Einmal über die Tastatur gerollt: Sichere Internet-Passwörter finden
In seinem Weblog [Link entfernt] gibt Mathias Bank Beispiele für gute und schlechte Passwörter. Ein gutes Passwort kann laut Bank eine Aneinanderreihung von Buchstaben sein, die sich gut aussprechen lässt, aber trotzdem keinen Sinn ergibt. Wem das nicht liegt, für den hat Bank eine andere Methode parat: "Man denkt sich einen Satz aus, den man sich gut merken kann. Dann nimmt man von jedem Wort den Anfangsbuchstaben und fügt Sonderzeichen und Zahlen ein."
Ein Wort in einer Fremdsprache sei allerdings kein gutes Passwort, warnt Bank. "Das bringt nichts, denn in den Datenbanken der Angreifer sind alle Sprachen enthalten." Das gelte sogar für Elbisch, eine Sprache, die der Autor J.R.R. Tolkien für sein Fantasy-Epos "Herr der Ringe" erfunden hat.
Wer für jeden Internetdienst ein anderes Passwort verwenden will, kann den Merksatz auch auf den jeweiligen Anbieter beziehen. Statt dem Anfangsbuchstaben können auch jeweils die ersten beiden Buchstaben verwendet werden, schlägt die Informatikprofessorin Claudia Eckert aus Darmstadt vor.
"Der Merksatz "Meine Mails lese ich jeden Tag" würde dann zum Beispiel MeMaleicjeTa ergeben", so die Leiterin des Fraunhofer-Instituts für Sichere Informationstechnologie. Auch hier gilt, dass das Passwort noch mit Ziffern und Sonderzeichen gespickt werden muss. Aus Eckerts Sicht sollte ein Passwort mindestens zwölf Zeichen haben.
Jedes Passwort kann geknackt werden
"Jedes Passwort kann geknackt werden. Die Frage ist nur, wie lange es dauert", sagt Mathias Bank. Wer es einem Angreifer schwer machen will, müsse seine Passwörter etwa alle 30 Tage ändern. Norbert Pohlmann, Informatikprofessor am Institut für Internetsicherheit in Gelsenkirchen, hält einen Passwort-Wechsel alle zwei bis drei Monate für ausreichend. Er empfiehlt, Passwörter nur über eine verschlüsselte Verbindung einzugeben. "Bei den meisten Browsern sieht man irgendwo ein kleines Schloss. Ist es zu, dann hat man eine SSL-Verbindung, als eine verschlüsselte Kommunikation."
Pohlmann hält die Anmeldung mit Benutzername und Passwort grundsätzlich für unsicher. "Passwörter sind das älteste und simpelste Verfahren um sich zu authentifizieren - und auch das schlechteste." Als Alternativen schlägt er Smartcards vor, also Plastikkarten mit integriertem Chip, oder auch digitale Signaturen. Beide könnten als eine Art Schlüssel fungieren - digitale Signaturen gelten unter Experten als fälschungssicher.