So erstellen Sie ein starkes Passwort

Wie kann ein Passwort gehackt werden?

Es gibt viele Möglichkeiten, wie Cyberkriminelle Passwörter knacken oder anderweitig in ihren Besitz gelangen können. Zum Beispiel mit einer speziellen Software. Sie können ihr Opfer aber auch mit einer Phishing-Kampagne angreifen oder dessen Social-Media-Beiträge nach Hinweisen durchforsten. Häufig erwerben sie die Passwörter allerdings im Darkweb.

Dieser Artikel enthält:

Dieser Artikel enthält:

Alles anzeigen Security artikel

Dieser Artikel enthält:

Passwort-Hacking ist ein äußerst lukratives Geschäft. Wer ein- und dasselbe Passwort seit mehreren Jahren und für verschiedene Websites nutzt, ist mit großer Wahrscheinlichkeit schon einmal Opfer von Hacking geworden. Hacker stehlen Anmeldeinformationen von Benutzern, die durch Datenlecks offengelegt wurden, stellen alle Informationen in einer umfangreichen Liste zusammen und verkaufen diese an andere Cyberkriminelle.

Wenn Sie vorsichtig genug waren, sodass Ihre Passwörter nicht auf solchen Listen auftauchen, bleibt den Cyberkriminellen nur der Versuch, sie zu knacken. Sehen wir uns einmal die gängigen Passwort-Cracking-Methoden an. Danach wissen Sie, was ein besonders gutes und starkes Passwort ausmacht.

• Brute-Force-Angriff

  Bei einem Brute-Force-Angriff probieren die Hacker mithilfe einer leistungsstarken Automatisierungssoftware ein Passwort nach dem anderen aus, bis sie schließlich Ihres herausfinden. Brute-Force-Programme sind darauf ausgerichtet, in kürzester Zeit so viele Kombinationen wie möglich auszugeben, um das richtige Passwort zu finden.

  Im Jahr 2012 hat ein Hacker ein 25-GPU-Cluster vorgestellt, das 350 Milliarden mögliche Passwörter pro Sekunde generieren und in weniger als sechs Stunden ein achtstelliges Windows-Passwort knacken konnte (bestehend aus Groß- und Kleinbuchstaben, Zahlen und Symbolen). Mit diesem Cluster konnte er an die Passwörter von 90 % der LinkedIn-Benutzer gelangen.

  Seitdem gibt es eine deutliche Tendenz in Richtung längerer Passwörter. Jedes zusätzliche Zeichen führt zu einem exponentiellen Anstieg der möglichen Kombinationen. Je mehr Zeichen ein Passwort enthält, desto mehr Versuche benötigt ein Hacker. Beispielsweise würde es mehrere Hundert oder gar Tausend Jahre dauern, um Passwörter mit 15 oder mehr Zeichen zu knacken.

• Wörterbuchangriffe

  Wörterbuchangriffe sind eng mit Brute-Force-Angriffen verwandt. Anstatt allerdings zufällige Zeichenfolgen auszuprobieren, generieren die Angreifer Passwörter aus einer vordefinierten Menge von Wörtern. Wenn Ihr Passwort nur aus einem Wort besteht, können Sie schnell einem Wörterbuchangriff zum Opfer fallen.

  Wer seine Passwörter gerne aus gängigen Wörtern bildet, sollte zumindest mehrere Wörter zu einer Passphrase aneinanderreihen. Mit dieser Technik lassen sich starke Passwörter bilden, die vielen Wörterbuchangriffen standhalten können. Aber die Wörter dürfen in keinem Zusammenhang zueinander stehen, denn sonst wäre die Software in der Lage, die Passphrase zu knacken.

• Die Passphrase muss wahllos/willkürlich sein, sonst könnte die Software sie erraten.

