Abo
  • IT-Karriere:

Passwort-Richtlinien: Schlechte Passwörter vermeiden

Groß- und Kleinbuchstaben, mindestens ein Sonderzeichen, aber nicht irgendeins? Viele Passwort-Richtlinien führen dazu, dass Nutzer genervt oder verwirrt sind, aber nicht unbedingt zu sichereren Passwörtern. Wir geben Tipps, wie Entwickler es besser machen können.

Artikel von Hanno Böck veröffentlicht am
Schlechte Passwörter: Die sollten Onlineservices auf jeden Fall ablehnen - aber wie? Wir geben Tipps anhand der Richtlinien des US-Nist.
Schlechte Passwörter: Die sollten Onlineservices auf jeden Fall ablehnen - aber wie? Wir geben Tipps anhand der Richtlinien des US-Nist. (Bild: Hanno Böck)

"Ihr neues Passwort muss zwischen 8 und 14 Stellen lang sein, Buchstaben, mindestens eine Zahl sowie mindestens ein Sonderzeichen enthalten. Sonderzeichen sind !, @, $, %, /, =, ?, `, +, ~, #, _, ., ;, :, {, }, |. Das erste Zeichen Ihres Passwortes darf kein ? oder ! Sein." So lautet die Passwort-Richtlinie beim Anlegen eines Online-Accounts bei der AOK (Rechtschreibfehler wie im Original).

Inhalt:
  1. Passwort-Richtlinien: Schlechte Passwörter vermeiden
  2. Bereits kompromittierte Passwörter verbieten

Diese Passwort-Richtlinie ist sicher ein Extremfall, aber sie steht beispielhaft für etwas, das häufiger zu sehen ist: Services erwarten von ihren Nutzern, sich bei den Passwörtern an allerlei willkürliche Regeln zu halten. Viele davon sind nervig, andere sind schädlich, weil sie sicherere Passwörter verhindern. Dabei geht es besser.

Passwort-Empfehlungen des Nist für Servicebetreiber

Darüber, wie Nutzer ihre Passwörter am besten verwalten, ist in letzter Zeit viel geschrieben und gesagt worden. Eine häufige Empfehlung lautet: Ein Passwort für jeden Service, die Verwendung von Passwort-Managern und wenn möglich, die Verwendung von Zwei-Faktor-Authentifizierung.

Doch wie sollen Anbieter von Online-Services die Passwort-Problematik am besten handhaben? Dafür lohnt ein Blick in die Empfehlungen, welche die US-Standardisierungsbehörde Nist (National Institute of Standards and Technology) 2017 veröffentlicht hat. Im Rahmen der Digital Identity Guidelines gibt das Nist auf drei Seiten Ratschläge für den Umgang mit Passwörtern.

Stellenmarkt
  1. SEW-EURODRIVE GmbH & Co KG, Bruchsal
  2. Ludwig-Maximilians-Universität (LMU) München, München

Relativ offensichtlich ist, dass es nicht sinnvoll ist, Vorgehensweisen zu verbieten, die Passwörter sicherer machen können. So sollten keine zu knappen Längenbegrenzungen vorgegeben werden - das Nist empfiehlt, dass mindestens 64 Zeichen zulässig sein sollten. Das ist aber die absolute Untergrenze, denn es kann durchaus sinnvoll sein, noch längere Passwörter zu erlauben. Wer seine Passwörter aus ganzen Sätzen konstruiert, überschreitet diese Grenze möglicherweise und wählt dabei ein vergleichsweise sicheres Passwort.

Alle Zeichen erlauben

Weiterhin sollten die möglichen Zeichen nicht eingegrenzt werden. Alles sollte erlaubt sein: Neben Groß- und Kleinbuchstaben auch Sonderzeichen, und zwar nicht nur bestimmte. Das Nist empfiehlt dabei, generell Unicode-Zeichen zu erlauben. Auch Leerzeichen sollten möglich sein.

Das Nist rät auch von vielem ab, was in der Vergangenheit üblich war. Etwa davon, spezielle Regeln für die Zusammensetzung eines Passworts zu machen. Groß- und Kleinbuchstaben oder Sonderzeichen zu verlangen, gilt demnach nicht mehr als Stand der Technik.

