knacken können, genügt es, einige Grundregeln zu befolgen, und Sie sind sicher.

1. Erstellen Sie ein sicheres Passwort

Ein sicheres Passwort sollte mindestens acht Zeichen, Groß- und Kleinbuchstaben sowie ein oder mehrere Sonderzeichen (zum Beispiel @, # und Ähnliches) enthalten. Das Wort, das Sie als Passwort verwenden, sollte in keinem Wörterbuch vorkommen. Vermeiden Sie außerdem, dass das Passwort Ihren Benutzernamen oder den Namen des Dienstes enthält, bei dem Sie sich anmelden. Und halten Sie konsequent den Grundsatz „für jeden Dienst ein anderes Passwort“ ein.

2. Aktivieren Sie die Zwei-Faktor-Authentifizierung

Wenn der Dienst, bei dem Sie sich anmelden, es unterstützt, aktivieren Sie für die Anmeldung auch die sogenannte Zwei-Faktor-Authentifizierung.

Wie funktioniert das? Ganz einfach: Immer wenn Sie sich bei dem Dienst anmelden wollen, werden Sie neben dem Passwort zur Eingabe eines Sicherheitscodes aufgefordert (dieser kommt meist auf Ihr Handy). Die Vorteile liegen auf der Hand: Selbst wenn ein Angreifer Ihr Passwort erhält, ist es sehr unwahrscheinlich, dass er gleichzeitig Zugang zu Ihrem Mobiltelefon hat.

3. Vergessen Sie Sicherheitsfragen

Der Mädchenname der Mutter, der Lieblingsfilm oder der Name Ihres Haustiers. Wenn Sie bei einem der Dienste, die Sie nutzen, sogenannte Sicherheitsfragen aktiviert haben, hören Sie sofort auf zu lesen und deaktivieren Sie sie. Es handelt sich nämlich um einen der größten Irrtümer in der Geschichte der Internetsicherheit. Und zugleich um eine der größten Sicherheitslücken überhaupt.

Warum? Stellen Sie sich vor, Sie vergessen das Passwort für Ihre E-Mail. Kein Problem – Sie geben einfach den Mädchennamen Ihrer Mutter ein. Ein paar Sekunden später lesen Sie wieder Ihren Posteingang und schreiben Ihren Freunden E-Mails.

Nur dass nicht Sie es sind – sondern ein Hacker (oder „nur“ jemand, der Sie nicht besonders mag), der sich gerade auf diese einfache Weise Zugang zu Ihrem Postfach verschafft hat. Dafür brauchte er fast nichts: Mithilfe von Social Engineering fand er lediglich heraus, wie Ihre Mutter hieß. Und im Zeitalter des Internets ist das keine besonders schwierige Aufgabe, oder?

4. Achten Sie darauf, wo Sie sich anmelden

Internetsicherheit ist ein großes Thema unserer Zeit. Leider haben nicht alle Betreiber von Webseiten und Diensten das bemerkt. Und sie widmen Ihrem Passwort (und den Passwörtern anderer Nutzer) bei Weitem nicht die Sorgfalt, die es verdient.

Um die Sicherheit ihrer Nutzer zu gewährleisten, verwenden heute die meisten Internetbetreiber für die Speicherung von Passwörtern sogenannte „gehashte“ Datenbanken. Vereinfacht gesagt: Ihr Passwort sieht nicht einmal der Betreiber selbst, denn in der Datenbank ist es in verschlüsselter (gehashter) Form gespeichert. (Deshalb erhalten Sie, wenn Sie ein vergessenes Passwort wiederherstellen möchten, per E-Mail keinen Passwortwert, sondern einen Code, mit dem Sie ein neues erstellen können. Der Betreiber kennt Ihr Passwort selbst nicht.)

Andere Betreiber sind leider nicht so verantwortungsbewusst. Woran erkennt man sie? Ganz einfach: Wenn Sie auf „Passwort vergessen“ klicken, erhalten Sie eine E-Mail mit dem genauen Wortlaut Ihres Passworts. Für Sie ist das eine klare Botschaft: Dieser Dienst kümmert sich nicht um die Sicherheit der Passwörter und speichert sie in ungesicherten Datenbanken. Von einem solchen Dienst sollten Sie sich schnell fernhalten!

5. Speichern Sie Passwörter nicht im Browser

Ja, das ist bequem. Und die einzelnen Browser fordern Sie dazu sogar selbst auf. Ein Klick genügt, und Sie müssen Ihr Passwort nicht mehr eingeben: Der Browser merkt es sich für Sie und meldet Sie bei jedem weiteren Besuch automatisch an.