• Phishing

  Etwas dezenter vorgehende Cyberkriminelle versuchen, ihren Opfern das Passwort mit einer hinterhältigen Methode namens Phishing zu entlocken. Phishing-Angriffe werden häufig per E-Mail ausgeführt. Die einschlägigen Nachrichten scheinen von einer vertrauenswürdigen Quelle zu stammen, z. B. von einer Bank, einer bekannten Website oder sogar von einem Vorgesetzten im eigenen Unternehmen. 

  In einer Phishing-E-Mail werden die Empfänger dazu aufgefordert, ihre Anmeldeinformationen auf einer Website einzugeben, die der Website des vermeintlichen Absenders nachempfunden ist. Solche Angriffe beruhen auf Social-Engineering-Techniken. Leider bemerken viele Phishing-Opfer erst zu spät, dass etwas schiefgelaufen ist.

  E-Mails sind allerdings nicht die einzige Methode für Phishing-Angriffe. Beliebt sind auch Telefonanrufe (und Telefon-Spoofing) sowie Textnachrichten und soziale Netzwerke. Dabei wird der Kontakt oft durch automatische Anrufe angebahnt, insbesondere wenn die Betrüger auf Kreditkarten- oder Bankkontobetrug aus sind.

Der Aufbau eines starken Passworts

Da wir jetzt wissen, wie Cracking funktioniert, können wir spezielle Passwörter erstellen, die sich diesen Techniken widersetzen. Beachten Sie aber, dass die Zusammensetzung des Passworts beim Phishing keine Rolle spielt. Hier liegt es einzig an Ihnen und Ihrer Aufmerksamkeit, den Betrugsversuch zu erkennen.

Zum Schutz vor Brute-Force- oder Wörterbuchangriffen möchten wir Ihnen drei Empfehlungen für besonders starke Passwörter geben. Wenn Sie sich besser vor Cracking schützen möchten, befolgen Sie beim Festlegen Ihrer Passwörter diese Regeln.

Vermeiden Sie einfache Passwörter

Verwenden Sie keine offensichtlichen oder typischen Passwörter. Die folgende kurze Liste enthält Passworttypen, die vermieden werden sollten:

• Zahlen- oder Buchstabenfolgen, z. B. „abcde“ oder „12345“

• Passwörter, die Ihren vollständigen oder einen Teil Ihres Benutzernamens enthalten

• Passwörter mit persönlichen Informationen, z. B. Ihr Geburtstag oder Ihre Heimatstadt

• Aneinanderreihungen sich wiederholender Zeichen, z. B. „aaaaa“ oder „0000“

• Passwörter, die lediglich „Passwort“ heißen. Ob Sie es glauben oder nicht, es gibt immer noch Benutzer, die dieses Passwort verwenden.

Persönliche Informationen haben in einem Passwort nichts zu suchen. Denn Social Media sei Dank ist es für Hacker recht einfach, an die grundlegenden Daten jeder beliebigen Person zu gelangen, und sie werden alles, was sie finden können, in ihren Cracking-Versuchen verwenden.

Wappnen Sie Ihr Passwort gegen Brute-Force-Angriffe

Wie weiter oben beschrieben, werden bei Brute-Force-Angriffen viele Zeichenkombinationen nacheinander durchlaufen, und zwar so lange, bis eine davon Ihrem Passwort entspricht. Mit den folgenden Passwortkonzepten können Sie sich vor dieser Gefahr schützen:

• Verwenden Sie mindestens 15 bis 20 Zeichen (je mehr, desto besser). Länge ist die beste Verteidigung. Jedes zusätzliche Zeichen erhöht die Anzahl potenzieller Kombinationen gewaltig, wodurch sich wiederum die Zeit, die für die Ermittlung des Passworts mittels Brute Force benötigt wird, erheblich verlängert.

• Verwenden Sie mehrere Zeichentypen. Dass immer öfter die Erstellung von Passwörtern mit einer Kombination aus Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen verlangt wird, hat seinen Grund. Denn Passwörter, die sämtliche Zeichentypen enthalten, lassen sich nicht so schnell knacken, weil sich die Anzahl der Möglichkeiten pro Zeichen maximiert.

