Passwort gegen Brute-Force-Angriff

19.05.2017

Das Knacken von Passwörtern beispielsweise mittels Brute-Force-Angriff ist heutzutage nicht mehr nur ein Hobby, sondern ein Milliardengeschäft. Professionelle Gangster verschaffen sich nicht mehr nur Zugang zu Ebaykonten von Privatpersonen (vgl. Westdeutsche Zeitung vom 04.01.2016), auch Unternehmen werden routiniert ausspioniert, um Lösegelder zu erpressen (vgl. Heise online vom 13.05.2017).

Dabei wird die benötigte Rechenleistung schon lange nicht mehr von einem Menschen erbracht, sondern Maschinen überlassen. Während ein einzelner aktueller PC ein 8-stelliges alphanumerisches Passwort ohne Sonderzeichen binnen eines Tages knacken kann, benötigt ein Botnet dafür weniger als fünf Minuten. Selbst ein aktuelles Iphone würde diese Aufgabe binnen höchstens einer Woche erfolgreich abgeschlossen haben (vgl. Mahr EDV Tabelle “Benötigte Zeit für Brute-Force-Angriff” unten).

Effektiver Schutz vor Brute-Force-Angriff und anderen Methoden

Zu den einfachsten Angriffsformen zum Erlangen fremder Passwörter gehört das Social Engineering, bei welchem der Angreifer Passwörter wie Namen oder Geburtstage von Freunden oder Familienmitgliedern ausprobiert. Ebenso simpel ist die Wörterbuchattacke, bei der bekannte Wörter, Namen von Stars, Fußballklubs etc. oder einfachste Buchstaben- oder Zahlenkombinationen zum Einsatz kommen (vgl. n-tv vom 22.12.2016).

Erschreckender Weise gehören zu den beliebtesten Passwörtern „123456“, „hallo“, „Passwort“ und „hallo123“. Nach wie vor ist der Brute-Force-Angriff beliebt, mit dem jedes Passwort durch systematisches Durchspielen aller erdenklichen Kombinationen geknackt werden kann – das ist nur eine Frage der Zeit. Ein aus 6 Kleinbuchstaben bestehendes Passwort bietet eine Varianz von aaaaaa bis zzzzzz, bei 26 Buchstaben also 26⁶ (ca. 309 Mio.) Möglichkeiten, die auch ein handelsüblicher PC binnen weniger als einer Sekunde knacken kann (vgl. Mahr EDV Tabelle zum Brute-Force-Angriff unten).

Computer steigern ihre Rechengeschwindigkeit Jahr für Jahr. Ein handelsübliches iPhone 6s rechnet heutzutage schneller als der im Jahre 1993 schnellste Supercomputer der Welt, Intel Paragon XP/S 140, der in New Mexico, USA betrieben wurde. (vgl. Wikipedia Supercomputer)

Sichere Passwörter ausdenken und merken

Möglichst schwer zu knackende Passwörter sind also ein wichtiger Bestandteil der IT-Sicherheit.

Eine gängige Empfehlung lautet, Passwörter mit Merksätzen zu erzeugen. Zwei Beispiele:

Die Verwendung der Anfangsbuchstaben, Zahlen und Sonderzeichen aus dem Merksatz „Mein Hund heißt Otto. Er frisst für 15$ am Tag!“ ergibt das sehr sichere 14-stellige Passwort „MHhO.Eff15$aT!“.
Die Verwendung der Anfangsbuchstaben, Zahlen und Sonderzeichen aus dem Merksatz „Ich laufe 12* täglich die 3 Treppen & nutze keinen Fahrstuhl.“ Ergibt das sehr sichere 14-stellige Passwort „Il12*td3T&nkF.“.

Bitte verwenden Sie jedoch nicht die oben als Beispiel genannten Passwörter, da diese jetzt veröffentlicht und kein Geheimnis mehr sind.

Wichtige Passwortregeln

Beachten Sie die folgenden Regeln, um ein wirklich sicheres Passwort zu erzeugen:

Mindestlänge ab 14 Zeichen für wichtige Anwendungen und mindestens 8 Zeichen für weniger wichtige Anwendungen
Verwendung von mindestens zwei Groß- und mindestens zwei Kleinbuchstaben sowie mindestens zwei Ziffern und Sonderzeichen (bspw.: !”#$%&'()*+,-./:;<=>?@[\]^_`{|}~)
Keine Verwendung von vier oder mehr Zeichen, die in dieser Reihenfolge in einem zumindest deutschen oder englischen Wörterbuch vorkommen
Die Verwendung von „Leetspeek“ (Ersetzen von Buchstaben durch ähnlich aussehende Ziffern oder Sonderzeichen) erhöht die Sicherheit von Passwörtern nicht
Keine Verwendung von drei oder mehr Zeichen, die in dieser Reihenfolge in ihrem Namen, Firmen-, Marken-, oder Produktnamen, ihrer Anschrift, Geburts-, Gründungsdaten, Namen von Kindern, Freunden, Partnern, Lieblingsmannschaften oder Berühmtheiten vorkommen
Keine Verwendung von zwei oder mehr gleichen Zeichen hintereinander
Keine Verwendung von drei oder mehr gleichen Zeichen pro Passwort
Keine Verwendung von Mustern oder Tastaturmustern (bspw. „asdf“ oder „1234“)
Keine Verwendung von gleichen Passwörtern bei verschiedenen Anwendungen oder Mandanten
Regelmäßige Änderung von Passwörtern, allermindestens jährlich für sehr aufwändige Passwortwechsel, wenngleich ein monatlicher oder quartalsweiser Wechsel bspw. bei Benutzerkennwörtern zu empfehlen ist
Verwendung von Bildschirmschoner-Passwörtern
Passwörter nicht an fremden Computern eingeben oder danach schnell wechseln
Passwörter nicht weitergeben, sondern geheim halten und sichere Passwortmanager verwenden
Bei Verwendung von Umlauten oder Sonderzeichen sollte bedacht werden, dass diese bei Verwendung ausländischer Tastaturen ggf. schwerer einzugeben sind.

Wichtige Servereinstellungen

Auch serverseitig sind einige Einstellungen wichtig, die den Schutz Ihrer IT erhöhen:

Sperrung eines Zugangs für einige Minuten bei mehrfacher Falscheingabe
Zwang zur Verwendung von Kennwortkomplexitätsrichtlinien für alle Benutzer
Forcierung des regelmäßigen Kennwortwechsels

Benötigte Zeit für Brute-Force-Angriff

In Abhängigkeit von der Kennwortqualität und –länge können selbst moderne Iphones Passwörter binnen Sekunden knacken. Selbst, wenn ein einzelner PC Jahre bräuchte, schaffen Botnetzwerke und Supercomputer die Aufgabe in kürzester Zeit.

Benötigte Zeit für Brute-Force-Angriff

(Zum Vergrößern die Tabelle einfach anklicken)