Denn: Rein mathematisch betrachtet ist es viel wichtiger, längere Passwörter zu wählen als Zeichen aus unterschiedlichen Zeichenklassen. Es gibt verschiedene zielführende Strategien für sichere Passwörter, und nicht alle benötigen Sonderzeichen oder Großbuchstaben. Ebenfalls rät das Nist von Richtlinien ab, die einen regelmäßigen Passwortwechsel vorsehen.

Doch wenn man diese Regeln alle weglässt - wie verhindert man, dass Nutzer besonders unsichere Passwörter wählen? Das Nist empfiehlt dazu, dass Passwörter mindestens acht Zeichen haben sollen. Dabei solle es vermieden werden, den Nutzernamen oder auch den Namen des Services selbst als Passwort zu verwenden. Des Weiteren könne das Passwort mit Wörterbuchlisten abgeglichen werden.

Bereits kompromittierte Passwörter verbieten 
  1. 1
  2. 2
  3.  


Anzeige
Hardware-Angebote
  1. täglich neue Deals bei Alternate.de
  2. 259€ + Versand oder kostenlose Marktabholung
  3. (reduzierte Überstände, Restposten & Co.)

Blacki 29. Apr 2019

Naja, das kommt drauf an. Manchmal geht das Backend ja nicht. Dann kann man das nur über...

Missingno. 26. Apr 2019

https://www.zeit.de/1995/33/Wie_das_Ue_ins_Tuerkische_kam/seite-2

deadjoe 25. Apr 2019

dafür gibts doch den levensteihn dings algorythmus....oder eben soundex Sollte man...

Olliar 17. Apr 2019

Wie verhindert man, das die NSA den Dienst betreibt und einen Hash, der in der Liste ist...

robinx999 12. Apr 2019

Im Artikel steht doch "Wer seine Passwörter aus ganzen Sätzen konstruiert, überschreitet...


Folgen Sie uns
       


Cherry Stream 3.0 mit großem ß ausprobiert

Alle möglichen Umlaute auf einer Tastatur: Wir haben Cherrys Europa-Tastatur ausprobiert.

Cherry Stream 3.0 mit großem ß ausprobiert Video aufrufen
Timex Data Link im Retro-Test: Bill Gates' Astronauten-Smartwatch
Timex Data Link im Retro-Test
Bill Gates' Astronauten-Smartwatch

Mit der Data Link haben Timex und Microsoft bereits vor 25 Jahren die erste richtige Smartwatch vorgestellt. Sie hat es sogar bis in den Weltraum geschafft. Das Highlight ist die drahtlose Datenübertragung per flackerndem Röhrenmonitor - was wir natürlich ausprobieren mussten.
Ein Test von Tobias Költzsch

  1. Smart Watch Swatch fordert wegen kopierter Zifferblätter von Samsung Geld
  2. Wearable EU warnt vor deutscher Kinder-Smartwatch
  3. Sportuhr Fossil stellt Smartwatch mit Snapdragon 3100 vor

Doom Eternal angespielt: Die nächste Ballerorgie von id macht uns fix und fertig
Doom Eternal angespielt
Die nächste Ballerorgie von id macht uns fix und fertig

E3 2019 Extrem schnelle Action plus taktische Entscheidungen, dazu geniale Grafik und eine düstere Atmosphäre: Doom Eternal hat gegenüber dem erstklassigen Vorgänger zumindest beim Anspielen noch deutlich zugelegt.

  1. Sigil John Romero setzt Doom fort

Ada und Spark: Mehr Sicherheit durch bessere Programmiersprachen
Ada und Spark
Mehr Sicherheit durch bessere Programmiersprachen

Viele Sicherheitslücken in Software sind auf Programmierfehler zurückzuführen. Diese Fehler lassen sich aber vermeiden - und zwar unter anderem durch die Wahl einer guten Programmiersprache. Ada und Spark gehören dazu, leider sind sie immer noch wenig bekannt.
Von Johannes Kanig

  1. Das andere How-to Deutsch lernen für Programmierer
  2. Programmiersprachen, Pakete, IDEs So steigen Entwickler in Machine Learning ein

    •  /