• Vermeiden Sie gängige Zeichenvertauschungen. Hacker programmieren ihre Software so, dass sie typische Zeichenvertauschungen wie z. B. das Ersetzen von „O“ durch „0“ berücksichtigt. „4|_|_31|\|3“ ist also genau so leicht zu knacken wie „ALLEINE“ und die Verwendung von Leetspeak alleine reicht nicht mehr aus.

• Denken Sie sich etwas Besseres aus als QWERTZ. Gängige Buchstabenabfolgen auf der Tastatur wie qwertz oder asdf sind nicht schwerer zu knacken als richtige Wörter. Ein Passwort mit solchen Buchstabenkombinationen ist alles andere als sicher.

Verwenden Sie Passphrasen

Wappnen Sie sich gegen Wörterbuchangriffe und wählen Sie ein Passwort, das mehr enthält als ein leicht zu erratendes Wort. Durch Verkettung mehrerer Wörter erstellen Sie eine extralange Passphrase, die gegen Wörterbuch- und Brute-Force-Angriffe gleichermaßen resistent ist.

Achten Sie bei der Erstellung einer Passphrase darauf, dass die einzelnen Wörter keinen offensichtlichen Bezug zueinander haben. Denn einschlägige Software ist in der Lage, Zusammenhänge zu erraten, kommt bei zufällig ausgewählten Wörtern aber nicht weiter.

Schützen Sie Ihr Konto mit starken Passphrasen.

Die wirksamsten Passwortkonzepte (mit Beispielen für starke Passwörter)

Wir bei Avast haben ein bisschen Ahnung von Cybersicherheit. Nach jahrelanger Erfahrung wissen wir, warum bestimmte Passwörter schwieriger zu knacken sind als andere und wie man diese am besten erstellt.

Nachstehend stellen wir Ihnen einige unserer bevorzugten Methoden für die Erstellung sicherer Passwörter vor. Wenn Sie diese beherzigen, werden Sie jeden Hacker aufhalten, der Ihnen in die Quere kommt – ob Sie Ihre Anmeldeinformationen für Online-Services ändern oder wichtige Dateien und Ordner schützen möchten, die sich auf Ihrem PC befinden.

Die undurchschaubare Passphrase

Bei dieser Methode wird das Konzept der Passphrase um einige Sicherheitsstufen erhöht. Seien Sie cleverer als die Hacker und wählen Sie ungewöhnliche Wörter wie Eigennamen, historische Figuren, altertümliche Wörter oder Wörter aus verschiedenen Sprachen aus.

Als Erinnerungshilfe für Ihre neue Passphrase denken Sie sich dann eine Geschichte rund um die ausgewählten Wörter aus. Wenn Sie sich diese gut merken können, werden Sie nie in die Verlegenheit kommen, vergessene Passwörter wiederherstellen zu müssen. Ein noch stärkeres Passwort erhalten Sie, wenn Sie die Wörter durch Sonderzeichen (mit Ausnahme von Unterstrichen) voneinander trennen. Sie können auch Buchstaben gegen Sonderzeichen austauschen, sollten hierbei aber gängige Ersetzungen vermeiden.

Wie wäre es zum Beispiel mit dieser Passphrase: SunTzu-Cheesesteak-Transistor-Christmas-obrigado. Die Geschichte könnte lauten: Der große Militärstratege Sun Tzu hatte große Lust auf Cheesesteak-Sandwiches und bekam zu Weihnachten einen transistorgesteuerten Sandwich-Maker geschenkt, für den er sich auf Portugiesisch bedankte.

Der Satz

Diese Methode hat der Cybersicherheitsexperte Bruce Schneier erfunden. Bei ihr wird ein Satz nach einer selbst erfundenen Regel in ein Password umgewandelt. Sie könnten zum Beispiel die ersten beiden Buchstaben aller Wörter im Satz zu einem Passwort verbinden.

