News Deutsche Passwörter sind für die Ewigkeit

[RubyRhod]

Mein Passwort besitze ich in kleinen Variationen seit Jahren und benutze es für fast alles - mal mit Sonderzeichen, Zahlen, eingeschobenen Buchstaben, etc pp.

Wieso sollte ich mir ständig was neues ausdenken? Total bescheuert das ganze.

 

[boncha]

Ändern tu ich meine Passwörter auch fast nie.

Dafür verwende ich mehrere und möglichst sichere - was soll man mehr machen?
Solange man sich dann keinen keylogger oder co. einfängt solls halt jemand probieren mich zu hacken.
Wenn er so gut ist, 20-30 stellige Passwörter zu knacken, dann hatte er bestimmt einen Grund ausgerechnet mich zu hacken

 

[[F]L4SH]

Ja doch könnte stimmen...

Hab in der 6. Klasse mal ein recht gutes Passwort für den Schulserver zugeteilt bekommen - mittlerweile hab ich das Abitur und verwende es immer noch für so gut wie alles

Aber immerhin trenne ich. Das Schulpasswort ist schon recht lang und verwendet sinnlose Zahlen und Buchstaben. Aber für die wichtigen Sachen (Einkauf und vorallem Steam) verwende ich mein ultimatives Passwort: >10 Stellen, Zahlen, Buchstaben, Groß-/Kleinschrift und Sonderzeichen. Aber das werd ich auch nicht so schnell ändern.

Sehe auch nicht ein, warum ein Passwort sicherer werden sollte wenn ich es ständig ändere. Wenn das wirklich mit Nachdruck geknackt werden soll, dann ist das sowieso in 20 Minuten passiert. Und von diesem Social Networking Mist sowie Onlinebanking halte ich mich fern. Also mehr als Steam kann da nicht geknackt werden - und selbst da sind die Kreditkartendaten nicht gespeichert.

Wobei ich mich eigentlich nicht aufregen dürfte bei meinem Gedächtnis. Kenne so ziemlich jedes Passwort, dass ich jemals über die Tastatur huschen gesehen habe. Hab da wohl ein gutes Gedächtnis. Man sollte mich niemals neben sich stehen haben

 

[Magellan]

Beim passwort ändern geht es ja auch nicht darum dass man es ändert weil es in der zwischenzeit jemand gehackt haben könnte sondern einfach weil es in der zwischenzeit auf anderem wege bekannt geworden sein könnte (Leute die einen öfters beim Tippen gesehen haben, Keylogger ...).

Dennoch muss ich zugeben dass ich meine passwörter auch sehr selten ändere. Das Problem ist einfach dass man sich schon viel zu viele Accounts und Passwörter merken muss.
Für Foren, Emailaccounts, Internetshops, Paypal, Ebay, Onlinebanking, PC, Firmennotebook, Alarmanlage der Firma, Socialnetworks... dazu noch Pins für Handy, Kreditkarte, EC Karte

Allein der Zeitaufwand wenn ich jetzt alle meine Passwörter ändern wollte wäre schon enorm, ganz zu schweigen davon, dass es so schon schwer genug ist sich alle zu merken.

Der fehler liegt hier eher im System als beim User.

 

[karod3]

Es sollten alle Passwörter im Personalausweis gespeichert werden und dieser dann am PC eingelesen werden können.

 

[BPhoenix]

Naja, ich habe zwei bis drei generelle Kennwörter, diese sind aber ca 20-24 Zeichen lang....
Und gewiss nicht nur Buchstaben und Zahlen.
Bisher ungeknackt.

Das ist in der Regel Unsinn, denn:

Kann man die Passwörter wie zum Login hier bei ComputerBase als Admin irgendwie herausfinden oder wie bleiben die Daten geheim? Hat mich schon immer interessiert.

Ich gehen mal davon aus das die PWs als Hashwerte in der DB gepeichert sind,alles andere waere Wahnsinn
Wenn Du Dein PW eingibst, wird mit dem selben Algorithmus ein Hash errechnet wie bei einrichten des Accounts, stimmen die Hashwerte ueberein biste eingeloggt.

