Passwörter sind im Umgang mit dem Internet Alltag. Wir benötigen sie auf unserem Smartphone, um eine E-Mail zu verschicken, etwas bei Facebook zu posten oder schlicht, um uns an unserem Computer anzumelden. Bei der Verwendung von Passwörtern tritt unser Sicherheitsdenken mit unserer Bequemlichkeit in einen Interessenkonflikt:
- Lange Passwörter sind besser, als kurze
- Eine Kombination aus Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen ist ideal
- Idealerweise verwendet man ein bestimmtes Passwort nur genau einmal
- Lange Passwörter sind schwer zu merken
- insbesondere mit Zahlen und Sonderzeichen
- Ein Passwort für überall ist geschickt
Aus diesem Spannungsfeld ergibt sich die Problematik, dass wir oft zur Bequemlichkeit neigen. Die Vergangenheit hat gezeigt, dass es auch bei großen Anbietern zu Datenlecks kommen kann. [1][2] Die damit verbundene Gefahr ist, dass eine Kombination aus Login (meist der Mailadresse) und Passwort in Datenbanken gelangt. Verwendet man diese Kombination aus Login und Passwort auf verschiedenen Seiten, können Angreifer durch Ausprobieren Zugang zu diesen Account erlangen. Ob die eigenen Logindaten von Datenlecks betroffen sind, kann man auf einer Seite des Hasso-Plattner-Instituts (Hasso Plattner ist einer der Gründer von SAP) überprüfen.
Die Frage ist, wie man dieser Problematik entgehen kann. Die Lösung ist im Grunde einfach: Ein Datentresor mit allen Zugangsdaten. Dieser Tresor muss verschiedenen Anforderungen entsprechen:
- Starkes Verschlüsselungsverfahren
- Starkes Passwort
- Möglichst privat
- Praktikabel
Grundsätzlich gibt es drei Ansätze: Eine lokale Software, eine Online-Lösung und den Browser.
Lokale Software
Eine lokale Software bietet den großen Vorteil der Datenhoheit. Alle Daten liegen nur auf meinem Rechner (oder USB-Stick, eigener Server). Idealerweise ist die Software Open Source (die Quellen können eingesehen werden), ebenso das Verschlüsselungsverfahren. Dieser Vorteil ist auch schon der größte Nachteil: Man muss die Datenbank zwischen verschiedenen Geräten manuell abgleichen. Zwar kann man die Datenbank in einen verschlüsselten Cloud-Tresor legen, aber trotzdem muss man jedes Mal, wenn man die Datenbank verändert hat, einen Abgleich mit dieser Datenbank herstellen. Weiterhin ist die Integration in den Browser (z.B. über ein Rechtsklickmenü) nicht vorhanden. Wenn man sich davon nicht abschrecken lässt, hat man (sofern man ein sicheres Masterpasswort wählt und die Datenbank geschützt hält) die sicherste Lösung zur Passwortverwaltung.
Softwaretipp: KeePass (Open Source, kostenlos)
Online-Lösung
Eine Onlinelösung hat den Vorteil, dass die Integration in den Browser und die einfache Zugänglichkeit den größten Komfort bei sehr hoher Sicherheit bietet. Die Passwörter werden auf dem Server des Anbieters gespeichert. Dazu werden diese durch ein Masterpasswort verschlüsselt. Dieses wird nicht auf dem Server des Anbieters gespeichert (lokale Verschlüsselung, Ende-zu-Ende), sondern lediglich ein so genannter „salted hash“. Dazu wird an den zu verschlüsselnden Inhalt zunächst eine zufällige Zeichenkette angehängt (Salt). Diese erhöht die Entropie. Einfach ausgedrückt wird die Information dadurch beliebiger und weniger leicht „zu erraten“ gemacht. Dann wird über ein kryptografisches Verfahren ein so genannter Hashwert berechnet. Dieses Verfahren funktioniert nur in eine Richtung, man kann also aus dem Hashwert nicht (oder nur mit nicht vertretbarem Aufwand) das Passwort zurückgewinnen. In einer Tabelle werden die Salt-Werte zu den Hashwerten gespeichert. Wenn der Benutzer sich nun anmeldet, wird das Passwort mit Salt versehen, in den Hash umgerechnet und der Hashwert verglichen. Nur wenn dieser gleich ist, erfolgt ein Zugriff. Dieses Verfahren ist daher auch sehr sicher und auch der Anbieter kann meine Passwörter nicht einsehen, weil auf dem Server nur die verschlüsselten Daten gespeichert sind. Die Übertragung erfolgt verschlüsselt per TLS (Serverzertifikat, Schlüsseltausch). Problematisch ist hier in erster Linie, wenn das Masterpasswort abgefangen oder erraten wird. Dafür bietet sich erneut die Zwei-Faktor-Authentifizierung an. Dabei benötigt man zur Anmeldung nicht nur das Passwort, sondern auch eine TAN aus einem Generator oder einer SMS. Größter Nachteil ist, dass man nicht die Hoheit über die verschlüsselten Daten besitzt, da diese auf dem Server des Anbieters liegen.
Softwaretipp: LastPass (kostenlos, Premium 2$/Monat), 1Password (kostenlos, Premium 2,99$/Monat)
Browser
Die Browserlösung ist die bequemste, aber auch die am wenigsten sichere. Der Browser bietet an, die eingegebenen Passwörter zu speicher und füllt Formularfelder automatisch aus. Die Speicherung der Daten ist am wenigsten sicher und die Synchronisierung (über externe Server) funktioniert nur, wenn man auf jedem System den gleichen Browser nutzt. Das ist aber nicht immer möglich oder gewünscht. Außerdem verwenden die Brwoser nicht standardmäßig ein Masterpasswort. Also keine ideale Lösung, aber deutlich besser, als überall das gleiche Passwort zu verwenden.
Alle Lösungen bieten in der Regel die Möglichkeit, sichere Passwörter zu generieren. Wenn man konsequent einen Passwortmanager verwendet, kennt man einzelne Passwörter selbst gar nicht, sondern nur das Masterpasswort. Dann muss man zwar immer kurz nachschlagen, der Gewinn an Sicherheit ist aber enorm. Und bei einem Datenleck reicht es aus, das jeweilige Passwort zu verändern.
Fußnoten
[1] http://www.spiegel.de/netzwelt/web/dropbox-raeumt-datenleck-ein-einige-nutzer-muessen-passwoerter-aendern-a-1110394.html[2] https://www.welt.de/wirtschaft/webwelt/video176058522/Datenleck-Twitter-fordert-Millionen-Nutzer-zur-Aenderung-des-Passwortes-auf.html
Bilder
„Master lock, „r00t“ password“ by Scott Schiller is licensed under CC BY 2.0