Henning Uhle

Gerade erst wurde wieder einmal deutlich, wie groß die Sorglosigkeit vieler Internetnutzer ist. Es gibt ein wahres Passwort-Desaster, wie man zu hören bekommt. Dabei ist es eigentlich ganz einfach, seine Accounts so sicher wie möglich zu gestalten. Ich gebe zu, bei mir war das auch lange Zeit nicht der wichtigste Tagesordnungspunkt. Aber nun ja, wie sagt man? „Lernen durch Schmerzen“. Ich musste auch erst lernen, dass Daten ausgenutzt werden können, wenn man sie nicht ausreichend absichert. Und davon möchte ich gern erzählen.

Was für ein Passwort-Desaster!

Jahr für Jahr wird bekannt gegeben, welche Passwörter die beliebtesten im abgelaufenen Jahr waren. Und in Deutschland ist es Jahr für Jahr immer wieder ein und dasselbe: 12345, 123456, 123456789, hallo, qwertz, basteln, admin und so weiter und so fort. Ich denke mir das ja nicht aus. Das könnt ihr alles hier nachlesen. Denkt ihr da nicht auch, was das für ein Passwort-Desaster ist? Vielleicht seid ihr euch der ganzen Dimension auch gar nicht bewusst. Oder es ist euch egal.

Mir war es einige Zeit lang egal. Bis ich dann bei einem Freemailer (Davon gibt es ja eine ganze Menge) einen Einbruch in meinen Email-Account mitbekam. Das ist viele, viele Jahre her. Und das Email-Konto gibt es auch seitdem nicht mehr. Ich hatte es ja schließlich auch schon lang nicht mehr benutzt. Und das brachte mich dann eigentlich erst auf die Idee, über Passwort-Sicherheit und ähnliches nachzudenken. Ja, eigentlich schwach für jemanden, der „was mit IT“ macht.

Ich meine, ich hatte zwar immer etwas bessere Passwörter als die Beispiele da oben. Aber sie waren dann eben doch zu einfach zu entschlüsseln. Und wenn der Anbieter eines Dienstes auch keine Datensicherheit mitbringt, ist es eben ein Leichtes für Angreifer, in Accounts einzudringen. Und das sehe ich als das eigentliche Problem bei all dem Passwort-Desaster an. Es geht nicht darum, dass man Mails von „Oma Hilde“ zugänglich macht, sondern darum, was mit einem gekaperten Account passiert.

Was kann denn schon passieren?

Meine Mutter hatte immer gesagt: „Was wollen denn die von einer alten Frau?“ – Jaja, da stehst du da und ringst um Argumente. Als ich ihr dann aber bewiesen hatte, dass über den oben genannten Freemailer-Account Spam-Angriffe sonstwo hin vollführt wurden, kam sie dann doch ins Grübeln. Da wurden irgendwelche hanebüchene Mail-Angebote per Massenmail in der Menge, wie sie der Anbieter gerade noch zuließ, an Unmassen von Empfängern verschickt. Ohne mein Zutun.

Ich hatte ihr dann ein sicheres Passwort für ihren Email-Account eingerichtet. Für sie hatte sich ja nichts geändert. Aber so war der Account zumindest auf der sicheren Seite. Und nachdem ich von dem Freemailer den Account entfernt hatte und seitdem peinlichst genau auf Passwortsicherheit achte, kommt so ein Passwort-Desaster bei mir nicht mehr so sehr vor. Es gibt keine absolute Sicherheit, aber im Moment hat man relative Ruhe.

Am Ende ist es aber tatsächlich so, dass so Angreifer, die irgendwelche Accounts kapern, kein Interesse an „Oma Hilde“ haben. Die wollen weitere Accounts für ihre Spielchen. Und wer weiß, vielleicht ist da auch mal eine Ransomware-Attacke darunter. Die gilt dann nicht dem eigentlichen Inhaber des Accounts, sondern einem bestimmten Opfer. Wie Supermarkt-Inside neulich erzählt hat, werden solche Angriffe gegenüber Händlern in letzter Zeit immer häufiger.

Und es ist doch immer oder meistens so, dass ungenügend abgesicherte Accounts der Grund dafür sind, dass solche Angriffe überhaupt möglich sind. Unternehmen und Organisationen etc. sollen und müssen sich absichern. Gerade in der Vorweihnachtszeit nahm das Ganze Thema überhand. Und viele dieser Angriffe können stattfinden, weil es zu wenig Sensibilität beim Thema Passwort-Desaster gibt.

Gut gebrüllt, Löwe! Und nun?

Wir können natürlich jetzt alle hergehen und unsere Passwörter ändern. Beim jeweils neuen Passwort hauen wir wie die Bekloppten auf Tastaturen herum und speichern uns diese neuen, völlig absurden Passwörter nirgends. Wie gut würde das Alles funktionieren? Besser ist es doch, über sinnvoll anwendbare Dinge nachzudenken. Darüber gibt es unzählige Artikel und Anleitungen und all das im Internet. Für mich persönlich hat sich aber eine Kombination aus folgendem bewährt:

• kein allzu kompliziertes Passwort (sinnvolle Buchstaben + irgendeine merkbare Zahlenkombi + ein sinniges Satzzeichen), meinetwegen: Berta Schmidt und Hans Schmidt sind seit 1974 verheiratet. Als Passwort wäre das vielleicht: BSHS.1974. Reicht aus.
• Ein Passwort-Manager, den man auch gut benutzen kann. Da gehen die Meinungen sehr stark auseinander. Aber ich schrieb ja schon mal, dass auch der Chrome Browser als solcher taugt, zumindest besser als nix.
• Und wo es geht, die 2-Faktor-Authentifizierung aktivieren. Das ist bei den jeweiligen Diensten meistens gut erklärt.

Wie gesagt: Das funktioniert bei mir. Bei euch kann das ganz anders sein. Ob ihr dann von Zeit zu Zeit das Passwort erneuern wollt, ist eure Sache. Nehmt aber für jeden Dienst ein eigenes Passwort. So bekommt ihr vielleicht halbwegs das Passwort-Desaster in den Griff. Gerade in Zeiten von einem wieder erstarkten Emotet und einer unüberschaubaren log4j-Nummer sicher nicht ganz blöd. Aber seid nicht immer so sorglos. Wer weiß, wer alles irgendwas in eurem Namen tut? Seid vorsichtig!