Îçҹ̽»¨

Leitfaden ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù

±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù sollen Ihre Daten vor dem Zugriff durch Unbefugte schützen. Nicht nur das Lesen von geschützten Daten, sondern besonders das Manipulieren Ihrer Daten kann Sie in sehr unangenehme Situationen bringen. Mit dieser Anleitung soll Ihnen eine Hilfestellung für die Erzeugung von sicheren ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ùn gegeben werden.

Richtlinien für ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù beim kiz-Account

Das ±õ»å±ð²Ô³Ù¾±³Ùä³Ù²õ³¾²¹²Ô²¹²µ±ð³¾±ð²Ô³Ùsystem, über das Sie die ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù des kiz-Accounts für einzelne oder alle abonnierten Dienste ändern können, erzwingt einen Minimalstandard für ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù:

  • Das Passwort muss zwischen 12 und 16 Zeichen haben.
  • Das Passwort darf die folgenden Zeichen enthalten: a-z, A-Z, 0-9 und @!“#$%&’()*+,-./:;<=>?[]_{|}
  • Das Passwort darf keine Leerzeichen enthalten.
  • Das Passwort darf weder den Benutzernamen, Ihren echten Namen oder Ihr Geburtsdatum enthalten.
  • Das Passwort muss drei der folgenden vier Merkmale beinhalten:
    • Großbuchstaben (das erste Zeichen zählt nicht)
    • Kleinbuchstaben
    • Nummern
    • Sonderzeichen

Tipps für gute ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù

Ein Passwort sollte für den Menschen einfach zu merken und für den Computer schwer zu erraten sein. Wie ein gutes Passwort auszusehen hat, ist durchaus strittig und nicht eindeutig zu beantworten. So gibt es zwei vorherrschende Meinungen und Empfehlungen zu sicheren ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ùn. Demnach erfüllt ein sicheres Passwort mindestens eines der beiden folgenden Kriterien:

  • möglichst komplex: es sollte aus Zeichen aus einem sehr großem Zeichensatz bestehen (bspw "nmEnL7m-d:[a")
  • möglichst lang: der Zeichensatz spielt hier kaum eine Rolle, Hauptsache das Passwort ist sehr lang (bspw "correcthorsebatterystaple")

Wichtiger als die eigentliche Zusammensetzung des Passwortes ist allerdings, dass es wirklich ³ú³Ü´Úä±ô±ô¾±²µ gewählt ist, und vor allem nur ein einziges mal verwendet wird. Computer sind sehr gut darin, Muster zu erkennen. Ein Passwort, das einfachen Mustern folgt oder das persönliche Eigenschaften oder Vorlieben spiegelt (bspw. "IchfahregerneFahrrad"), kann von einem Computer sehr einfach erraten werden. Wird das Passwort zudem noch bei mehreren Diensten gleichzeitig verwendet, so finden Computer auch das sehr schnell heraus, und der entstandene Schaden ist riesig.

So ist  beim Umgang mit ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ùn vor allem folgendes zu beachten:

  • ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù sollen ³ú³Ü´Úä±ô±ô¾±²µ gewählt sein.
  • ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù sollten bei Verdacht der Kenntnisnahme Dritter geändert werden. 
  • ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù dürfen nicht doppelt benutzt werden. Für jeden Dienst muss ein einzigartiges Passwort gewählt werden.
  • ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù sind privat und geheim. Sie dürfen niemals mit anderen geteilt werden.

Im Folgenden finden Sie weitere Informationen über die Gestaltung und den Umgang mit ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ùn.

Tipps des BSI für ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù:

  • Eine ausreichende Anzahl an Zeichen. Mindestens 8, empfohlen sind jedoch 12.
  • Der Zeichenvorrat sollte ausreichend benutzt werden. Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen. 
  • Auf Zahlen am Ende des Passworts sollte verzichtet werden.
  • Keine Wörter aus Wörterbüchern, Namen von Freunden/Familien oder Stars, deren Geburtsdatum sollten verwendet werden. Simple Zeichenersetzungen (bspw. "1" für "i", "3" für "e" etc.) in Wörtern reichen nicht.
  • Keine Tastaturmuster verwenden ("qwertz", "asdf", "yaqxsw", usw).

