Microsoft warnt vor Angriffen auf Passwörter

17.10.2024

Vergangenen Dienstag stellte Microsoft die wichtigsten Ergebnisse des Digital Defense Reports 2024 in Berlin vor. Wie DER SPIEGEL berichtet, standen bei der Warnung vor zunehmenden Cyber-Attacken zwei Zahlen im Zentrum. Zum einen stellte der Konzern fest, dass allein die Kunden von Microsofts Cloudprodukten täglich über 600 Millionen Mal angegriffen werden. Zum anderen hätten es die Hacker im großen Stil auf Passwörter abgesehen: der Versuch, Kennwörter abzugreifen, habe sich 4000 Mal pro Sekunde ereignet.

Aus diesem Anlass im Folgenden ein paar Tipps zur Generierung sicherer Passwörter:

Niemals simple oder naheliegende Passwörter verwenden

Denn: 1234, passwort*, ASDFGHJ – Passwort Sicherheit geht anders. Solche Passwörter knackt selbst ein Smartphone in Sekundenschnelle, von einem einfachen „Botnet“ aus zusammengeschalteten Standardcomputern oder gar „Schurkenstaaten“ betriebenen Supercomputern ganz zu schweigen. Entsprechend einfach gelingen auch Datendiebstähle, die in den allermeisten Fällen durch zu simple Passwörter ermöglicht werden. Das betrifft nicht nur Privatpersonen und ihre Accounts: Um Lösegeld zu erpressen, werden auch Unternehmen systematisch ausspioniert.

Eselsbrücken für komplexe Kennwörter

Möglichst schwer zu knackende Passwörter sind ein wichtiger Bestandteil der IT-Sicherheit.

Eine gängige Empfehlung lautet, Passwörter mit Merksätzen zu erzeugen. Zwei Beispiele:

Die Verwendung der Anfangsbuchstaben, Zahlen und Sonderzeichen aus dem Merksatz „Mein Hund heißt Otto. Er frisst für 15$ am Tag!“ ergibt das sehr sichere 14-stellige Passwort „MHhO.Eff15$aT!“.
Die Verwendung der Anfangsbuchstaben, Zahlen und Sonderzeichen aus dem Merksatz „Ich laufe 12* täglich die 3 Treppen & nutze keinen Fahrstuhl.“ Ergibt das sehr sichere 14-stellige Passwort „Il12*td3T&nkF.“.

Es empfiehlt sich selbstverständlich, nicht die oben als Beispiel genannten Passwörter zu verwenden, da diese jetzt veröffentlicht und kein Geheimnis mehr sind.

Wichtige Regeln für die Sicherheit

Zu beachten sind die folgenden Regeln, um ein wirklich sicheres Kennwort zu erzeugen:

Mindestlänge ab 14 Zeichen für wichtige Anwendungen und mindestens 8 Zeichen für weniger wichtige Anwendungen
Verwendung von mindestens zwei Groß- und mindestens zwei Kleinbuchstaben sowie mindestens zwei Ziffern und Sonderzeichen (bspw.: !“#$%&'()*+,-./:;<=>?@[\]^_`{|}~)
Keine Verwendung von vier oder mehr Zeichen, die in dieser Reihenfolge in einem zumindest deutschen oder englischen Wörterbuch vorkommen
Die Verwendung von „Leetspeek“ (Ersetzen von Buchstaben durch ähnlich aussehende Ziffern oder Sonderzeichen) erhöht die Sicherheit von Passwörtern nicht
Keine Verwendung von drei oder mehr Zeichen, die in dieser Reihenfolge in ihrem Namen, Firmen-, Marken-, oder Produktnamen, ihrer Anschrift, Geburts-, Gründungsdaten, Namen von Kindern, Freunden, Partnern, Lieblingsmannschaften oder Berühmtheiten vorkommen
Keine Verwendung von zwei oder mehr gleichen Zeichen hintereinander
Keine Verwendung von drei oder mehr gleichen Zeichen pro Passwort
Keine Verwendung von Mustern oder Tastaturmustern (bspw. „asdf“ oder „1234“)
Keine Verwendung von gleichen Passwörtern bei verschiedenen Anwendungen oder Mandanten
Regelmäßige Änderung von Passwörtern, allermindestens jährlich für sehr aufwändige Kennwortwechsel, wenngleich ein monatlicher oder quartalsweiser Wechsel bspw. bei Benutzerkennwörtern zu empfehlen ist
Verwendung von Bildschirmschoner-Passwörtern
Passwörter nicht an fremden Computern eingeben oder danach schnell wechseln
Passwörter nicht weitergeben, sondern geheim halten und sichere Passwortmanager verwenden
Bei Verwendung von Umlauten oder Sonderzeichen sollte bedacht werden, dass diese bei Verwendung ausländischer Tastaturen ggf. schwerer einzugeben sind.

Stets an nötige Servereinstellungen denken

Auch serverseitig sind einige Einstellungen wichtig, die den Schutz der IT erhöhen:

Sperrung eines Zugangs für einige Minuten bei mehrfacher Falscheingabe
Zwang zur Verwendung von Kennwortkomplexitätsrichtlinien für alle Benutzer
Forcierung des regelmäßigen Kennwortwechsels