Täglich grüßt der Hacker – sind Passwörter noch zeitgemäß?

https://pixabay.com/de/

Ein australischer IT-Sicherheitsexperte hat in einem Hackerforum die bisher größte öffentlich einsehbare Sammlung gestohlener Zugangsdaten entdeckt. Um 2.692.818.238 (rund 2,7 Milliarden) Zeilen mit E-Mail-Adressen und Passwörtern soll es dabei gehen. Für Betroffene kann damit großer Schaden verbunden sein, etwa, wenn Kreditkartendaten mit kompromittierten Accounts verknüpft sind. Zeit zu handeln und auf Alternativen für klassische Passwörter umzusteigen, findet Nuance

Auf der Seite haveibeenpwned.com die der Entdecker des Lecks Troy Hunt eingerichtet hat, können Nutzer prüfen, ob ihre eigene Mail-Adresse betroffen ist. Auf der Seite ist es außerdem möglich, zu überprüfen ob einzelne Passwörter in den geleakten Datensätzen enthalten sind.

 

Sicher gleich kompliziert
Sicherheitsexperten raten, möglichst außergewöhnliche, ausreichend lange Kombinationen für Passwörter zu wählen. Außerdem sollte man für jeden, Account, jeden Shop und jede andere Website ein neues Passwort benutzen. Doch wer soll sich das alles merken?

 

Vereinfachung durch Technologie
Moderne biometrische Authentifikationsverfahren können das Passwort überflüssig machen. Besonders bietet sich dafür die die Stimme an, denn sie ist genauso einzigartig, wie der Fingerabdruck. Die menschliche Stimme enthält mehr als 100 einzigartige Merkmale einer Person, die einerseits durch physische Faktoren wie die Länge des Stimmtraktes oder der Nasenpassage und andererseits durch Verhaltensmerkmale wie Tonhöhe, Rhythmus oder den Akzent bestimmt werden.

 

Nicht nur am Telefon, wie es die Telekom schon praktiziert, sondern auch mit anderen Geräten lässt sich Stimmbiometrie kombinieren. Jeder Laptop, jedes Tablet und Smartphone verfügt heute über ein Mikrofon. Mehr braucht es auf Endanwenderseite nicht an Technik, das macht diese Art der Authentifizierung besonders interessant. Technologien wie Playback Detection und Liveness Detection sorgen dafür, dass sie sich nicht durch aufgenommene Sprachbeispiele austricksen lässt. Für den Nutzer ist Stimmbiometrie also sehr einfach und trotzdem sicher.

 

Fazit
Die Liste der Daten-Leaks wird so schnell nicht abreißen, wenn es uns nicht gelingt, moderne Alternativen zu Nutzername und Passwort zu implementieren. Schließlich handelt es sich dabei noch um ein Relikt aus den Anfangstagen des Internets, das Prinzip hat sich seit den 90er Jahren nicht mehr verändert und passt nicht mehr ins IoT-Zeitalter. Mit der Stimmbiometrie leistet Nuance seinen Beitrag, um das Internet sicherer zu machen.

 


 

Sündenfall Qwertz123: Sechs Best Practices für sichere Passwörter

Illustration: Absmeier

Qwertz123, Passwort, Hallo – Sündenfälle bei der Passwortvergabe halten sich hartnäckig. Vielen Nutzern scheint immer noch nicht bewusst zu sein, dass sich Cyberkriminelle, etwa durch die Verwendung von Passwortlisten gestohlener, gängiger und beliebter Kennwörter, relativ einfach Zugang zu Konten verschaffen können. Um Sicherheitsmaßnahmen wie eine Sperrung wegen mehrfacher Eingabe falscher Zugangsdaten zu umgehen, nutzen Angreifer zum Beispiel zusätzlich Account-Listen und testen pro Konto jeweils nur ein besonders gängiges Passwort. Da in Deutschland die Zahlenfolge 123456 immer noch zu den absoluten Spitzenreitern bei der Passwortvergabe gehört, dürfte für Kriminelle bei derlei Attacken ein Treffer ins Schwarze nicht lange auf sich warten lassen.

Auch für die Unternehmenssicherheit gehört es deshalb zu den wichtigsten Maßnahmen, Mitarbeitern schlechte Passwortangewohnheiten möglichst abzutrainieren. Angestellte sollten regelmäßig darin geschult werden, was ein wirklich gutes Passwort ausmacht und welche Best Practices helfen, ihre Konten geschützt zu halten.

