Passwort: Definition, Typen, Sicherheit und Verschlüsselung

Passwort: Definition, Typen, Sicherheit & Verschlüsselung – Tipps zu starken Passwörtern, Hashing, Sicherheits-Tipps und Schutz vor Hacks.

Ein Passwort ist eine weit verbreitete Methode zur Authentifizierung und dient dazu, die Identität einer Person oder eines Systems beim Zugriff auf Dienste und Daten zu prüfen. Damit ein Passwort seinen Zweck erfüllt, muss es geheim gehalten werden und von niemandem unautorisiert weitergegeben werden. In vielen Anwendungen ersetzt das Passwort teilweise oder vollständig andere Identitätsnachweise.

Typen von Passwörtern

Man unterscheidet mehrere Typen von Passwörtern:

• Statische Passwörter: Das Passwort bleibt gleich, bis der Benutzer es selbst ändert oder eine Administration es zurücksetzt. Viele traditionelle Konten verwenden statische Passwörter.
• Dynamische Passwörter: Diese ändern sich regelmäßig und sind nur für kurze Zeit gültig. Dynamische Passwörter reduzieren das Risiko bei Abfangversuchen oder Knowledge-Leaks. Ein Beispiel für einmalig verwendbare Passwörter ist das One-Time-Pad (bei dem der Schlüssel nur einmal verwendet wird) oder moderne zeitbasierte Einmalpasswörter (TOTP/HOTP).
• Passphrasen: Längere, aus mehreren Wörtern bestehende Passwörter, die leichter zu merken, aber schwer zu erraten sind.

Kurz zur Geschichte

Passwörter wurden historisch schon im Militär eingesetzt, um im Dunkeln Freund von Feind zu unterscheiden. Heute dienen sie primär der digitalen Zugangskontrolle.

Aufbau und Anforderungen

Moderne Passwörter bestehen aus Zeichen wie Sonderzeichen, Buchstaben (Groß- und Kleinschreibung) und Zahlen. Häufig verlangen Systeme eine Mindestanzahl von Zeichen (früher oft sechs bis acht). Viele Websites erlauben aber nur Buchstaben und Zahlen, während andere ausdrücklich zu einer Kombination aus Groß-/Kleinbuchstaben, Zahlen und Sonderzeichen raten, um die Passwort-"Stärke" zu erhöhen. Längere Passwörter oder Passphrasen sind in der Regel sicherer als kurze, komplexe Passwörter.

Beim Eintippen wird jedes Zeichen eines Passworts meist durch ein Sternchen (*) oder ein anderes Symbol wie einen Punkt angezeigt, um Beobachtern die Eingabe zu verbergen.

Sicherheit: Risiken und Angriffe

Passwörter sind Angriffen ausgesetzt, unter anderem:

• Brute-Force-Angriffe: Automatisiertes Ausprobieren vieler Kombinationen.
• Wörterbuch- und gezielte Erratungsangriffe: Verwendung häufig benutzter Passwörter oder persönlicher Informationen.
• Phishing: Tricks, um Benutzer zur Preisgabe ihres Passworts zu bringen.
• Keylogger und Malware: Aufzeichnen von Tastatureingaben.
• Datendiebstahl: Wenn Passwörter in unsicherer Form auf Servern gespeichert werden, können sie bei Lecks kompromittiert werden.

Aus diesem Grund raten viele Dienste, Passwörter regelmässig (z. B. einmal pro Jahr oder bei Verdacht) zu ändern und nicht mehrfach zu verwenden.

Verschlüsselung versus Hashing

Verschlüsselung ist das Umwandeln von Daten in eine Form, die ohne passenden geheimen Schlüssel oder Passwort nicht gelesen werden kann. Verschlüsselte Daten lassen sich mit dem richtigen Schlüssel wieder in die ursprüngliche Form zurückverwandeln (reversible Transformation).

