Mit einem sicheren Passwort gegen Hacker

Moment: Wenn dieses Verfahren narrensicher ist – welchen Sinn hat es dann überhaupt, ein Passwort zu verwenden? 🤨

Das Geheimnis liegt in der Anzahl der Passwörter, die getestet werden müssen. Je grösser diese ist, desto mehr Zeit wird der Angreifer brauchen, um dein Passwort zu finden.  Deshalb wird ein Angreifer bei seiner Offensive oft die exotischen Buchstaben (ÿ, ù, µ usw.) weglassen. Wenn man nur die häufigsten Buchstaben in einem Passwort verwendet, kann man die Anzahl der zu testenden Passwörter drastisch reduzieren und trotzdem effektiv bleiben.

Die Anzahl der möglichen Passwörter der Länge L für ein Alphabet der Grösse N wird durch die folgende Formel veranschaulicht: Anzahl der Passwörter = N^L.

Beispielsweise beträgt die Anzahl der Passwörter mit zwei Zeichen, wenn man nur die 26 Kleinbuchstaben a–z des lateinischen Alphabets berücksichtigt, 26² = 676.

Wenn man auch Passwörter mit 3 Zeichen berücksichtigen will, muss man zu dieser Zahl die entsprechende Anzahl an Passwörtern addieren:

Anzahl der Passwörter mit 2 oder 3 Zeichen = 676 + 26³ = 676 + 17'576 = 18'252.

Und so geht es weiter, indem man den Wert für 4 Zeichen (26⁴ = 456'976), 5 Zeichen (26⁵ = 11'881'376) usw. addiert.

Man sieht, dass man sehr schnell auf riesige Zahlen kommt: mehr als 8 Milliarden, selbst wenn man nur Passwörter mit einer Länge von bis zu 7 Zeichen betrachtet, die nur die 26 Kleinbuchstaben unseres Alphabets enthalten. Wenn wir auch die Grossbuchstaben und alle Zahlen verwenden, kommen wir auf über 3 Billionen (!) zu testende Passwörter.

Um dem entgegenzuwirken, kann ein Angreifer Wortlisten verwenden, um den Prozess zu beschleunigen. Er kann zum Beispiel alle Wörter des deutschen Rechtschreibdudens (etwa 148'000) oder alle Passwörter mit einer bestimmten Form testen, z. B. ein Grossbuchstabe gefolgt von Kleinbuchstaben und Zahlen. Diese Verfahren können die Entschlüsselungszeit je nach Passwort deutlich beschleunigen.

Deshalb ist es wichtig, ein Passwort zu wählen, das nicht nur kompliziert, sondern auch unvorhersehbar ist. So kann ein Angreifer keine beschleunigenden Verfahren einsetzen und muss alle Kombinationen durchprobieren.

Heutzutage sind Websites so intelligent gestaltet, dass sie wiederholte Anmeldeversuche blockieren, und können eine Wartezeit vorschreiben, bevor ein neues Passwort versucht wird. Dies macht einen Brute-Force-Angriff auf die betreffenden Websites praktisch unmöglich, da es die Versuche auf einige Dutzend pro Stunde beschränken kann.

Jeden Tag werden Dutzende von Websites gehackt und Listen mit Millionen von E-Mail-Adressen und Passwort-Hashes ins Netz gestellt. Dies ist eine Goldgrube für Hacker, die direkt einen Brute-Force-Angriff auf die Hashes durchführen können, ohne auf die entsprechenden Websites zugreifen zu müssen. So können sie die Schutzmechanismen umgehen, welche die Anzahl der Versuche begrenzen.

Der Brute-Force-Angriff auf einen Hash folgt mehr oder weniger dem gleichen Prinzip wie der Versuch, sich direkt auf der Website einzuloggen: Man generiert alle möglichen Passwörter, hasht sie und vergleicht sie mit den Hashes, die in den geleakten Listen zu finden sind. Wenn man denselben Hash für ein Passwort findet, ist die Wahrscheinlichkeit sehr hoch, dass man das Passwort des Nutzers gefunden hat. Wenn er dieses auch auf anderen Websites verwendet, hat man nun Zugang zu seinem Konto auf allen Websites, auf denen er angemeldet ist.

Dies bedeutet, dass man nicht nur ein sicheres Passwort haben muss, sondern ein anderes sicheres Passwort für jedes Konto, falls einer der Hashes durchsickert und entschlüsselt wird. Einige wenige Websites speichern zudem die Passwörter ihrer Nutzer immer noch im Klartext, also ohne sie zu verschlüsseln. Ein Grund mehr, für all deine Konten unterschiedliche Passwörter zu setzen!