Man kann auch nicht vom Hashwert zum PW kommen (sofern man einen vernuenftigen Verschluesselungsalgo gewaehlt hat)

Nein man kann die Passwörter doch raus finden, denn man weis nicht ob sie überhaupt als Hash gespeichert sind und ein Angreifer wird wahrscheinlich eine Seite anbieten, die erst mal seriös aussieht, den Benutzer registrieren lassen und das Passwort anschließend als Klartext speichern um so an das Passwort zu gelangen. Dieses Passwort kann er dann zum Beispiel wenn du auch noch deine E-Mail angegeben hast gleich mal bei dieser E-Mail Adresse ausprobieren und wenn du ohnehin das selbe Passwort verwendet hast ist es nun aus.

Übrigens ist das gelangen an das E-Mail Passwort mitunter das gefährlichste, da man dadurch gar nicht all die anderen Passwort kennen muss, weil man das Passwort ab diesem Zeitpunkt immer wieder neu zuschicken oder zurücksetzen lassen kann! Auch kann es sein, dass dort noch die Mails die bei der Registrierung verschickt wurden vorhanden sind (gerade wenn man seine E-Mails online verwaltet) und diese genutzt werden können um auch noch die passenden Dienste zu suchen.

Auch ist es nicht gegeben, dass ein Hashwert pauschal nicht zurückrechenbar ist! Genannt seien da Rainbow Tables und Brute Force. Auch letzteres funktioniert hervorragend wenn der Hash Wert kurz genug ist, genügend Rechenleistung (ggf. mit mehreren Grafikkarten) vorhanden ist, das ganze nicht über Internet sondern lokal geschieht und wenn dann auch die verschiedenen Dienste die selbe Funktion zur Berechnung dieses Wertes nutzen reicht auch schon eine Kollision die eine Zeichenkette ist, die zwar nicht das Passwort wieder spiegelt aber ein Passwort, dass zu dem selben Hashwert führt und somit trotzdem gültig ist!

Alles in allem halte ich es aber auch sinnvoller verschiedene Passwörter zu nutzen die komplex sind und natürlich nur einmal genutzt werden als wöchentlich das Passwort zu ändern.

Das ständige ändern hilft nur dann, wenn:
=> Der Angreifer an das Passwort gekommen ist (kann auch unbemerkt passieren).
=> Jemand versucht das Passwort (über Internet) mit Hilfe von Brute Force zu knacken, da sowas immer länger dauert, könnte ein wechseln hier Abhilfe schaffen.

Nochmal zu erwähnen wäre, dass das E-Mail Passwort mitunter eines der wichtigsten überhaupt ist, da man eben dadurch an die meisten anderen kommen kann ohne diese zu kennen und ohne großen Aufwand. Zur Not kann man auch maschinell alle möglichen (vor allem auch größeren wie Amazon, Facebook, usw.) Seiten besuchen lassen und die "Passwort an E-Mail schicken" Funktion nutzen.

 

[CommanderROR]

Mal eine ganz andere Frage:

Was soll jemnd mit meinen Passwörtern anfangen?

Meine emails lesen?

langweilig

Meine Forenaccounts hijacken?

sinnlos, sobald Spam erkannt wird ist das acc gesperrt.

usw.

Das einzige was interessant wäre ist wohl Online Banking. Und um hier wirklich Nutzen ziehen zu können muss man mit Tans arbeiten, und die gibts nur aus Handy. Also, wieder Fehlanzeige. Und ob jetzt jemand sehen kann wie viel ich auf dem Konto habe...ich denke das ist auch egal, denn das kann jede Firma recht leicht über Schufa und co rausbekommen und ein Verbrecher wird feststellen dass sich nicht wirklich viel bei mir verdienen lässt...

 

[engine]

Was soll denn die PW-Änderei bringen? Ich denke nichts, solange die Absicherung des Umfeldes nicht gegeben ist und das ist nur bei sehr wenigen Seiten der Fall.

Was nutzt mir, wenn ich mich um ein sicheres PW kümmere und ständig ändere aber die Seite ist so unsicher und schickt mir sogar das PW über pop auf meine E-Mail.

Es sollte schon folgendes vorhanden sein, damit ich mir Mühe gebe.

1. SSL-Übertragung, natürlich keine Rückmeldung der PW in Klartext auf meine E-Mail. Änderung schon
2. letztes (natürlich nicht das Aktuelle) Einloggdatum Uhrzeit und Versuche müssen beim Login angezeigt werden
3. keine Beschränkung der Zeichenwahl

 

[zorin]

Ich hatte da vor kurzem auch eine nette Diskussion mit einem PW-Änder-Fanatiker. Er meinte auch, dass es gut sei monatlich die PW zu ändern, ich halte davon nichts und nutze seit längerem wenige aber dafür lange und sichere PWs. Wozu ständig gewechsel speziell unter Zwang führt (z.B. auf der Arbeit): die Leute schreiben sichs auf, auch wenn sie es eigentlich nicht dürfen. Womit der ganze Aufwand ab absurdum geführt wäre.