Im Unterschied dazu ist Hashing eine Einwegfunktion: Passwörter werden in einen Fixwert (Hash) umgewandelt, der nicht ohne Weiteres in das Original zurückführbar ist. Deshalb ist Hashing für die sichere Speicherung von Passwörtern in Login-Systemen üblich. Wichtige Maßnahmen beim Hashing sind:

• Salt: Ein individueller, zufälliger Zusatz zum Passwort, der in die Hash-Berechnung eingeht, um gleiche Passwörter unterschiedlich zu machen.
• Stretching / Iterationen: Mehrfache Anwendung oder langsame Hashfunktionen, um Brute-Force-Angriffe zu verlangsamen.
• Sichere Algorithmen: Moderne, für Passwörter geeignete Verfahren sind bcrypt, scrypt oder Argon2; PBKDF2 ist ebenfalls weit verbreitet.
• Pepper: Ein zusätzlicher geheimer Wert, der serverseitig separat verwaltet wird, um die Sicherheit weiter zu erhöhen.

Wenn ein System Passwörter verschlüsselt (statt sie zu hashen), kann es die ursprüngliche Zeichenfolge wiederherstellen, sofern der Schlüssel verfügbar ist; das ist riskanter, wenn der Schlüssel kompromittiert wird.

Gute Praktiken für Benutzer und Administratoren

• Nutzen Sie für jeden Dienst ein einzigartiges Passwort. Passwort-Wiederverwendung erhöht das Risiko, dass mehrere Konten bei einem Leck betroffen sind.
• Erstellen Sie lange Passwörter oder Passphrasen (empfohlen: mindestens 12 Zeichen, besser 16+ abhängig vom Schutzbedarf).
• Verwenden Sie, wo möglich, einen Passwortmanager, um sichere, zufällige Passwörter zu generieren und zu speichern.
• Aktivieren Sie Mehr-Faktor-Authentifizierung (MFA) oder Zwei-Faktor-Authentifizierung, um die Sicherheit auch bei bekanntem Passwort zu erhöhen.
• Administratoren sollten Passwörter nie im Klartext speichern, sondern mit Salt und modernen Hashverfahren absichern und passende Rate-Limiting-Mechanismen gegen Brute-Force-Angriffe einsetzen.
• Beim Verdacht auf Kompromittierung sofort Passwörter ändern und Konten überprüfen.

Alternativen und Ergänzungen zur Passwort-Authentifizierung

Es gibt zusätzliche oder alternative Verfahren zur Identitätsprüfung, zum Beispiel Fingerabdruckscanner, Gesichtserkennung oder Hardware-Token. Solche Methoden können Passwörter ersetzen oder sinnvoll mit ihnen kombiniert werden (z. B. MFA), um die Sicherheit zu erhöhen.

Praxis-Tipps für starke, merkbare Passwörter

• Nutzen Sie eine Passphrase aus mehreren zufälligen Wörtern (z. B. "BergTasse7+LichtWald!") – länger ist meist besser als komplexer.
• Vermeiden Sie offensichtliche Angaben wie Geburtsdaten, Namen oder einfache Tastaturmuster.
• Wenn Sie ein Passwort manuell verwalten müssen, merken Sie sich einen Satz und bilden daraus eine Struktur, die Sie leicht reproduzieren können.
• Prüfen Sie Passwortstärke und ob Ihr Passwort bereits in bekannten Leaks auftaucht (seriöse Dienste bieten solche Prüfungen ohne Weitergabe Ihres Passworts an).

Zusammenfassend sind Passwörter nach wie vor eine zentrale Methode zur Zugangskontrolle. Ihre Wirksamkeit hängt jedoch stark von Länge, Einzigartigkeit, sicherer Speicherung (Hashing), zusätzlichen Schutzmaßnahmen wie MFA und einem bewussten Umgang der Nutzer ab.

Fragen und Antworten

F: Was ist ein Passwort?

F: Warum ist es wichtig, Passwörter geheim zu halten?

F: Was bedeutet es, wenn ein Kennwort statisch ist?

F: Was bedeutet es, wenn ein Kennwort dynamisch ist?

F: Welche Art von dynamischem Kennwort kann nur einmal verwendet werden?

Suche nach Buchstaben