Die Tür daneben
AES und RSA knackt niemand — Angreifer suchen das offene Fenster daneben. Oft zielen sie direkt auf Menschen: Social Engineering heißt, jemanden mit Zeitdruck, Angst oder Hilfsbereitschaft zu manipulieren.
- Phishing:gefälschte Mails oder Seiten, die deine Zugangsdaten abgreifen sollen (von englisch fishing = angeln).
- Credential Stuffing:geleakte Paare aus E-Mail und Passwort werden automatisch bei vielen anderen Diensten ausprobiert.
- Passwortmanager:erzeugt für jeden Dienst ein eigenes Zufallspasswort und verwahrt es verschlüsselt; du merkst dir nur ein Hauptpasswort.
- Zwei-Faktor-Authentisierung:zwei Nachweise aus verschiedenen Kategorien — Wissen, Besitz oder Sein (z. B. Passwort plus Handy-Code).
- Datenminimierung:nur angeben, was für den Zweck nötig ist; die DSGVO gibt dir Rechte auf Auskunft, Berichtigung, Löschung und Widerruf.
Angriffe: Angreifer zielen oft auf Menschen: Social Engineering manipuliert mit Zeitdruck, Angst oder Hilfsbereitschaft. Phishing greift mit gefälschten Mails Zugangsdaten ab; Credential Stuffing probiert geleakte Passwörter bei vielen Diensten aus.
Schutz: Ein Passwortmanager verwahrt für jeden Dienst ein eigenes Zufallspasswort. Zwei-Faktor-Authentisierung nutzt zwei Nachweise aus Wissen, Besitz oder Sein.
Datenminimierung: Nur angeben, was nötig ist; die DSGVO gibt Rechte auf Auskunft, Berichtigung, Löschung und Widerruf.
Warum Passwörter fallen
Ein ordentlicher Dienst speichert nur den Hashwert deines Passworts. Wer die Datei stiehlt, kann trotzdem offline in Ruhe Milliarden Kandidaten hashen und vergleichen.
- Zeichenraum N:Anzahl verschiedener Zeichen, aus denen das Passwort gebildet ist.
- Möglichkeiten:bei Länge L gibt es NL Passwörter; 4 Ziffern: 104 = 10 000.
- Wörterbuchangriff:Wortlisten und alte Datenlecks samt Tricks wie 0 statt o oder angehängter Jahreszahl.
- Passphrase:vier bis fünf zufällige Alltagswörter hintereinander — lang und gut zu merken.
Probiere die Beispiele durch und baue eigene Varianten. Vergleiche: Was bringt ein zusätzliches Sonderzeichen, was ein längeres Passwort? Die Dauer gilt für 100 Milliarden Versuche pro Sekunde.
Simulation für den Unterricht: Tippe hier niemals ein Passwort ein, das du wirklich benutzt.
Halte fest: kf7Qz! sieht kryptisch aus und fällt in Sekunden, die vier Alltagswörter halten praktisch ewig. Gegen ein geleaktes Passwort hilft aber auch Länge nicht.
Passwortspeicher: Ein Dienst speichert nur den Hashwert; gestohlene Dateien können offline durchprobiert werden.
Möglichkeiten: Bei Zeichenraum N und Länge L gibt es \(N^L\) Passwörter.
Länge schlägt Kompliziertheit: Jedes zusätzliche Zeichen multipliziert die Möglichkeiten mit N, ein neues Sonderzeichen vergrößert nur N.
Wörterbuchangriff: Wortlisten und Datenlecks samt Tricks wie 0 statt o; eine Passphrase aus vier bis fünf zufälligen Wörtern ist lang und gut merkbar.
Allgemeine Hinweise
Hoch, nicht mal
Die Zahl der Möglichkeiten ist NL, nicht N · L. Ein Zeichen mehr bedeutet mal N, nicht plus N.
Zwei Faktoren, zwei Kategorien
Passwort plus PIN ist beides Wissen und zählt nicht. Passwort plus Handy-Code verbindet Wissen und Besitz.
Links von rechts lesen
Die echte Domain steht direkt vor dem ersten einzelnen Schrägstrich. Im Zweifel die Seite selbst über ein Lesezeichen öffnen.