Sonderzeichen nutze ich übrigens keine, da ich schon öfters im Ausland war und dann das große Gesuche im englischen Layout losgeht... insbesondere mit äöü^^ man kann auch so sichere PW erzeugen

 

[.mojo]

ich weiß nicht wie die hohen Herren vom BITKOM sich das vorstellen wie man 50 Passwörter (Arbeit + privat) vierteljährlich wechseln soll und dabei noch groß/klein, BuchtsabenZahlen und Sonderzeichen berücksichtegen soll.
Dazu wäre ein System nötig. Im Kopf kann ich das ganz sicher nicht behalten.
Und dann wären wir wieder beim SPOF.

Hier will man die Verantwortung für Datenlecks vom Dienstleister auf den Kunden abwälzen.

 

[-Iwan-]

Alle 60 Tage Passwortwechsel in der Firma reichen schon aus, um einen nach der Änderung den Tag danach zu versauen. Ich werde sicherlich nicht meine privaten Passwörter in einem gewissen vorgeschriebenem Rhytmus ändern.

Weg mit Passwörtern und her mit Finger- und Iris-Scans!

 

[MilchKuh Trude]

@Iwan: Genau das dachte ich gerade.

Als durchschnittlicher Buerotaeter hat man zig Passwoerter, die sich auch noch alle paar Wochen aendern. Ich kann mir die nicht merken, also werden sie irgendwo aufgeschrieben. Das ganze Prinzip "Passwort" sollte mal ueberdacht werden. Da muss es doch was anderes geben.

 

[Haudrauff]

@CommanderROR
/sign

Das einzige worum man sich wirklich Sorgen machen muß sind die Paßwörter bei ebay, Paypal und co.
Da ich zum Glück bei den Vereinen ausgetreten bin, kann ich angstfrei leben.

Aber das hier schon mal angesprochenen Thema der maximalen Passwortlänge nervt auch mich.
Beim Onlinebanking der Sparkasse darf ich nur ein Passwort mit 5 Zeichen haben. Is ein bischen arg wenig.

 

[BPhoenix]

Ich hatte da vor kurzem auch eine nette Diskussion mit einem PW-Änder-Fanatiker. Er meinte auch, dass es gut sei monatlich die PW zu ändern, ich halte davon nichts und nutze seit längerem wenige aber dafür lange und sichere PWs.

Es ist nicht so dass es sinnfrei wäre es zu ändern, sinnfrei ist es aber nur wenige Passwörter zu nutzen!

Im Übrigen an alle die denken, lange Passwörter sind zwangsweise sicher, denen sei gesagt, dass das so pauschal nicht stimmt. Denn angenommen man hat ein 20 Zeichen Passwort und daraus wird ein 8 Zeichen Hashwert berechnet, dann ist das genau so sicher wie ein 8 Zeichen Passwort! Zwar wird man das 20 Zeichen Passwort in dem Fall nicht bekommen, man kann jedoch etliche kürzere Passwörter finden die genauso gültig sind wie das eine mit den 20 Zeichen.

Und man kann eben nicht davon ausgehen, dass ein ausreichend langer Hashwert verwendet wird muss aber nicht heißen, dass man jetzt unbedingt nur kurze Passwörter nehmen sollte.

Dazu wäre ein System nötig. Im Kopf kann ich das ganz sicher nicht behalten.

Es gibt solche System! Ein sehr Wirkungsvolles ist es sich einen Satz zu merken, wie diesen hier zum Beispiel: "Ich bin ein ComputerBase Leser und mein Passwort ist wirklich extrem Sicher, glaubt es mir!"

Jetzt nimmt man die Anfangsbuchstaben jedes Wortes und erhält: IbeCBLumPiweS,gem!
Ich würde mal behaupten, dass das Passwort recht sicher ist und der Satz auch leicht merkbar wäre. Wenn man will kann man auch einige Zeichen in Zahlen umwandeln oder ein paar Sonderzeichen, je nach dem.

Das einzige worum man sich wirklich Sorgen machen muß sind die Paßwörter bei ebay, Paypal und co.
Da ich zum Glück bei den Vereinen ausgetreten bin, kann ich angstfrei leben.