Aus dem Satz „Mein Lieblingsalbum von Bruce Springsteen ist eindeutig Nebraska“ würde dann MeLivoBrSp-iseiNe. Wie Sie sehen, haben wir zur Erhöhung der Sicherheit darauf geachtet, einen Satz auszuwählen, der sowohl Satzzeichen als auch mehrere Großbuchstaben enthält.

Das Muskelgedächtnis

Hier ist es weniger der Inhalt, sondern vielmehr der Vorgang des Tippens, der das Passwort besonders einprägsam macht. Mit dem Zufallsgenerator für Passwörter von Avast können Sie so lange zufällige Passwörter erstellen, bis Sie eines gefunden haben, das Sie ganz leicht und wie von selbst eingeben können. Und wenn es dann noch relativ leicht zu lesen und zu behalten ist – umso besser.

Wenn Ihnen ein Passwort vorgeschlagen wird, das Ihnen gefällt, üben Sie es so lange, bis seine Eingabe zur Routine wird. Bei der nächsten Anmeldung wissen Ihre Finger dann schon automatisch, was zu tun ist.

Jetzt müssen Sie nur noch dafür sorgen, dass Ihre schönen, starken neuen Passwörter auch geheim bleiben.

Sichern Sie Ihre E-Mails ab

Als Erstes sollten Sie sicherstellen, dass Ihre E-Mails nicht gefährdet sind. Mit dem Avast Hack Check finden Sie heraus, ob eines Ihrer Passwörter offengelegt wurde. Wenn ja, sollten Sie es schnellstmöglich ändern. Wenn Sie sich an den betroffenen Plattformen mit Ihrer E-Mail-Adresse anmelden, sollten Sie auch Ihr E-Mail-Passwort ändern.

Avast BreachGuard scannt das Darkweb und kann herausfinden, ob Ihre persönlichen Daten im Zuge eines Datenlecks offengelegt wurden. Datenpannen kommen immer wieder vor. Die gestohlenen Daten werden auf dem Schwarzmarkt häufig anderen Cyberkriminellen zum Kauf angeboten. Falls BreachGuard Ihre Daten findet, werden Sie sofort gewarnt, sodass Sie Ihre Passwörter unverzüglich ändern und Ihre Benutzerkonten schützen können.

Vertrauen Sie nicht jedem

Es ist mittlerweile eine gängige Praxis, dass Websites die Passwörter ihrer Benutzer verschlüsseln, sodass Hacker, denen der Zugriff auf die Datenbanken gelingt, die gestohlenen Informationen erst einmal entschlüsseln müssen. Websites, die Passwörter noch im Klartext speichern, haben im Internet von heute nichts verloren.

Dasselbe gilt für den Einsatz von HTTP bzw. HTTPS. Registrieren Sie sich auf keinen Fall mit ihren Anmeldeinformationen oder mit vertraulichen persönlichen Daten bei Websites, die nur auf HTTP basieren. Wenn Sie trotzdem einmal ein Benutzerkonto auf einer HTTP-basierten Website erstellen müssen, sollten Sie auf ein einmaliges Passwort zurückgreifen, das Sie nur für diesen einen Dienst verwenden.

Zwei-Faktor-Authentifizierung

Die Zwei-Faktor-Authentifizierung (2FA) und ihre erweiterte Variante, die Multi-Faktor-Authentifizierung (MFA), gehören mittlerweile zu den Standardsicherheitsverfahren, die einen zusätzlichen Schutz für Ihre Anmeldedaten bieten. Sollte ein Hacker an ein Passwort gelangen, muss er dann mindestens noch eine weitere Hürde überwinden, bevor er sich Zugang zu einem Benutzerkonto verschaffen kann. 

Zu den gängigen Authentifizierungsmethoden gehören Codes, die per SMS versendet werden, mobile Apps, Fingerabdruck- oder Gesichtserkennung sowie physische Token. Da Textnachrichten allerdings – wie der Angriff auf Reddit im Jahr 2018 gezeigt hat – von Hackern manipuliert oder abgefangen werden können, raten wir von der Zwei-Faktor-Authentifizierung per SMS ab.