 

  1. Die Basics: Komplexe, lange, schwer zu erratende Passwörter

Um die Sicherheit zu erhöhen, können Security-Teams Richtlinien im Unternehmen für die Passwörtervergabe einführen. Einfache, leicht zu erratende Passwörter wie der Name des Ehepartners, das Geburtsdatum, Hobbys und andere Informationen, die durch Cyberkriminelle in Social-Media-Profilen ausgespäht werden können, sollten vermieden werden. Zu den allgemein bekannten Elementen, um Passwörtern Komplexität und damit eine Mindestsicherheit zu verleihen, gehören:

  • Eine Kombination aus Groß- und Kleinbuchstaben
  • Nummern
  • Sonderzeichen oder Symbole
  • Eine Mindestanzahl von Zeichen

Unter Sicherheitsexperten gibt es unterschiedliche Ansichten, ob Komplexität oder Länge von Passwörtern für die Sicherheit entscheidender ist. Längere Passwörter haben exponentiell mehr mögliche, zufällige Zeichenkombinationen, und Passwort-Cracker benötigen daher länger, um sie zu knacken. Es empfiehlt sich daher, Komplexität und Länge zu kombinieren.

 

  1. Einfache, aber starke Alternative: Passphrasen

Leicht zu merken und trotzdem stark? Hierfür bieten sich zum Beispiel Passphrasen an. Nutzer sollten jedoch einen individuellen und einzigartigen Ansatz verwenden, um ihre Passphrasen zu erstellen, die für sie leicht zu merken, aber für andere besonders schwer zu erraten sind. Im Folgenden ein Beispiel, wie sich aus einem Satz eine Passphrase mit Groß- und Kleinschreibung, Zahlen und Sonderzeichen generieren lässt, indem der jeweilige Anfangsbuchstabe der Wörter verwendet wird:

Heute ist der 1. Januar 2019 und ich erstelle eine Passphrase mit 18 Zeichen

=

Hid1J2019&ieePm18Z

 

  1. Kenn ich eines, kenn ich alle? Keine Mehrfachverwendung von Passwörtern

Die Mehrfachverwendung von Passwörtern zählt zu den größten Risiken in puncto Account-Sicherheit. Nutzer sollten für alle ihre Konten einzigartige Passwörter verwenden, denn hat ein Angreifer das Passwort eines Kontos erst mal geknackt, hat er logischerweise Zugriff auf alle anderen. Wichtig für die Unternehmenssicherheit ist auch, dass Mitarbeiter dazu angehalten werden, für ihre persönlichen und beruflichen Konten völlig unterschiedliche Passwörter zu verwenden.

 

  1. Zwei- oder Multifaktor-Authentifizierung

Wo möglich, empfiehlt sich die Verwendung von Zwei- oder Multi-Faktor-Authentifizierung, da sie eine zusätzliche, starke Sicherheitsebene gegen potenzielle Angreifer bietet. Diese Best Practice ist heute den meisten Nutzern bekannt, wird allerdings nicht immer ohne weiteres positiv angenommen, da sie teilweise als zeitaufwendig und frustrierend wahrgenommen wird.

 

  1. Regelmäßige Passwortänderung mit Augenmaß

Über die empfohlene Häufigkeit von Passwortänderungen gibt es einige Debatten unter Sicherheitsexperten, wie oft zu oft ist. Zu häufige obligatorische Passwortänderungen können auch negative Auswirkungen auf die Sicherheit haben, da dies die Wahrscheinlichkeit erhöht, dass bestimmte Nutzer sich für weniger sichere Passwörter entscheiden. Zudem neigen Nutzer auch dazu, nur subtile Änderungen vorzunehmen, anstatt völlig neue und starke Kennwörter zu erstellen. Bei der Festlegung der Richtlinien innerhalb eines Unternehmens sollte deshalb Wert auf Regelmäßigkeit, jedoch mit Augenmaß, gelegt werden.

 

  1. Passwörter niemals im Plain-Text speichern

Passwörter sollten niemals im Plain-Text gespeichert werden. Als Alternative bietet sich ein Passwort-Manager an. Diese Tools helfen zudem bei der Erstellung äußerst komplexer Kennwörter, ohne dass sich der Nutzer jedes einzelne merken muss.

 

Schutz selbst im Fall eines Sicherheitsverstoßes

Bei allen Sicherheitsvorkehrungen können jedoch auch starke Passwörter niemals einen 100-prozentigen Schutz gewährleisten. Ein mehrschichtiger Sicherheitsansatz aus Mitarbeiterschulungen und Technologien ist deshalb unabdingbar.

Für die Unternehmenssicherheit ist es wichtig, dass selbst im Falle eines Sicherheitsverstoßes wertvolle und sensible Informationen wie Kunden- oder Bankdaten, Geschäftsgeheimnisse und geistiges Eigentum geschützt bleiben. Datenzentrierte Sicherheitstechnologien wie Data Loss Prevention-Tools können hier Sicherheitsrisiken minimieren, indem sie verhindern, dass sensible Daten unerlaubt kopiert, verschoben oder gelöscht werden. Zudem können diese Technologien beispielsweise mithilfe von User Behavior and Entity Analysis (UEBA) ungewöhnliche Nutzeraktivitäten erkennen und schlagen Alarm, wenn ein kompromittierter Account von Cyberkriminellen dazu missbraucht wird, Datendiebstahl zu begehen.

Christoph M. Kumpa, Director DACH & EE bei Digital Guardian

 


 

Weitere Artikel zu