Beispiele für gute ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù:

  •  <Uxe;1m64{;k
  •  r-i5o?-+>Y~-
  •  0Add*E%>'bcG

Beispiele für schlechte ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù:

  •  Pa$$w0rt:01/18 Wort aus dem Wörterbuch mit einfachen Ersetzungen, Nummerierung und Jahreszahl.
  •  Hund3hü77e#1 Wort aus dem Wörterbuch mit einfachen Ersetzungen und Nummerierung.

Das amerikanische stellt die Nutzbarkeit in den Vordergrund. So setzt das NIST auf lange Passsätze, statt kurze und komplexe ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù.

  •  mehrere aneinandergereihte Wörter
  •  keine bekannten oder leicht zu erratenden Sätze

Beispiele für gute Passsätze:

  •  distel ist landen kammer nutzen
  •  intakt harz kleber salbte pferd

Beispiele für schlechte Passsätze:

  •  mein auto ist grau
  •  ich habe einen hund namens bello

Ein gutes und vor allem ³ú³Ü´Úä±ô±ô¾±²µes Passwort selbst zu erstellen fällt vielen schwer.  Ein Computer erstellt in der Regel bessere ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù. Dabei sind Passwort-Generatoren eine nützliche Hilfe.  Sie können auch in großen Mengen pseudo-³ú³Ü´Úä±ô±ô¾±²µe ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù automatisch in kurzer Zeit generieren.

Verwendet man Generatoren, so ist darauf zu achten, dass der Generator selbst vertrauenswürdig ist. Achten Sie vor allem bei online Generatoren darauf, dass die Seite keine Werbung enthält, keine Inhalte von Dritten (Google API, Google Analytics) nachlädt, keine Social Media Buttons enthält (Facebook like etc), und TSL verschlüsselt ist (achten Sie auf das grüne Schloss neben der Adresse). 

Bei Smartphone Apps achten Sie bitte unbedingt auf die Berechtingungen. Eine Passwort App, die Werbung einblendet und Internetzugang benötigt ist unter keinen Umständen vertrauenswürdig.

Auch viele Passwort-Manager bringen Generatoren mit. So können ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù einfach generiert und verwaltet werden (siehe ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù merken und verwalten).

BSI konforme ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù

Lokale Anwendungen:

  • pwgen für Linux (bspw. "sudo apt install pwgen")
  • (bash script)

Online Generatoren:

NIST Passsätze

NIST konforme Passsätze können einfach durch Würfeln mit Wortlisten erstellt werden. Dieses Verfahren nennt man Diceware.

Auch dafür gibt es online Generatoren:

  •  

Passwortqualität prüfen

Wie gut ein Passwort ist, lässt sich tatsächlich nur schwer prüfen. Stichwort ist hier die Entropie eines Passworts, in diesem Kontext ein Maß dafür, wie viele Versuche man benötigt, um ein Passwort zu erraten. Dies basiert lediglich auf mathematischen Eigenschaften und ignoriert meist Muster in ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ùn sowie Wissen über den Anwender. Professionelle Angreifer machen sich aber genau solche Dinge zu Nutzen. Leider können wir keine Online Passwortmeter/-checker empfehlen. Alle von uns geprüften haben Mängel bezüglich Privatsphäre und sollten daher nicht verwendet werden.

Sie sollten Ihr Passwort unbedingt gegen eine Liste der häufigsten ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù prüfen. Findet sich ihr Passwort auf solch einer Liste, ist es schneller geknackt, als Sie es eingeben können ().

Für den normalen Nutzer ist es schwer, sich alle ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù zu merken. Ebenso wirken hohe Anforderungen auf die viele Nutzer lästig. ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù sollte man daher irgendwo sichern bzw. verwalten.