Sicherheitsschlüssel und die FIDO-Allianz

Zu den sichersten Methoden der Multi-Faktor-Authentifizierung gehören physische Sicherheitsschlüssel. Sie sind als USB-, NFC- und Bluetooth-Versionen verfügbar und gewähren ausschließlich dem Inhaber des Schlüssels Zugang. Sie sind damit wesentlich sicherer als SMS – vorausgesetzt, der Schlüssel geht nicht verloren.

Die FIDO-Allianz hat sich der Multi-Faktor-Authentifizierung und der Entwicklung von Standards verschrieben. Nutzen Sie für eine starke Authentifizierung und einen zuverlässigen Schutz FIDO-geprüfte Dienste wie Google, PayPal und Amazon.

Sicherheitstipps für Ihre Passwörter

Machen Sie sich die folgenden bewährten Vorgehensweisen für die Passwortsicherheit zur Gewohnheit, um Ihre Anmeldesicherheit zu erhöhen:

• Surfen Sie in ungesicherten WLAN-Netzen per VPN, das heißt z. B. an Flughäfen oder in Cafés. Ein VPN schützt vor Eindringlingen, die Ihre Anmeldeinformationen abfangen können.

• Geben Sie Ihr Passwort nicht im Klartext weiter. Versenden Sie Ihr Passwort niemals per SMS oder E-Mail.

• Wählen Sie bei der Erstellung neuer Benutzerkonten schwer zu beantwortende Sicherheitsfragen aus. Denn im Internet gibt es eine Menge Informationen über Sie. Achten Sie bei der Auswahl von Sicherheitsfragen darauf, dass die Antworten nicht so leicht herauszufinden sind.

• Ändern Sie Ihre Passwörter regelmäßig. Sollten Hacker einmal an Ihre Anmeldeinformationen gelangen, können sie sie nicht verwenden, wenn Sie Ihr Passwort seitdem geändert haben.

• Speichern Sie Passwörter nie in Ihrem Browser. Falls Ihr Gerät einmal jemandem in die Hände fällt, öffnen Sie ihm sonst Tür und Tor. Im Browser gespeicherte Passwörter sind potenzielle Schwachstellen. Verwenden Sie immer einen sicheren Browser.

• Verwenden Sie ein starkes Antivirus-Programm. Wenn im schlimmsten Fall ein Hacker an Ihr Passwort gelangt, schützt Sie die beste Virenschutzsoftware vor Eindringlingen und Malware.

• Verwenden Sie einen Passwort-Manager. Wenn Sie, wie empfohlen, für jedes Benutzerkonto ein eigenes Passwort verwenden, können Sie dieses in einem vertrauenswürdigen Passwort-Manager sicher speichern. Mit dem in die Premium-Sicherheitssoftware von Avast integrierten Passwort-Manager speichern Sie Ihre Passwörter an einem sicheren Ort und schützen gleichzeitig Ihre Geräte und persönlichen Daten.

Wenn Sie diese Ratschläge befolgen, werden Sie nicht so leicht das Opfer von potenziellen Cyberkriminellen. Zu Ihrem persönlichen Schutz und zum Schutz Ihrer Daten sollten Sie immer starke und einmalige Passwörter verwenden, die schwer zu knacken sind.

Schützen Sie Ihre Benutzerkonten mit Avast BreachGuard

Wenn Ihr Benutzerkonto von einem Datenleck betroffen ist, hilft selbst das stärkste Passwort nicht weiter. Cyberkriminelle bieten die gestohlenen Daten häufig im Darkweb zum Kauf an. Avast BreachGuard überwacht kontinuierlich das Internet und kann erkennen, ob Ihre Daten im Zuge einer Datenpanne offengelegt wurden.

Schützen Sie Ihre Benutzerkonten mit starken, einmaligen Passwörtern, die schwer zu knacken sind – und erweitern Sie mit Avast BreachGuard den Schutz sogar noch.