\u00dcber Passwortauthentifizierung zu sprechen ist zwar langweilig, aber extrem wichtig, insbesondere angesichts der H\u00e4ufigkeit von Datendiebst\u00e4hlen. Sie haben wahrscheinlich schon Warnungen \u00fcber gehackte Websites gesehen, bei denen Benutzerinformationen \u2013 insbesondere Benutzernamen und Passw\u00f6rter \u2013 offengelegt wurden. Das ist ein gro\u00dfes Problem, denn wenn sie im Klartext gespeichert sind, kann jeder mit Zugriff auf die Datenbank diese Anmeldeinformationen einfach abgreifen und verwenden. Nicht gerade ideal. Wenn Sie also verstehen, was tats\u00e4chlich hinter den Kulissen vor sich geht, k\u00f6nnen Sie Ihre Anmeldesysteme deutlich sicherer machen oder zumindest wissen, wie Sie Ihre eigenen Konten besser sch\u00fctzen k\u00f6nnen.<\/p>\n
Der springende Punkt ist: Gute Sicherheitspraktiken empfehlen, eine gehashte Version von Passw\u00f6rtern zu speichern \u2013 nicht die Originale. Hashing ist wie das Ausf\u00fchren eines Passworts durch eine Einbahnstra\u00dfe: Sie erhalten einen Hash, k\u00f6nnen das urspr\u00fcngliche Passwort aber nicht so einfach zur\u00fcckerhalten. Wenn sich jemand anmeldet, hasht das System die eingegebenen Daten und vergleicht sie mit dem gespeicherten Hash. Stimmen sie \u00fcberein, ist das Passwort korrekt. Gelingt es Hackern dennoch, in die Datenbank einzudringen, erhalten sie nur Hashes, die, sofern sie nicht geknackt werden, nahezu nutzlos sind. Der Haken dabei ist jedoch: Hashes sind nicht v\u00f6llig unknackbar, insbesondere wenn sie nicht richtig gehasht werden oder schwache Algorithmen verwendet werden. Deshalb h\u00e4ngt die Hauptarbeit ma\u00dfgeblich davon ab, wie diese Passw\u00f6rter gehasht werden \u2013 und vom Angreifer, ob er versucht, diese Hashes zu knacken oder nicht.<\/p>\n
Das Knacken eines Hashs ist etwas merkw\u00fcrdig, da man einen Hash technisch gesehen nicht direkt in das urspr\u00fcngliche Passwort umwandeln kann. Stattdessen versuchen Angreifer, Passw\u00f6rter zu erraten, bis ihr Hash mit dem gespeicherten \u00fcbereinstimmt. Im Grunde probiert man jeden Schl\u00fcssel aus, bis einer das Schloss \u00f6ffnet. Dies kann ein Brute-Force-Angriff sein \u2013 man probiert alle m\u00f6glichen Passw\u00f6rter aus, von \u201ea\u201c bis \u201ezzz\u201c, einschlie\u00dflich Zahlen und Sonderzeichen. Da die m\u00f6glichen Kombinationen mit zunehmender Passwortl\u00e4nge exponentiell ansteigen, ist das Knacken langer, komplexer Passw\u00f6rter mit Brute-Force sehr langsam. GPUs beschleunigen den Vorgang, aber selbst dann sind sehr lange Passw\u00f6rter noch ziemlich sicher.<\/p>\n
Um das R\u00e4tselraten zu verk\u00fcrzen, werfen Angreifer oft einen Blick auf die Passwortregeln einer Website. Wenn eine Website eine Mindestl\u00e4nge vorschreibt oder Zahlen und Gro\u00dfbuchstaben erfordert, versuchen sie es nicht mit \u201ePasswort\u201c, sondern direkt mit g\u00e4ngigen Passw\u00f6rtern, die diesen Regeln entsprechen. Brute-Force-Angriffe sind jedoch langsam, insbesondere bei st\u00e4rkeren Passw\u00f6rtern. Eine andere Methode sind W\u00f6rterbuchangriffe. Anstatt alles auszuprobieren, verwenden sie Listen mit g\u00e4ngigen Passw\u00f6rtern \u2013 eine clevere Methode. Diese Listen, sogenannte W\u00f6rterb\u00fccher, werden aus geleakten Passw\u00f6rtern erstellt und enthalten daher oft \u201epassword123\u201c, \u201eqwerty\u201c oder \u201eletmein\u201c.Wenn Ihr Passwort in einer dieser Listen steht, ist es wahrscheinlich hin\u00fcber.<\/p>\n
Ein Trick, der W\u00f6rterbuchangriffe erfolgreicher macht, ist die Wortverf\u00e4lschung \u2013 das Ersetzen von Buchstaben durch Sonderzeichen (z. B.\u201ee\u201c durch \u201e3\u201c), das Anh\u00e4ngen von Zahlen an das Ende oder das Vertauschen von Buchstaben. Diese kleinen \u00c4nderungen k\u00f6nnen die Erfolgsquote auf \u00fcber 70 %, manchmal sogar \u00fcber 90 % steigern, insbesondere wenn der Angreifer ein gutes W\u00f6rterbuch mit integrierten Verf\u00e4lschungsalgorithmen verwendet. Wenn Ihr Passwort also aus einem einfachen Wort oder einer einfachen Phrase besteht, kann es anf\u00e4llig sein \u2013 diese Taktiken sind wie Cheat-Codes zum Knacken von Passw\u00f6rtern.<\/p>\n
