Wie sicher ist Ihr Passwort?
Ist es zu kurz oder zu einfach?
Spezialisten der amerikanischen Cybersecurity Firma Hive Systems haben ihre jährlich erscheinende Tabelle zur Sicherheit von Passwörtern aktualisiert und in der Version 2023 veröffentlich.
In der Tabelle werden die Zeiten angezeigt,
welche benötigt werden, um die Passwörter in den unterschiedlichen Längen und Komplexitäten zu „knacken“. Passwörter werden typischerweise nicht im lesbaren „Klartext“ übermittelt, z.B. beim Einloggen ins Webmail oder bei einem anderen Onlinedienst. Passwörter werden als HASH-Wert übermittelt. Ein solcher HASH-Wert maskiert das eigentliche Passwort mit einer nicht mehr lesbaren Zeichenfolge, z.B. 5f4dcc3b5aa765d61d8327deb882cf99. Der Onlinedienst, welcher das Passwort kennt, kann mit dem HASH-Wert vergleichen und sicherstellen, dass das korrekte Passwort eingegeben wurde. In der Datenbank des Onlinedienstes liegen nur diese HASH-Werte. Es ist nicht möglich, diese Werte direkt in die Passwörter zurückzuwandeln.
Gelangen Hacker an eine solche Datenbank mit Werten, beginnt der eigentliche Brute-Force-Angriff. Da die Werte nicht zurück in Passwörter gewandelt werden können, müssen die Angreifer andere Wege finden. Hacker bedienen sich dabei an leistungsstarken Grafikkarten (GPUs) welche üblicherweise in Gaming-Computer zum Einsatz kommen. Mittels diesen GPUs können die Hacker beliebige Zeichenketten (Passwörter) generieren und aus diesen einen HASH-Wert errechnen. Den errechneten Wert vergleichen sie mit dem gespeicherten Werten in der Datenbank. Stimmen zwei HASH-Werte überein, so ist das ursprüngliche Passwort „geknackt“. Die Tabelle zeigt eindrücklich, welchen Unterschied die Komplexität und besonders die Länge der gewählten Passwörter, auf die Sicherheit ausmachen kann.
Quelle: https://www.hivesystems.io/password (Englisch)
Wie kann ich mich schützen?
Mit genügend Zeit sind auch lange und komplexe Passwörter knackbar. Eine garantierte Sicherheit gibt es nicht. Achten Sie darauf, dass Webdienste eine Multifaktor-Authentifizierung verwenden. Beispielsweise mit einem Code auf das Smartphone, oder eine SMS-Nachricht. Auch wenn das Passwort geknackt wurde und eine unbewilligte Anmeldung durchgeführt wird, muss der Wert aus dem zweiten Faktor (SMS, Code, o.ä.) eingegeben werden. Passwort-Manager, welche automatisch langen und komplexen Passwörter generieren, können bei Diensten ohne Multifaktor-Authentifizierung helfen.
Sie haben Fragen zu diesem Thema? Dann kontaktieren Sie uns, wir unterstützen Sie gerne.
Telefonisch unter 031 990 10 10 oder per E-Mail an
Ihr ComSet Team