Passwörter vs. Passphrasen: Der Kampf beginnt!

Willkommen, Kampffans, zum Hauptkampf des Abends — der Schwergewichts-Meisterschaft der Kontosicherheit! In der roten Ecke der Publikumsliebling: PASSWORT. Und in der blauen Ecke der furchtlose, kraftvolle Herausforderer: PASSPHRASE. Für die vielen Fans vor Ort und die Millionen Zuschauer weltweit: let’s get ready to ruummmmmmmmble!

Passwörter

Ein Passwort sollte (tut es aber oft nicht!) aus 12 oder mehr Groß- und Kleinbuchstaben bestehen, kombiniert mit verschiedenen Symbolen und Zahlen. Laut einer Studie des Georgia Tech Research Institute (GTRI) aus dem Jahr 2010 gilt: Je kürzer das Passwort, desto leichter lässt es sich knacken. Die Studie zeigte, dass ein zufälliges 12-Zeichen-Passwort Codebreaking- und Cracking-Software standhalten konnte. Passwörter sollten außerdem stark und komplex sein — mit Groß- und Kleinbuchstaben sowie alphanumerischen Zeichen —, um die Stärke zu erhöhen und Brute-Force-Angriffen sowie dem Erraten besser zu widerstehen. Am Ende kann allerdings jedes Passwort kompromittiert werden.

Passphrasen

Eine Passphrase ist deutlich länger als ein typisches Passwort — und liegt damit weit außerhalb der Brute-Force-Gefahrenzone — und enthält Leerzeichen zwischen den Wörtern. Sie könnte etwa so aussehen: „Je komplexer Ihr Passwort ist, desto besser!“ Eine Passphrase darf Buchstaben, Symbole und Zahlen enthalten und muss weder ein korrekter Satz noch grammatikalisch einwandfrei sein. Ihr Deutschlehrer aus der Schule könnte sich gekränkt fühlen — aber das ist ein kleiner Preis für robuste Sicherheit, oder?

Und der Gewinner ist…

Passphrasen mit einem K.O. in der ersten Runde! Der Grund ist einfach: Endbenutzer — die in der Informationssicherheit immer das schwächste Glied der Kette bleiben werden — sind ziemlich schlecht darin, lange, starke Passwörter zu wählen. Tatsächlich empfehlen die aktuellen NIST-Richtlinien nicht mehr, das Passwort alle paar Monate zu ändern, weil Benutzer dann eher schlechtere als bessere Passwörter wählen. Im Vergleich zu einem Passwort ist eine Passphrase für Endbenutzer leichter zu erstellen und oft deutlich leichter zu merken.

Warum nutzt nicht jeder Passphrasen?

Der Grund, warum kaum jemand Passphrasen nutzt: Nun ja, das Konzept ist noch neu, und alte Gewohnheiten lassen sich schwer ablegen. Überlegen Sie: Können Sie eine einzige Website nennen, die nach einer Passphrase statt nach einem Passwort fragt? Ich wette, Ihnen fällt nichts ein. Unser Gehirn wurde lange darauf trainiert, an Passwörter zu denken — nicht an Passphrasen. Über die Jahre hat uns die Software oder das System, auf das wir zugreifen wollten, oft angeschrien, wenn wir ein Leerzeichen setzen wollten: KEINE LEERZEICHEN!

Aber es ist nie zu spät für bessere Gewohnheiten — und hoffentlich steuern wir auf eine Zukunft zu, in der Passphrasen überall sind und Passwörter oldschool wirken.

Immer stärker mit Zwei-Faktor-Authentifizierung (2FA)

Wichtig ist auch: Sich allein auf Passphrasen oder Passwörter zu verlassen reicht nicht, um vollständig gegen Hacker, Phishing und andere Versuche geschützt zu sein, die Authentifizierung zu umgehen. Deshalb ist es klug, 2FA als zusätzliche Sicherheitsschicht für Ihre Konten hinzuzufügen. Man kann nie zu sicher sein, oder?

Wie sieht es in Ihrer Organisation aus?

Nutzt Ihre Organisation Passphrasen statt Passwörter? Teilen Sie Ihre Erfahrung mit den Endbenutzern, mit denen Sie arbeiten. Ändern sie ihr Verhalten, um Teil der Cybersicherheitslösung zu sein — oder verbringen Sie viel Zeit damit, sie davon abzuhalten, das schwächste Glied in der Kette zu sein? Kommentieren Sie unten.