Man weiß auch ohne den Bericht “Hacker-Angriff: Passwörter geklaut”, dass man unterschiedliche Passwörter verwenden soll. Außerdem sollen sie “stark” sein. Hier eine kleine Anleitung, wie man starke und merkbare Passwörter erstellt.
Folgende Kriterien sollte ein Passwort erfüllen:
- Mindestlänge – Allerallerunterstes Limit wären wohl heute 10 Zeichen. Aber eigentlich sollten es deutlich mehr sein…
- Kein Wort, das im Wörterbuch vorkommt
- Keine Daten, die man aus persönlichen Informationen rekonstruieren könnte (Social Reengineering)
- Keine obskuren Hollywood-“Verschlüsselungen” (Geburtsdatum umgedreht, ….)
- Großbuchstaben und Kleinbuchstaben abCDE
- Sonderzeichen wie &%$§!()[]
- Zahlen 1234567
Und hält man sich daran, dann kommt so etwas raus wie: y2y<NVD]bxI36JAAfZnZk-
Das ist natürlich total super, und klarerweise muss man sich hier für jeden Account ein eigenes Passwort anlegen, damit ein Einbruch bei einem Dienstleister nicht die anderen Konten kompromittiert.
Merkbar?
Nein, das sind solche Passwörter nicht. Jedenfalls nicht ohne einen kleinen Trick. Man merkt sich nicht das Passwort selbst, sondern eine möglich “merkwürdigen” Satz bzw. eine Passphrase. Beispiel
I eat Elephants only at night!
Und jetzt ersetzt man einige Buchstaben durch Zahlen oder Sonderzeichen. Man kann auch was weglassen, Hauptsache der Satz selbst bleibt irgendwie noch erhalten. Man erhält dann so etwas wie:
13AT3l30nly@n8!
Solange man seinen “merkwürdigen” Satz kennt, kann man selbst das Passwort rekonstruieren. Bleibt nur noch das Problem, dass ja jetzt für jedes Konto ein solches Passwort braucht. Hier kann man sich behelfen, indem man einen Buchstaben einfügt um daraus ein einzigartiges Passwort zu machen, Beispiel:
- 13AT3l3e0nly@n8! e für eBay
- 13AT3l3f0nly@n8! f für Facebook
- 13AT3l3w0nly@n8! w für Windows Live
- …
Oder besser zwei, idealerweise nicht mal nebeneinanderliegend: 13ATw3l3b0nly@n8! für Windows Blog, usw… Klar, das Risiko ist, dass jemand, der eines dieser Passwort hat, die “üblichen” erraten kann, darunter Facebook, Amazon, ebay (also Konten, die fast jeder Internetbenutzer hat). Ich würde zumindest derzeit das Risiko hierfür als gering einschätzen. Solange die Passwörter nicht automatisierbar ausnutzbar sind, lohnt sich der Aufwand (noch) nicht. Dennoch würde ich es subtiler machen als 13AT3l3facebook0nly@n8!
Die Alternative
Man nutzt Software wie Kee Pass [Artikel kommt bald]. Bloß: das beste Passwort nützt nichts, wenn der Anbieter das Passwort unverschlüsselt speichert und per unverschlüsselter E-Mail quer durchs Netz sendet. Beispiel:
Ein Grund mehr unterschiedliche Passworte zu verwenden!