Professional Security Advisory | Last Update: 2024
Die Mathematik der Sicherheit
Ein Passwort ist kein Wort – es ist eine Barriere aus reiner Information. Um zu verstehen, was ein Passwort wirklich sicher macht, müssen wir uns von der menschlichen intuitiven Wahrnehmung lösen und die Welt der Entropie betreten.
Bits der Entropie
Die Entropie misst die Unvorhersehbarkeit. Jedes Bit verdoppelt den Aufwand für einen Angreifer. Ein Passwort mit 80 Bits Entropie ist nicht nur "doppelt so sicher" wie eines mit 40 Bits – es ist Trillionen Mal sicherer.
- Kleinbuchstaben: ~4.7 Bits pro Zeichen
- Kompletter ASCII-Satz: ~6.5 Bits pro Zeichen
"Länge schlägt Komplexität. Ein 20-zeiliges Passwort aus einfachen Wörtern überlebt Jahrtausende, während ein 8-zeiliges Wirrwarr in Sekunden fällt."
Angriffsszenarien: Wie Hacker vorgehen
Ein moderner Hacker sitzt nicht vor der Tastatur und rät. Er nutzt GPU-Cluster, die Milliarden von Versuchen pro Sekunde durchführen können.
| Methode | Funktionsweise | Effektiver Schutz |
|---|---|---|
| Brute Force | Alle Zeichenkombinationen von aaaa bis ZZZZ. | Extreme Länge (16+ Zeichen). |
| Dictionary | Listen von Wörtern und Common Passwords. | Zufallsgenerierte Zeichenfolgen. |
| Phishing | Täuschung des Benutzers (Fake Login). | 2FA / Hardware Security Keys. |
| Stuffing | Nutzung von Leaks anderer Datenbanken. | Einzigartigkeit für jeden Account. |
Moderne Authentifizierungs-Strategien
1. Der Goldstandard: Passwort-Manager
Wer sich seine Passwörter noch selbst merkt, hat bereits verloren. Unser Gehirn ist für Zufälligkeit ungeeignet. Ein Passwort-Manager (wie Bitwarden oder 1Password) ist heute keine Option mehr, sondern eine Pflicht. Er ermöglicht es, für jeden Dienst ein 32-stelliges Zufallsmonster zu nutzen, während du dir nur einen einzigen Hauptschlüssel merken musst.
2. Die Mauer: Zwei-Faktor-Authentifizierung (2FA)
Passwörter sind Wissen. Wissen kann gestohlen werden. 2FA fügt den Besitz hinzu. Selbst wenn ein Hacker dein Passwort hat, nützt es ihm ohne dein Smartphone oder deinen Hardware-Key nichts.
App-Basiert
TOTP Codes (Google Auth, Authy). Sicher und kostenlos.
Hardware Key
Physische Keys (YubiKey). Resistent gegen Phishing.
Biometrie
FaceID / TouchID. Hoher Komfort, limitiert widerrufbar.
Passkeys: Das Ende der Passwörter?
Die Tech-Giganten Apple, Google und Microsoft haben sich auf einen neuen Standard geeinigt: Passkeys. Hierbei wird kein Geheimnis mehr übertragen, sondern eine kryptographische Signatur erstellt. Es ist das sicherste System, das jemals für den Massenmarkt entwickelt wurde.
Checkliste: Sofort-Maßnahmen
Keine doppelten Passwörter: Teste deine E-Mail bei HaveIBeenPwned.
Master-Key schützen: Min. 20 Zeichen, offline gesichert.
2FA Aktivierung: Überall, wo es um Finanzen oder Identität geht.
Account-Hygien: Lösche ungenutzte Alt-Accounts konsequent.
Glossar & Bedrohungs-Vektoren
| Technik | Gefahr / Definition | Schutz-Level |
|---|---|---|
| Rainbow Tables | Vorberechnete Listen von Passwort-Hashes zur schnellen Entschlüsselung. | High Risk |
| Keylogging | Aufzeichnung der Hardware-Eingabe über spezialisierte Malware. | Kritisch |
| Salted Hash | Einzigartiger Zusatzwert vor der Verschlüsselung einer Datenbank. | Standard |
| Brute Force | Simples Ausprobieren aller möglichen Kombinationen mit CPU-Power. | Medium |
| FIDO2 | Internationaler Standard für passwortloses Login via Security Keys. | Elite |