Das Abspeichern im Klartext auf dem Computer oder das Aufschreiben auf Notizzetteln ist selbstverständlich keine geeignete Lösung. ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù müssen stets verschlüsselt und vor Zugriff Fremder sicher gespeichert werden.

Die Verwendung sogenannter Passwortsafes/-manager, in denen die Zugangsdaten verschlüsselt abgelegt werden, kann bei geeigneter Wahl und sachgerechtem Umgang eine wesentliche Erleichterung darstellen. 

Passwortmanager gibt es in vielen verschiedenen Ausführungen und unterscheiden sich oft signifikant im Funktionsumfang. Betriebssysteme bringen oft einen Passwortmanager mit (Mac Schlüsselbund, Ubuntu Seahorse) und auch die gängigen Browser haben einen integrierten Passwortmanager ("Wollen Sie sich dieses Passwort merken?").

Funktional können manche Passwortmanager ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù

  • direkt in Formularfeldern des Browsers eintragen lassen,
  • zwischen Geräten synchronisieren,
  • nach definierbaren Qualitätsmerkmalen generieren
  • ein Ablaufdatum setzen, so dass der Bedarf nach einer Änderung optisch angezeigt wird.

Wenn ein Tool zur Speicherung von ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ùn genutzt werden soll, sind die im Folgenden beschriebenen Anforderungen zu beachten:

  • Es darf nicht möglich sein, sich ohne Eingabe eines Master-Passwortes anmelden zu können, bspw. sollte das Master-Passwort nicht "gemerkt" werden.
  • Nach einem vorgegebenen Inaktivitäts-Zeitraum sollte der angemeldeten Nutzer automatisch abgemeldet werden.
  • Für die Verschlüsselung muss ein geeignetes Verschlüsselungsverfahren mit ausreichender Schlüssellänge zum Einsatz kommen.
  • Da der Zugriff auf den Passwort-Safe selbst sehr gut abgesichert sein muss, sollte der Zugang mit Zwei-Faktor-Authentifizierung möglich sein.
  • Das Produkt sollte vertrauenswürdig sein. Idealerweise ist der Quellcode frei verfügbar, damit er von unabhängigen Experten untersucht werden kann. Sicherheitsrelevante Zertifizierungen sind empfehlenswert. Insbesondere webbasierte Dienste zur Passwort-Verwaltung sollten nur dann benutzt werden, wenn die Zuverlässigkeit des Dienstleisters in einem angemessenen Verhältnis zum Schutzbedarf der damit verwalteten ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù steht. 
  • Passwortmanager dürfen nur auf vertrauenswürdigen IT-Systemen genutzt werden.
  • Die Autofill-Funktion muss deaktiviert sein, da Skripte auf Websites die gespeicherten Zugangsdaten aus den Passwortmanager über versteckte Formularfelder einfach extrahieren und an entfernte Server schicken können, vgl. [1].

[1] heise-Artikel "Tracking-Skripte klauen E-Mail-Adressen aus Web-Browsern" (01/2018), online abrufbar unter:

Wie richtig anmelden

Lassen Sie sich bei der Eingabe von ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ùn nicht über die Schulter schauen. Achten Sie auf Ihre Umgebung.

Prüfen Sie ihren Rechner regelmäßig auf Schadsoftware. Haben Sie den Verdacht, Ihr Computer könnte manipuliert worden sein, prüfen Sie, ob evtl. sog. Keylogger angebracht wurden. Dies sind kleine Geräte, die meist zwischen Tastatur und Computer oder in einem USB Port angebracht werden, und Tastatureingaben mitschneiden.

Wo richtig anmelden

Sie sollten Ihre Zugangsdaten nur an vertrauenwürdigen Geräten eingeben, niemals an öffentlichen, nicht kontrollierbaren Systemen, wie in Internet-Cafés oder Hotel-Lobbys.

Damit Authentifizierungsinformationen bei der Eingabe oder der Übermittlung an das Zielsystem nicht abgelauscht werden können, muss auf eine sichere Übertragung geachtet werden.

