Sichere Passwörter - Tipps und Hinweise

[HeavyGuard]

Aus aktuellem Anlass noch mal ein paar Tipps und Hinweise zu Passwörtern. Sei es hier im Forum oder auch für Programme, Mail-, Rechner- und Internetzugang bei euch zu Hause.

Bitte denkt daran das ein Passwort andere abhalten soll unter eurem Namen zu posten - es sollte daher schon etwas länger und ausgefallener sein als 5 Buchstaben oder 5 Zahlen.

Am besten ein Passwort aus Buchstaben, Zahlen und Sonderzeichen zusammensetzen ohne das es eine augenscheinliche Bedeutung hat. Gut eignen sich z.B. längere Sätze die ihr euch merken könnt und von denen ihr dann nur die Anfangbuchstaben, Zahlen und Sonderzeichen nehmt:

Aus dem Satz (in diesem Fall ein Filmtitel):

Weltuntergang: Das Gewitter-Inferno ist mein Lieblingsfilm

entsteht so das folgende Passwort:

W:DG-IimL

Die Passwortlänge sollte mindestens bei 8 Zeichen liegen um halbwegs Sicherheit zu bringen. Auch her gilt aber - je mehr destso besser.

Dabei solltet ihr auch unbedingt beachten das ihr Passwörter nicht unverschlüsselt auf dem PC speichert. Es hilft mnicht viel wenn ihr gute Passwörter habt aber der nächste Trojaner eine Passwort.txt auf eurem Recher findet. :D :D :D

Entweder nehmt ihr für solche Sachen gute Passwort-Safes (z.B. bei Steganos-Security-Suite enthalten, ältere Versionen bis version 6 kann man kostenfrei bekommen) für die ihr euch dann nur ein PW merken müsst oder ihr schreibt euch die Passwörter auf einen Zettel und bewahrt ihn an einem Ort auf an den kein anderer Zugriff hat (auch eure Freunde und Besucher nicht!!!).

Außerdem: Bitte verwendet nicht überall das selbe Passwort!
Das beste Passwort nützt nichts wenn ihr eich damit sowohl hier als auch in beliebig anderen Foren damit anmeldet - ist der jeweilge Forenadmin (meist Winz-Foren) kriminell veranlagt kann er eure Passwörter auslesen und euch damit in den euch wirklich wichtigen Foren schaden.

Um größtmögliche Sicherheit zu bekommen solltet ihr zudem besonders wichtige Passwörter regelmäßig ändern.

[Winyett Grayanus]

Wie erstellt man ein sicheres Passwort?

Zusätzlich zu Heavyguards Methode kann man ebenso Passwörter aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen erstellen - 7 Zeichen oder mehr sind angebracht.

Beispiel: Bei einem 4stelligen Passwort aus Kleinbuchstaben gibt es 456976 mögliche Kombinationen; ein handelsüblicher PC knackt so etwas mit Brute-Force in wenigen Sekunden.
Bei einem Passwort wie oben beschrieben gibt es dagegen etwa 131593177923584 mögliche Kombinationen; das Entschlüsseln dauert bereits so lange, dass kein r00t-Kid Lust haben würde, das Passwort zu knacken. Aufgrund des dabei verursachten Traffics würde man es sowieso in kurzer Zeit bemerken.;)

Absehen sollte man dagegen von Wörtern aus Wörterbüchern; auch rückwärts geschrieben oder drangehängten Zahlen, denn wie es Programme gibt, die Zeichen für Zeichen miteinander kombinieren, gibt es auch so genannte „Dictionary Hacker“, die…
Jedes Wort rückwärts geschrieben
Jedes Wort mit einer oder mehreren Ziffernkombinationen am Ende
Jedes Wort mit einer oder mehreren Ziffernkombinationen am Anfang
Jedes Wort mit Ziffern in der Mitte
Jedes Wort mit gewissen Buchstaben durch gewissen Ziffern ersetzt, z.B. e durch 3 ersetzt
Jedes Wort groß geschrieben
Alle 2 Wörter zusammengeschrieben, mit Ziffern in der Mitte
…ausprobieren.

Aber am unsichersten sind wohl Wörter, die man mit derjenigen Person, der ein Account gehört, in Zusammenhang bringen kann.
Dazu gehört z.B. der Name des Haustiers, der eigene Name, Name von Freunden, Hobbys, Geburtsdatum, Interessen usw. Auch Namen in Zusammenhang mit seinem Geburtsdatum (Beispiel: Jan0412) sollte man tunlichst vermeiden, da solche Passwörter leicht erraten werden können – besonders, da es in einem Forum öfter passiert, dass man persönliche Informationen preisgibt.

Zusammenfassend ist ein wirklich sicheres Passwort also nur eines, das den oben genannten Kriterien entspricht – wer nun aber eines haben will, dass er sich trotz Zeichensalat noch merken können will, der sollte einmal diese Methode ausprobieren:

Das kleine Haus unter Bäumen am See Passwort_1: DkHuBaS
Vom Dach steigt Rauch Passwort_2: VDsR
Fehlt er Passwort_3: Fe
Wie trostlosdann wären Passwort_4: Wtw
Haus Bäume und See. Passwort_5: HBuS
( B. Brecht – Der Rauch)

SuperPasswort_6: DkHuBaSVDsRFeWtwHBuS

Wer es ganz sicher haben will, kann natürlich auch noch eine Zahl und ein Sonderzeichen am Ende dranhängen. :D
Natürlich müssen es nicht 19 Zeichen sein, die auf einem ganzen Gedicht o.ä. basieren; mein Passwort besteht z.B. aus einem Satz, mit dem nur ich etwas anfangen kann, misst weniger Zeichen und ich habe es immer zur Hand. Siehe oben.