Hier spielen die Gewohnheiten der Nutzer eine Rolle. Menschen neigen dazu, Passw\u00f6rter f\u00fcr mehrere Websites zu verwenden und w\u00e4hlen dabei oft Dinge aus, die mit ihrem Leben zu tun haben \u2013 Haustiere, Geburtstage, Lieblingssportarten oder g\u00e4ngige W\u00f6rter wie \u201ePasswort\u201c.Angreifer nutzen dies aus, indem sie lange Listen mit h\u00e4ufigen Passw\u00f6rtern oder Sicherheitsl\u00fccken verwenden, um ihre W\u00f6rterb\u00fccher aufzubauen. Es ist ziemlich beunruhigend, aber die meisten Passw\u00f6rter sind erratbar, wenn sie typischen Mustern folgen oder in der Liste enthalten sind. Deshalb ist es wichtig, Passw\u00f6rter zu erstellen, die unvorhersehbar sind und nicht mit Ihren pers\u00f6nlichen Daten verkn\u00fcpft sind.<\/p>\n
Variationen \u2013 wie das Ersetzen von Buchstaben durch Zahlen oder Sonderzeichen \u2013 sind Standard. So wird beispielsweise aus \u201ePasswort\u201c \u201ep@ssw0rd!\u201c und so weiter. Diese kleinen \u00c4nderungen machen es f\u00fcr herk\u00f6mmliche W\u00f6rterbuchangriffe schwieriger, aber nicht unm\u00f6glich, das Passwort zu knacken. L\u00e4nge und Unvorhersehbarkeit sind die besten Kombinationen. Ein Passwort mit mehr als 10 Zeichen und zuf\u00e4lligen W\u00f6rtern (keine richtigen Phrasen, sondern eher zusammengew\u00fcrfelte, nicht zusammenh\u00e4ngende W\u00f6rter) ist eine gute Faustregel. Im Wesentlichen sollten Sie auf W\u00f6rter abzielen, die nicht auf einer Liste stehen w\u00fcrden, idealerweise l\u00e4nger und wirklich zuf\u00e4llig. Denn letztendlich gilt: Je l\u00e4nger und komplexer, desto geringer die Wahrscheinlichkeit, dass das Passwort schnell geknackt wird.<\/p>\n
Der Kernpunkt? W\u00f6rterbuchangriffe sind intelligenter als Brute-Force-Angriffe, da sie zielgerichtet sind. Sie basieren auf Vermutungen aus fr\u00fcheren Lecks oder Listen g\u00e4ngiger Passw\u00f6rter und sind daher schneller und wirkungsvoller \u2013 sofern Ihr Passwort auf der Liste steht oder vorhersehbaren Mustern folgt. Um sich zu sch\u00fctzen, sollten Sie lange, unabh\u00e4ngige Passw\u00f6rter erstellen, die in keiner Datenbank mit g\u00e4ngigen Passw\u00f6rtern vorhanden sind. Passwortmanager helfen dabei, da sie komplexe, einzigartige Passw\u00f6rter f\u00fcr jede Website generieren und speichern k\u00f6nnen \u2013 so m\u00fcssen Sie sich das alles nicht merken.<\/p>\n
\u00dcberpr\u00fcfen Sie au\u00dferdem immer die Sicherheitseinstellungen Ihrer Website. Nutzen Sie die Zwei-Faktor-Authentifizierung, wenn verf\u00fcgbar, und ziehen Sie Hashing-Algorithmen f\u00fcr Passw\u00f6rter wie bcrypt oder Argon2 anstelle der veralteten MD5- oder SHA-1-Algorithmen in Betracht. Nat\u00fcrlich muss Windows es Ihnen manchmal schwerer machen als n\u00f6tig, aber auf Ihrer Seite k\u00f6nnen intelligente Passw\u00f6rter und bew\u00e4hrte Vorgehensweisen einen echten Unterschied machen.<\/p>\n
Hoffentlich verdeutlicht dies, warum das Knacken von Passw\u00f6rtern nicht so einfach ist, wie es aussieht, und warum gute Gewohnheiten wichtig sind. Letztendlich geht es darum, die Dinge so schwierig zu gestalten, dass Angreifer sich langweilen oder weiterziehen. Hier sind ein paar Tipps, die bei einigen Setups funktioniert haben \u2013 wir dr\u00fccken die Daumen, dass es hilft und vielleicht jemandem sp\u00e4ter Kopfschmerzen erspart.<\/p>\n","protected":false},"excerpt":{"rendered":"
\u00dcber Passwortauthentifizierung zu sprechen ist zwar langweilig, aber extrem wichtig, insbesondere angesichts der H\u00e4ufigkeit von Datendiebst\u00e4hlen. Sie haben wahrscheinlich schon Warnungen \u00fcber gehackte Websites gesehen,<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-1513","post","type-post","status-publish","format-standard","hentry","category-hilfe"],"_links":{"self":[{"href":"https:\/\/help.peacedoorball.blog\/de\/wp-json\/wp\/v2\/posts\/1513","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/help.peacedoorball.blog\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/help.peacedoorball.blog\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/help.peacedoorball.blog\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/help.peacedoorball.blog\/de\/wp-json\/wp\/v2\/comments?post=1513"}],"version-history":[{"count":0,"href":"https:\/\/help.peacedoorball.blog\/de\/wp-json\/wp\/v2\/posts\/1513\/revisions"}],"wp:attachment":[{"href":"https:\/\/help.peacedoorball.blog\/de\/wp-json\/wp\/v2\/media?parent=1513"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/help.peacedoorball.blog\/de\/wp-json\/wp\/v2\/categories?post=1513"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/help.peacedoorball.blog\/de\/wp-json\/wp\/v2\/tags?post=1513"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}