Dieser Gag aus dem Mel-Brooks-Film Spaceballs (der kam 1987 raus, also lange, bevor sich der Begriff “Passwort” etabliert hatte – damals sprach man noch von “Kombinationen”, wie an Zahlenschlössern) ist leider längst nicht so komisch, wie man sich wünschen möchte: Wie man im aktuellen Heft von National Geographic lesen kann (oder besser noch: Im schon vor einiger Zeit erschienenen Buch Perfect Passwords von Mark Burnett, auf das sich dieser kleine Artikel beruft), ist das häufigste aller Passwörter, die im Umlauf sind … 123456.
Ab Seite 109 listet Burnett Hunderte der gebräuchlichsten Passwörter auf, die Top-10 lauten
- 123456
- password
- 12345678
- 1234
- pussy
- 12345
- dragon
- qwerty
- 696969
- mustang
Mal ganz ehrlich: Wer von uns hat nicht Probleme mit Passwörtern? Bei Seiten, die ich nur selten benutze, muss ich fast jedes Mal, wenn ich mich einloggen will, die Passwort-Hilfe anfordern, was oft bedeutet, dass ich auch gleich ein neues Passwort wählen muss – was mich beim nächsten Mal nur noch mehr verwirrt. Denn einerseits soll es möglichst schwer zu knacken – also möglichst zufällig – sein, aber andererseits soll man es nicht aufschreiben, was bedeutet, dass es eine Zeichensequenz sein muss, die sich unser Gedächtnis einprägen kann. Und da stoßen wir bei einer Zeichenlänge von etwa sieben an unsere Grenzen, wie ich in einem Paper über
aus dem Jahr 2000 entnehmen konnte (das Paper der University of Cambridge stammt zwar schon aus dem Jahr 2000, aber sehr viel dürfte sich am Passwort-Verhalten der User seither nicht verändert haben, was allein schon die Spaceballs-Szene belegen kann).
Natürlich kann sich unser Gedächtnis auch viel längere Sequenzen einprägen (Freunde der Zahl Pi ) müssen beispielsweise die ersten Hundert Nachkommastellen dieser Kreiszahl auswendig wissen) – wenn es denn genug Zeit dafür hat. Und zur “Konservierung” des knacksicheren Passwortes wäre es dann wieder nötig, es erst mal aufzuschreiben, was ja andererseits aus Gründen der Sicherheit nicht geschehen soll. Das Cambridge-Paper fand in einem Versuch mit Studenten heraus, dass es etwas sieben Mal so lange dauert, sich eine nach dem Zufallsprinzip (aber unter Berücksichtigung aller Sicherheitsvorgaben) generierte Zeichenfolge einzuprägen – fast fünf Wochen, verglichen mit fünf Tagen für ein selbst gewähltes Passwort. Allerdings ist letzteres auch erheblich leichter zu knacken; jedes Dritte dieser Passwörter konnte mit lexikalischen Suchen oder auch mit schlichter brachialer Gewalt (die bei maximal sechsstelligen Passcodes selbst im Jahr 2000 schon kein Problem mehr war) erraten werden. Das Ersetzen von Buchstaben durch Zahlen (also 1 statt A, 2 statt B, oder auch die 3 anstelle eines “E”, oder eine “2” statt eines “Z”) macht ansonsten einfache Passwörter auch nicht sicherer – da zuckt der Decodierungs-Computer nur ein kleines bisschen länger.
Doch es gibt einen Weg (genauer gesagt, den gab’s schon im Jahr 2000, als das Cambridge-Paper erschien), Zeichenkombinationen zu finden, die sowohl “zufällig” aussehen, als auch leicht zu merken sind: Man nehme die Anfangsbuchstaben eines Merksatzes, der dann auch noch eine Zahlenangabe enthalten könnte. Etwa MFtSiG37, wenn’s ein achtstelliges Passwort sein soll (enstanden aus “Meine Frau trägt Schuhe in Größe 37“), oder sonst ein Satz, der etwas Einprägsames, aber ansonsten wenig Verdächtiges enthält.
Spezialisten für Kryptografie werden auch hierbei gewiss noch die Köpfe schütteln; überhaupt sind Passwörter – vor allem, weil man sie so häufig braucht und dann zwangsläufig entweder immer das die gleichen Codes verwendet oder sie, allen Warnungen zum Trotz, in handlichen Listen erfasst – sicher eher noch ein Relikt aus frühen Computerzeiten. Doch bis zur biometrischen Lösung (und auch die ist angeblich, zumindest was die Fingerabdruck-Sicherung angeht, auch nicht wirklich sicher) werden wir uns wohl noch länger mit solchen mehr oder weniger kryptischen Zeichenfolgen herumärgern müssen.
Kommentare (49)