Insbesondere öffentliche WLAN-Netze bergen das Risiko, dass Angreifer den Netzwerkverkehr belauschen. Angreifer könnten auch selbst erstellte WLAN-Netze verwenden, um Benutzer fehlzuleiten und deren Daten mitzuschneiden und zu manipulieren ( Man-in-the-middle-Angriff). Geben Sie Ihre Benutzerdaten daher nur in vertrauenswürdigen Netzwerkumgebungen ein.

Bei Webdiensten muss der Login stehts verschlüsselt sein. Man erkennt dies an einem geschlossenen Schloß sowie dem Präfix "https://" in der Adress-Zeile des Browsers. Achten Sie bei der Eingabe der Adresse auch auf Schreibfehler. Angreifer verwenden oft Adressen mit typischen Schreibfehlern, um Nutzer auszuspionieren (bspw. yuotube.com).

Sitzung beenden

Die besten ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù nützen nichts, wenn Computer unachtsam verlassen und laufende Sitzungen ungeschützt offen bleiben.

Beenden Sie nach getaner Arbeit Ihre Sitzung (logout). Wenn Sie ihren Rechner / Arbeitsplatz verlassen, sperren Sie ihn, auch, wenn es sich nur um eine kurze Abwesenheit handelt. Die Sperre sollte so eingestellt sein, dass ein Entsperren die Eingabe des Passwortes erfordert.

Manche Webseiten arbeiten mit Sitzungs-Cookies, die eine bestimmte Laufzeit haben, in der man angemeldet bleibt. Können Sie sich auf einer Webseite nicht ausloggen, so müssen Sie den Browser komplett schließen, um die Sitzung zu beenden und sich effektiv auszuloggen.

Wenn Sie das Gefühl haben, sie wurden "gehackt", weil beispielsweise von Ihrem Konto unbekannte Mails geschrieben wurden, oder wenn jemand Ihr Passwort in Erfahrung bekommen hat, dann sollten Sie in jedem Fall Ihr Passwort wechseln.

Online-Dienste sind permanenten Angriffen ausgesetzt und immer wieder kommt es vor, dass dort sensible Informationen wie Namen und ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù von Nutzerkonten ergaunert werden. Solche Listen werden dann im Darknet zum Kauf angeboten. Sie können prüfen, ob sie auf solch einer Liste stehen.

Falls Sie wirklich auf einer der Listen stehen, sollten Sie umgehend Ihre ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù bei den aufgeführten Diensten wechseln. Sie sollten dieses Passwort niemals mehr bei irgendeinem Dienst verwenden.

Bei Fragen oder Problemen, zögern Sie nicht und wenden Sie sich an den Helpdesk des kiz.

Weitere Informationen

Password

Kommunikations- und Informationszentrum (kiz)

Kontaktieren Sie uns bei Fragen und Problemen zu den Services des kiz:

Sprechzeiten
Montag - Donnerstag
09:00 - 12:00 Uhr
13:00 - 15:30 Uhr

Freitag
09:00 - 12:00 Uhr

Telefon
+49 (0) 731 / 50 - 30000

Telefax
+49 (0) 731 / 50 - 1230000

Rückruf beauftragen
helpdesk(at)uni-ulm.de

[mehr]

An den Service-Points können Sie uns persönlich aufsuchen.

[mehr]

Self Service Funktionen des ±õ»å±ð²Ô³Ù¾±³Ùä³Ù²õ³¾²¹²Ô²¹²µ±ð³¾±ð²Ô³Ùsystems (IDM): Berechtigungen verwalten, Dienste abonnieren, ±Ê²¹²õ²õ·Éö°ù³Ù±ð°ù ändern etc.


[mehr]

Recherche im Bibliotheksbestand nach Monografien, Lehrbücher, Zeitschriften, Hochschulschriften, E-Books, E-Journals, Nationallizenzen, sowie im Bestand des institutionellen Repositoriums OPARU:

Etwa 400 Stichwörter führen Sie direkt zu einer einschlägigen Web-Seite des kiz. Wenn Sie ein Stichwort vermissen, geben Sie uns Nachricht an das Team Public Relations.

A-Z-Liste