Passwörter direkt im Browser zu speichern ist aber eine sehr schlechte Idee, und zwar aus zwei Gründen. Manche Angriffe zielen nicht so sehr auf Ihr Passwort, sondern auf den Zugang zu Ihrem Computer. Gelingt es einem Hacker, sich Zugang zu Ihrem Computer zu verschaffen, erhält er gleichzeitig vollen Zugang zu allen Diensten, deren Anmeldedaten Sie im Browser gespeichert haben.

Passwörter, die im Browser gespeichert sind, zu knacken, ist für Hacker außerdem wesentlich einfacher, als Passwörter zu knacken, die üblicherweise in verschiedenen Cloud-Diensten gespeichert sind. Vor Kurzem haben Sicherheitsexperten darauf hingewiesen, dass es Skripte gibt, die gespeicherte Zugangsdaten aus Browsern heimlich auslesen können.

6. Verwenden Sie einen Passwortmanager

Zunächst eine kleine Zusammenfassung. Damit Ihr Passwort wirklich sicher ist, muss es ausreichend lang sein, aus verschiedenen Zeichenarten bestehen und zudem für jeden Dienst einzigartig sein. Dass sich das leichter sagt als tut? Da haben Sie recht. Es ist praktisch unmöglich, sich so viele verschiedene Kombinationen zu merken – deshalb kümmern sich die meisten Nutzer nicht um Sicherheit und speichern ihre Passwörter im Handy oder schreiben sie sogar auf einen Zettel, der am Monitor klebt.

Zum Glück haben das auch einige Entwickler erkannt. Sie haben sogenannte „Passwortmanager“ entwickelt. Das sind Anwendungen, die sich an Stelle von Ihnen alle Ihre Passwörter merken und Ihnen sogar helfen, ein Passwort zu erfinden, das wirklich sicher ist. Sie müssen sich nur noch das Hauptpasswort merken, mit dem Sie sich bei Ihrem Passwortmanager anmelden.

Zu den beliebtesten Passwortmanagern gehört LastPass, der neben der sicheren Speicherung Ihrer Passwörter auch die Synchronisierung über alle Geräte hinweg anbietet, einschließlich Mobiltelefonen. Ähnlich funktioniert der ebenfalls beliebte Passwortmanager 1Password, der es Ihnen außerdem ermöglicht, Ihre Dokumente in den Dienst hochzuladen (Sie haben 1 GB zur Verfügung). Anders als LastPass können Sie 1Password jedoch nicht völlig kostenlos nutzen.

TIPP: Wir empfehlen Ihnen, einen der erfolgreichsten Artikel zu lesen: Zehn Gebote der Internetsicherheit

Zukunft ohne Passwörter?

Experten sind sich seit Langem einig, dass Internetsicherheit eines der großen Themen der kommenden Jahre sein wird. Und das ist kein Wunder: Unsere Arbeit und unser Leben verlagern sich immer stärker ins Internet, und die Frage der Sicherheit und unserer Privatsphäre wird eine immer größere Rolle spielen.

Dieselben Experten vertreten zugleich eine bahnbrechende Meinung: Unsere Zukunft könnte eine Welt sein, in der alle Passwörter ein für alle Mal verschwinden. Der Grund: Es handle sich um eine Technologie, die in unserer heutigen Welt – einer Welt, in der sich Biometrie immer stärker durchsetzt – schon längst nicht mehr zeitgemäß sei. In unseren biometrischen Daten liege nach ihrer Auffassung die Zukunft. 

Und ehrlich gesagt leuchtet das ein. Gibt es denn ein sichereres Zugangsmerkmal als Ihre Stimme, Ihren Fingerabdruck oder den Scan Ihrer Iris? Auch darüber diskutieren Experten und vor allem Vertreter großer Technologiefirmen heute intensiv. Und die Ergebnisse ihrer Überlegungen setzen sie nach und nach in die Praxis um. 

In wenigen Jahren wird sich vielleicht zeigen, dass Touch ID oder Face ID, die wir heute gewohnt sind, um unser Telefon zu entsperren, in Wirklichkeit nur der Anfang von etwas viel Größerem waren. 

Neben sorgfältig gewählten Passwörtern sorgt für Ihre Sicherheit im Internet auch eine zuverlässige, geschützte Verbindung. Verbinden Sie sich mit dem Internet bei uns bei UVT, oder lesen Sie zusätzlich den Artikel Geschäftspraktiken mancher Antivirenfirmen bremsen das Internet.

Aktualisierung 5. März 2024