Wie Sie ihre Passwörter vor Betrügern schützen können
Weniger als eine Sekunde benötigen Hacker mit der richtigen Software, um „admin“, das gängigste Passwort in Österreich, zu knacken. Doch es gibt Wege, um sich und seine Daten zu schützen.
Wann haben Sie ihre Passwörter für wichtige Zugänge, wie Bankkonten, das letzte Mal geändert? Auf wie vielen Accounts verwenden Sie das gleiche Passwort? Und wie leicht können Ihre Passwörter mit Ihnen in Verbindung gebracht werden, weil sie persönliche Informationen aus Ihrem Leben enthalten?
Heute ist der perfekte Tag, um sich über solche Fragen Gedanken zu machen. Denn der 1. Februar ist der internationale „Ändere dein Passwort“-Tag.
Fakt ist: „Es gibt kein sicheres Passwort“, stellt Josef Pichlmayr, Obmann von Cyber Security Austria (CSA), klar. Es könne noch so lange und kompliziert sein, vor Datendiebstahl auf nachgebauten Websites, vom eigenen Rechner (etwa durch einen Keylogger) oder durch die Betreiber diverser Dienste (zum Beispiel Soziale Netzwerke) sei man nie ganz gefeit.
Cyber Security Austria
CSA ist ein gemeinnütziger, unabhängiger und überparteilicher Verein, der 2012 zur Förderung der Sicherheit der österreichischen Infrastruktur ins Leben gerufen wurde. Ziel der CSA ist die Schaffung von Bewusstsein, Lösungen für organisatorische und nicht technische Probleme, sowie Grundlagen für ein an die Bedrohung angepasstes staatliches Krisenmanagement.
Auch wenn es das perfekte Passwort nicht gibt, kann man versuchen, sich so gut wie möglich zu schützen. Worauf Userinnen und User besonders achten sollten und welche Optionen es gibt, die Sicherheit zu erhöhen, erklärt der CSA-Obmann:
Worauf sollte man besonders achten?
Da gibt es leider schon eine ganze Menge an Dingen. Verwenden Sie keine Passwörter, die Sie bereits für andere Dienste nutzen oder genutzt haben, auch wenn sie glauben, dass diese stark sind und Sie sich dieses leicht merken können. Vermeiden Sie Wiederholung oder einen „Universalschlüssel“ – wenn Sie überall das gleiche Passwort verwenden, hat Sie ein geübter Angreifer schwer am Haken. Seien Sie vorsichtig bei der Eingabe von Passwörtern auf Webseiten und stellen Sie sicher, dass diese vertrauenswürdig sind (Achtung vor Pishing-Versuchen).
Wie sieht das perfekte Passwort aus?
Bei der Auswahl Ihrer Passwörter sollten Sie vorhersagbare Muster vermeiden. Auch Geburtsdaten, Vornamen aus dem Familienumfeld, Marke des eigenen Autos oder ähnliches sollten vermieden werden. Ein starkes Passwort sollte mindestens 12 Zeichen lang sein und eine Mischung aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen enthalten. Je länger und komplexer das Passwort, desto schwieriger ist es für Angreifer, es zu erraten oder zu errechnen.
Wie kann man sich schützen?
Absolut empfehlenswert sind Zwei-Faktor-Authentifizierungen (2FA). Aber Achtung: Eine SMS-basierte 2FA kann anfällig für SIM-Swap-Betrug sein. Wenn Sie auf Nummer sicher gehen wollen, sollten Sie Authentifizierungs-Apps (zum Beispiel Google Authenticator oder Authy) oder physische Sicherheitsschlüssel (wie etwas YubiKey) in Betracht ziehen. Vermeiden Sie die Verwendung öffentlicher oder unsicherer WLAN-Netzwerke für vertrauliche Transaktionen. Wenn Sie öffentliche Netzwerke nutzen müssen, verwenden Sie ein VPN (Virtual Private Network), um Ihre Daten zu verschlüsseln. Wichtig zu wissen ist außerdem, dass viele Passwort-Wiederherstellungsmechanismen über E-Mail laufen! Das heißt, auch Ihr E-Mail-Konto sollte mit starken Passwörtern und 2FA gesichert werden.
Wie oft sollte man sein Passwort ändern?
Man sollte seine Passwörter regelmäßig ändern, auch wenn es keine Hinweise auf eine mögliche Kompromittierung gibt. Das steht natürlich in krassem Widerspruch zur Nutzererfahrung und unserem Verhalten, weshalb sich Passwort-Safes wirklich bewährt haben und eine sehr gute Hilfestellung bieten.
Welche Vorkehrungen sollte man treffen?