Was sollte man noch beachten?


Wie uns ja allen bekannt ist, bietet vBulletin die Funktion an, sein Passwort zu speichern, wenn man die World of Players verlässt; ermöglicht wird dies durch einen Cookie, in dem alle dafür erforderlichen Informationen gespeichert sind.
Wenn man an einem PC sitzt, zu dem noch andere Personen Zugriff haben, sollte man sich deswegen jedes Mal abmelden, wenn man das Forum verlässt und ggf. auch den Browser-Cache samt Cookies, den Verlauf (History) und die Verknüpfungen mit den zuletzt verwendeten Dateien (Recent Files) löschen.
Besonders wenn man an öffentlichen PCs sitzt, z.B. in Internetcafes oder Schulen, sollte man dies beachten (Auch wenn das nur bedingt zum Thema gehört: Bei mir in der Schule im Informatikunterricht wurde schon einiges gefunden, sogar Zugänge zu eMail-Accounts.)
Mit dem Passwort im WoP-Cookie an sich werden zwar die meisten nicht besonders viel anfangen können, weil das Passwort darauf MD5 (?)-verschlüsselt ist, allerdings findet man darauf einen URL zum Board, was an sich schon reicht.

Grundsätzlich sollte man für jeden Account ein anderes Passwort benutzen, denn wenn ihr euch irgendwo angemeldet habt, wo der Admin das Passwort im Klartext auslesen kann...nun ja, das sollte man sich denken können.

Die besten Passwörter nützen nichts, wenn man sich einen Trojaner/Spyware oder einen Keylogger (http://www.lexikon-definition.de/Keylogger.html) (was mir allerdings weniger wahrscheinlich erscheint;)) einfängt. Auch Script-Kiddies wissen gewisse Tools zu benutzen. Man sollte deshalb immer eine Firewall und zusätzlich einen Virenscanner benutzen, den man – besonders, wenn man den Verdacht hat, sich etwas eingefangen zu haben – benutzen sollte, und den ich auch sonst nicht zu verschmähen empfehle.

Antivirenprogramme:
Stinger (http://vil.nai.com/vil/stinger/)
Ad-Aware (http://www.lavasoftusa.com/software/adaware/)
Antivir (http://www.freeav.de/)
XPClean (http://www.xpclean.de)
Avast 4 home (http://www.avast.com/)
Spybot (http://www.safer-networking.org/de/index.html)
Housecall (Online-Virenscanner) (http://de.trendmicro-europe.com/enterprise/products/housecall_launch.php)

Firewall:
ZoneAlarm (http://download.zonelabs.com/bin/free/de/download/znalmDetails.html)
Outpost Firewall (http://www.agnitum.com/download/outpost1.html)
Weitere (http://www.troja24.de/down.htm#fw)

Wenn man den Verdacht hat, dass jemand sein Passwort kennen könnte, sollte man dieses ändern; wenn man erst auf konkrete Beweise dafür warten möchte, ist es meist zu spät. Auch wenn man keinen Verdacht hat, kann man sein Passwort gut und gerne regelmäßig ändern, wenn man möchte.

Passwörter nicht aufschreiben – es ist immer besser, wenn man sich sein Passwort merkt, so kann es nicht in fremde Hände gelangen.

Außerdem rate ich davon ab, Passwortmanager zu benutzen, die Passwörter abspeichern und automatisch eingeben, wie es z.B. Web-Browser oder E-Mail Clients anbieten.

Erwähnte ich, dass man seine Passwörter nicht weitergeben sollte; auch nicht an seine allerbesten Freunde?


Zu ICQ und dort verwendeten Passwörtern

Ich fände es ja schön, wenn ich mehr Leute dazu bekehren könnte, Jabber zu benutzen, da ICQ ein sehr unsicheres System ist, und das in ziemlich allen Hinsichten:
- man kann Nachrichten über ICQ mitlesen, da dies keine Verschlüsselung benutzt
- ganze Accounts übernehmen
- hemmungslos spammen
- usw.

Natürlich ist es hier auch kein Problem, an das entsprechende Passwort eines ICQ-Accounts zu kommen, und wenngleich bereits vor Jahren auf Sicherheitslücken im ICQ Clienten hingewiesen wurde, scheint nur wenig bzw. gar nichts daran geändert worden zu sein.
Folglich sollte man nicht dem Irrglauben erliegen, dass es auch nur ein wenig Sicherheit gibt, wenn man ICQ benutzt, und es deshalb auch tunlichst vermeiden, das Passwort, dass man für seinen ICQ-Account benutzt, auch fürs Forum oder anderes zu benutzen; auch nicht in abgewandelter oder ähnlicher Form.
Für MSN, AIM, den Yahoo-Messenger gilt in etwa dasselbe - die sind alle nicht sicher.
Am besten ist es, sich für jeden Account ein neues Passwort auszudenken - sollte irgendwann einmal eines davon in fremde Hände gelangen, hängen alle andere Accounts usw. nicht automatisch mit drin.

Zum Schluss ein paar Worte der Warnung:

In den meisten Fällen, in denen vom "bösen Hacker (Cracker)" die Rede ist, handelt es sich um einen einfachen Fall von Social Engineering - oder auf gut deutsch: Das verwendete Passwort war entweder so unsicher, dass man es mit wenigen Versuchen zu erraten in der Lage war, wurde bedenkenlos an andere weitergegeben usw. usf.
Deshalb kann ich nur raten, unsere Tips zu beherzigen, vorrausgesetzt, ihr legt Wert auf eure Onlineexistenz.;)