Accessbox · Sicherheit
Warum dieses Passwort leicht zu erraten ist
Accessbox hat dieses Passwort markiert, weil es aus gewöhnlichen Wörterbuchwörtern besteht. Es funktioniert weiterhin, und nichts wurde geändert. Doch wenn eine Website, die es speichert, von einer Datenpanne betroffen ist, lässt sich ein solches Passwort viel schneller knacken, als es aussieht. Hier erfahren Sie, warum, und was Sie tun können.
Funktioniert mein Passwort noch?
Ja. Accessbox hat nichts geändert, und das bedeutet nicht, dass Ihr Konto gehackt wurde. Die Warnung betrifft den Aufbau des Passworts, nicht etwas, das damit passiert ist.
Worin besteht das eigentliche Risiko?
Nicht darin, dass jemand auf der Anmeldeseite rät. Websites blockieren das nach wenigen Fehlversuchen.
Das Risiko ist eine Datenpanne. Die meisten Websites speichern nicht Ihr Passwort selbst, sondern eine umgewandelte Version, die sich nicht in das Original zurückverwandeln lässt. Wird eine Website gehackt, können Angreifer eine Kopie dieser umgewandelten Passwörter mitnehmen und versuchen, sie auf ihren eigenen Computern zu knacken. Sie raten ein Passwort, wandeln es auf dieselbe Weise um und prüfen, ob es übereinstimmt. Es gibt keine Sperre, kein Limit und niemanden, der zusieht. Sie können Milliarden von Versuchen unternehmen und beginnen mit den wahrscheinlichsten, etwa mit Alltagswörtern.
Ein schwer zu erratendes Passwort sorgt dafür, dass jeder dieser Versuche weniger bringt.
Warum sind Wörter leicht zu erraten?
Angreifer raten nicht Buchstabe für Buchstabe. Sie probieren ganze Wörter, dann Wortpaare und dann dieselben Wörter, in denen Buchstaben durch Zahlen und Symbole ersetzt sind.
Ein Passwort aus Alltagswörtern kann lang aussehen. Für einen Angreifer sind es nur ein paar Griffe ins Wörterbuch. Buchstaben durch Symbole zu ersetzen, etwa 3 für e oder 0 für o, hilft kaum. Auch diese Ersetzungen probieren Angreifer aus.
Das Problem sind nicht die Wörter an sich. Auch Accessbox verwendet Wörter, wählt sie aber zufällig aus einer großen Liste, statt die zu nehmen, die einem gerade einfallen. Menschen wählen gern vertraute Wörter in vertrauter Reihenfolge, und genau das probieren Angreifer zuerst. Bei zufällig gewählten Wörtern muss ein Angreifer jede Kombination durchprobieren, und Accessbox kann genau zählen, wie viele es gibt.
Wie lange würde das dauern?
Jedes zufällige Zeichen vervielfacht die Zahl möglicher Passwörter um den Faktor 94, eins für jeden Buchstaben, jede Ziffer und jedes Symbol, das ein Angreifer ausprobieren muss. Deshalb machen ein paar zusätzliche Zeichen so viel aus.
Wie schnell Angreifer raten können, hängt davon ab, wie sorgfältig die Website ihre Passwörter umgewandelt hat. Welche Art von Website Sie vor sich haben, erfahren Sie erst nach einer Datenpanne. Gehen Sie daher sicherheitshalber vom schlimmsten Fall aus.
| So schwer zu erraten wie | Nachlässige Website | Sorgfältige Website |
|---|---|---|
| 4 zufällige Zeichen | Sofort | Etwa 2 Stunden |
| 5 zufällige Zeichen | Sofort | Etwa eine Woche |
| 6 zufällige Zeichen | Sekunden | Etwa 2 Jahre |
| 8 zufällige Zeichen | Stunden | Tausende Jahre |
| 10 zufällige Zeichen | Etwa 17 Jahre | Millionen Jahre |
| 12 zufällige Zeichen | Über 100.000 Jahre | Länger, als das Universum existiert |
Das sind die Zeiten, um alle möglichen Passwörter durchzuprobieren. Im Durchschnitt finden Angreifer das Passwort in etwa der Hälfte dieser Zeit.
Bedeutet keine Warnung, dass ein Passwort sicher ist?
Nicht unbedingt. Accessbox erkennt einige der Abkürzungen, die ein Angreifer nutzen würde. Findet es eine, sagt es Ihnen Bescheid. Findet es keine, ist das kein Versprechen, dass das Passwort stark ist. Es bedeutet nur, dass Accessbox keinen einfachen Weg hinein gefunden hat.
Was sollte ich tun?
Öffnen Sie die Karte und tippen Sie auf Passwort-Aktualisierungsassistent, um das Passwort auf der Website zu ändern, oder tippen Sie auf Neues Passwort generieren, damit Accessbox eines erstellt.
Wenn Sie dieses Passwort selbst eingegeben haben, deaktivieren Sie zuerst Passwort wie eingegeben behalten, damit Accessbox ein neues erstellen kann.
Was, wenn die Website keine Änderung zulässt?
Das ist in Ordnung. Manche Websites machen es schwer, ein Passwort zu ändern. Am wichtigsten ist, dieses Passwort nirgendwo sonst zu verwenden. Manche Websites speichern Passwörter nachlässig, und wenn eine davon von einer Datenpanne betroffen ist, ist kein Passwort stark genug. Wenn jede Website ihr eigenes Passwort hat, kann eine Datenpanne bei einer Website Ihre anderen Konten nicht öffnen.