Achten Sie auf Ihre Systeme. Stellen Sie sicher, dass Ihr Browser und Ihr Betriebssystem, aber auch Ihre Sicherheitssoftware (wie Antivirenprogramme und Firewalls), immer auf dem neuesten Stand sind. Seien Sie vorsichtig, welche persönlichen Informationen Sie online teilen. Angreifer können diese Informationen verwenden, um Ihre Sicherheitsfragen zu beantworten oder Passwörter zu erraten. Bookmarken Sie am besten jene Seiten der von ihnen genutzten Dienste, auf denen erklärt wird, wie Sie in so einem Fall am besten vorgehen – das spart Zeit und hilft ihnen rasch dagegen vorgehen zu können. Und spielen Sie gedanklich einmal das Szenario durch, was es für Sie bedeuten würde, wenn Ihre Passwörter gestohlen und Sie aus Ihren Anwendungen „ausgeschlossen“ werden würden.
Empfehlungen amerikanischer Experten
Expertinnen und Experten des National Institute of Standards and Technology (NIST) beschäftigten sich ebenfalls intensiv mit Passwörtern und deren Sicherheit. Im Bericht „NIST Special Publication 800-63B“ aus dem Jahr 2017 wurden Empfehlungen ausgesprochen, wie man sich in der virtuellen Welt entsprechend schützen kann. Die Komplexität der Passwörter, eine Mehr-Faktor-Authentifizierung und die Nutzung eines Passwort-Managers decken sich mit den Ratschlägen der CSA. Zusätzlich empfiehlt das NIST, im Vorfeld zu überprüfen, ob die Passwörter zu simpel sind beziehungsweise schon einmal Teil eines Datenleaks waren. Dieser Check lässt sich beispielsweise auf experte.de/passwort-check durchführen. Unternehmen empfiehlt das Institut außerdem, keine Passwort-Hinweise zuzulassen.
Zum Ändern der Passwörter rät das NIST maximal einmal im Jahr. Bei einer höheren Frequenz würden die Leute dazu tendieren, nur Kleinigkeiten wie einzelne Zahlen zu verändern. Damit hätten Hacker keine großen Probleme. Also: Wann haben Sie Ihre Passwörter zum letzten Mal geändert?
Die beliebtesten Passwörter Österreichs
- admin (Weniger als 1 Sekunde*)
- isabella (3 Stunden)
- 123456 (Weniger als 1 Sekunde)
- Gerhard13 (19 Stunden)
- isildur15 (1 Tag)
NordPass, Anbieter einer Passwortmanagementsoftware, ermittelt seit 2019 die gängigsten Passwörter - unter anderem auch für Österreich. Die Informationen für die Auswertung stammen aus einer 4,3 Terabyte großen Datenbank „aus öffentlich zugänglichen Quellen, mitunter aus dem Dark Web“.
*Schätzwert, wie lange ein Angreifer bzw. eine Hacker-Software benötigt, um das Passwort zu knacken.
Begriffserklärungen
Keylogger: Protokolliert die Eingaben des Benutzers an der Computer-Tastatur und wird somit zum Datendiebstahl genutzt. Kann entweder via Software auf dem Rechner platziert werden, oder via Hardware - also beispielsweise mittels eines USB-Sticks.
Passwort-Safe/Passwort-Manager: Ein Programm, dass alle Passwörter in einer Art virtuellen Safe aufbewahrt. Bietet den Vorteil, komplizierte Passwörter zu vergeben, da man sie sich nicht mehr merken muss. Wichtig ist, dass der Zugang zum Passwort-Manager möglichst sicher ist.
Pishing: Mithilfe von Täuschungsmanövern wird versucht, an die Zugangsdaten von Nutzern zu gelangen. Dazu werden beispielsweise Phishing-E-Mails verschickt, die Nutzer dazu auffordern, ihr Passwort auf einer - natürlich gefälschten - Website einzugeben.
SIM-Swap-Betrug/SIM-Swapping: Einem Betrüger gelingt es, die Kontrolle über eine Telefonnummer zu erlangen, indem er die Identität des Opfers annimmt und dessen Mobilfunkanbieter dazu bringt, die Nummer auf eine SIM-Karte zu übertragen, die er besitzt. Auf folgende Warnsignale sollten Sie achten: Seltsame SMS-Nachrichten, Anrufe bzw. Datendienste funktionieren nicht mehr, Ungewöhnliche Social-Media-Posts, Kontosperrungen, Unerwartete Transaktionen.
Virtuelles Privates Netzwerk (VPN): Eine VPN-Verbindung verbindet dich sicher mit dem Internet. So wird dein gesamter Datenverkehr über das VPN verschlüsselt. Außerdem schützt es deine Identität im Internet durch die Verschleierung deiner IP-Adresse und ermöglicht dir die sichere Nutzung öffentlicher WLAN-Hotspots.
Zwei-Faktor-Authentifizierung/Multi-Faktor-Authentifizierung: Eine Zugangsberechtigung muss mindestens über zwei unabhängige Faktoren erteilt werden. Bei regulären Logins ist einer davon normalerweise ein Passwort („Wissen“). Weitere sind der „Besitz“, also beispielsweise ein Token, Smartphone oder auch die Bankomatkarte, und die „Inhärenz“. Dazu zählen zum Beispiel biometrische Merkmale wie der Fingerabdruck oder die Gesichtserkennung.
Mehr zur Cyberkriminalität