Ach und da hast du keine E-Mail angegeben und kannst dir kein neues Passwort über diese beschaffen? Oder etwa doch? Aber was passiert dann wenn man doch das "unwichtige" E-Mail Passwort knackt, oder ein noch unwichtigeres Forenpasswort wo die E-Mail öffentlich sichtbar ist und dieses Forenpasswort zufällig sogar das selbe ist wie das der E-Mail? Ich denke du hast dabei nicht weit genug gedacht...

 

[Naff]

WÜrde einer an das Passwort für mein alten Diablo 2 Account kommen, würde er sich damit auch in WoW, Steam und Co. einloggen können. Since 2000 ein PW für alle Onlinespiele und noch nie ist was passiert

Ich würd mal meinen, ich kann auch alle 7 Tage mein PW ändern, es 33 Zeichen lang machen, mit Zahlen, Buchstaben, Satzzeichen und vllt. noch mitten drin Buchstaben aus einer anderen Sprache wählen, das bringt alles nicht soviel, wenn ich eine Email öffne in der steht "Beta Key gewonnen, gib hier dein PW ein" ^^

 

[jonesjunior]

Ich habe auch nur 3 Kennwörter , die ich immer verwende, das reicht.

 

[dagobert50gold]

Warum ändern? Zum Beispiel das Kennwort auf ForumBase: Das hat ca. 20 Stellen! Wer knackt das so schnell?

 

[blackiwid]

Ja hier kann die Bitkom wohl nicht zwischen privat und geschäftlich trennen. In Betrieben kann es auch mal vorkommen das mehrere Leute zeitweise Zugriff auf einen Account haben und dahinter stehen teilweise große Geschäftliche Risiken auch kündigen auch hin und wieder Leute oder änliches. Da muss man die PW schon hin und wieder ändern, so kann man die Leute die das pw wissen wieder auf das minimum resetten.

Natürlich gibts auch Probleme mit hacking im privaten Bereich, wobei hier wieder meist es darum geht das die Dienstanbieter veraltete Software auf ihren Servern benutzen wo schon sicherheitslücken lange bekannt sind.

Die Privatanwender sind meistens durch die große Masse an Leuten geschützt das Risiko, hier geknackt zu werden wegen unsicherem PW oder wegen zu seltenem Ändern dessen ist auch sehr gering.

Viel eher sollte man sich mal überlegen welchen Firmen man vertraut, den meistens gelingen Angriffe bei unseriösen Anbietern weil diese bei sicherheit sparen.

Bitkom und andere Vereinigungen können oft nicht zwischen Firmen, Privatleuten oder Staat unterscheiden, das sieht man auch an unserer aktuellen Politik wo Deutschland versucht wird wie eine Firma zu führen, was dann das Ausschalten von Konkurenz (Griechenland) auch in der Logik mit einschließt, aber das jetzt zu OT

Erstmal sollte man schauen das Firmen halbwegs auf Sicherheit schauen, diese tun das nämlich so gut wie nicht, dann können wir nochmal schauen ob die Privatleute hochsicherheits-massnahmen einhalten. Ich konnte mich auch nach Abschluss von Arbeitsverträgen noch Monatelang auf Servern einloggen (als root) dort hätte ich viel Spielraum gehabt um den Firmen zu schaden wenn mir daran gelegen wäre. Hier sind kleine Firmen oft Nachlässig und große Unternehmen haben dies zwar warscheinlich meistens im Griff aber aus Erzählungen stirbt damit gleichzeitig jede form von flexibilität, alle müssen die selbe Software benutzen und wenn man irgendwas ändern will sofern überhaupt möglich darf man was beantragen was dann 5 Monate dauert bis es entschieden wird.

 

[Magellan]

Was soll jemnd mit meinen Passwörtern anfangen?

Meine emails lesen?

langweilig

Meine Forenaccounts hijacken?

sinnlos, sobald Spam erkannt wird ist das acc gesperrt.

Es soll doch tatsächlich Leute geben die nicht nur in Foren posten und Emails schreiben.
Internetshops, ebay, paypal, ebanking, firmenaccounts, msdna, ... alles passwörter die ich keinesfalls in falschen händen wissen will.

 

[Darkwonder]

Würde man schon gerne tun. Heißt aber leider jedes mal neues Kennwort auswendig lernen ...
Nen Iris Scann oder ähnliches verbunden mit Stimmen Erkennung und Fingerabdruck wäre hier wohl angebracht.