Man müsste halt eigentlich überall unterschiedliche Passwörter haben, die möglichst lange sind. Ich denke grundsätzlich kommt es nicht drauf an ob Satz oder Zeichenwirrwarr, so lange beides lange genug ist. Ich denke Sätze sind eigentlich, wenn die Passwortlänge unbeschränkt ist, besser, weil einfacher zu merken. Damit ich einen 16-stelligen Zeichenwirrwarr (sagen wir Buchstaben gross+klein und zahlen, also 62^16 Möglichkeiten) auswendig kann muss ich es schon jeden Tag eintippen, ein schlauer Merksatz (sagen wir 10-20 Wörter, am besten im lokalen Dialekt und ohne irgendwelche möglicherweise auch dafür vorhandenen Rechtschreibkonventionen zu beachten, mit Satzzeichen und ein paar Zahlen, die einen reellen, aber nicht persönlichen, Bezug haben, um sie bei Bedarf nachschlagen zu können) merke ich mir viel leichter.
Beispiele für sichere Passwortsätze:
- Es git e Huufe verschednigi Elemänt, zum Bischbel die us dr zwöite Hauptgruppe: Be, Mg, Ca, Sr, Ba, Ra.
- Ich ha mi eigetlech no nie für Gschicht interessiert, bsondrs ned do drfür, dass dr Napoleon am 15.08.1769 in Korsika gebore isch und am 5.5.1821 uf St. Helena gstorbe isch.
So etwas kann ich mir leicht merken (abgesehen von den Elementen, den Daten und den Orten, aber die kann man ja im Zweifelsfall nachschauen) und es gibt eine riesige Anzahl Möglichkeiten. So ein Passwort kann, denke ich, getrost als sicher angesehen werden. Weder durch Bruteforce noch durch Wörterbuchattacken sollte man solche Passwörter knacken können.
Da liegt der schwächste Punkt dann wo anders: Man darf auch hier eigentlich nicht das selbe Passwort zweimal verwenden.Man kann problemlos für wirklich wichtige Dinge solche Passwörter machen (Server, Geldsachen, e-Mail-Adressen, die man im Zusammenhang mit solchen Dingen verwenden, usw.) und keins doppelt verwenden, aber wenn man sich schnell irgendwo anmelden muss, um z. B. etwas herunterzuladen ist der Aufwand zu gross.
Für solche eher unwichtigen Dinge, für die man Psswörter en masse braucht, fallen mir zwei Strategien ein:
- Man nimmt einfach irgendein langes Passwort, an das man sich später nicht mehr erinnern können muss (z. B. 50 Stellen Zeichensalat). Zuhause kann man dann einen Passwortmanager verwenden, den die meisten Browser ja eingebaut haben und wenn man das Passwort unterwegs einmal braucht lässt man sich das Passwort halt zuschicken, das ist ja meistens kein grosses Problem.
- Man nimmt den Domain-Namen oder den Namen des Angebots und kombiniert es irgendwie, wobei aber <Domain><passwort> oder <Second Level Domain><passwort><Top Level Domain> nicht besser sind als <passwort> alleine, wenn jemand ein Passwort hat, hat er immer noch alle. Damit man <passwort> bei unterschiedlichen Diensten gleich lassen kann, nimmt man am besten den Hash aus einer Kombination. "gp2x.ente123.de" ergäbe so etwa, wenn man md5 verwendet "da0bbbfd4c31925996a239a6e11c1423"
Wenn jemand diesen Hash hat kommt er davon nicht auf das eigentliche Passwort und kann so (auch wenn er das System genau kennt) keine weiteren Passwörter herausfinden. Wenn man überall md5sum oder etwas vergleichbares hat, ist das sicher eine super Methode, die man eigentlich auch für wirklich wichtige Passwörter verwenden könnte (nur sollte dann <passwort> auch entsprechend sicher sein).
Natürlich hilft auch das noch nichts. Es gibt immer noch Keylogger, Leute die einem über die Schulter schauen, usw. Man kann davon ausgehen, dass es in jedem Fall möglich ist ein Passwort zu knacken. Aber wenn man sichere Passwörter hat, die man nicht wiederverwendet und auch sonst einigermassen auf seine Sicherheit achtet (Sicherheitsupdates schnell installiert, zum Beispiel) kann man denke ich davon ausgehen, dass es für einen Angreifer so aufwändig wäre, an Passwörter für z. B. einen PayPal-Account heranzukommen, dass er sich lieber ein anderes Ziel sucht.
Andererseits, wenn ein Angreifer wirklich unbedingt will und sich dafür Zeit nimmt und am besten auch noch einen Haufen Geld hat, z. B. für solche netten Geräte, die (bei kabelgebundenen Tastaturen) nicht einmal im gleichen Gebäude sein müssen, um gedrückte Tasten mitzuschneiden hat man nicht wirklich eine Chance, aber die meisten hier sollte nicht vor solchen Angriffen Angst haben müssen. Vermute ich zumindest.
