Du musst dir nur zwei Passwörter merken

„Ich habe nicht viel – warum sollte mich jemand ins Visier nehmen?“ Das ist eine der häufigsten Vorstellungen, die Menschen über ihre Sicherheit im Internet haben. Es ist aber auch die Vorstellung, die den größten Schaden anrichtet.

Überleg mal, was das eine Person gekostet hat. Klar, sie war zu gewöhnlich, um ins Visier zu geraten, und hat ein einziges Passwort verwendet, das sie sich merken konnte – ein wirklich sicheres –, und zwar für alles: E-Mail, Social-Media-Konten, Online-Shops. Und, weil es einfacher war, auch fürs Online-Banking. Dann gab es ein Datenleck auf einer dieser Seiten, so wie es jedes Woche gibt. Das durchgesickerte Passwort wurde automatisch bei jedem anderen Konto ausprobiert – und es funktionierte. Sie merkten es erst, als das Bankkonto leer war und nichts mehr zum Bezahlen übrig war. Die folgenden Wochen lebten sie von geliehenem Geld.

Dafür musste man weder reich noch wichtig sein. Und genau das ist das Unangenehme daran: Der Angriff hat sie gar nicht gezielt ausgewählt – das hat die Software getan, und zwar nach dem Zufallsprinzip, sobald ein Passwort überall wiederverwendet wurde.

Überleg mal, wie viele Passwörter Du eigentlich haben solltest. E-Mail, Online-Banking, die Shopping-Seiten, die Streaming-Dienste, die Zugänge für die Arbeit, das für die Stadtverwaltung, das für das Ding, bei dem Du Dich 2019 mal angemeldet hast. Niemand kann sich Dutzende verschiedener langer, zufälliger Passwörter merken. Also tun die Leute das Einzige, was ihnen möglich erscheint: Sie suchen sich ein Passwort aus, das sie sich merken können, und verwenden es fast überall, vielleicht mit einer „1“ oder einem „!“ am Ende für die Seiten, die das verlangen.

Das ist völlig verständlich. Es ist aber auch die gefährlichste Angewohnheit im Internet – und das Überraschende daran ist: Wenn Du das änderst, wird Dein Leben einfacher, nicht schwieriger. Am Ende wirst Du Dir nur noch zwei Passwörter merken müssen statt zwanzig, und die anderen werden sicherer sein als alles, was Du Dir selbst ausdenken könntest.

Was macht ein Passwort eigentlich „sicher“?

Den meisten von uns wurde die falsche Lektion beigebracht. „Sicher“ sollte angeblich bedeuten, einen Großbuchstaben, eine Zahl und ein Kringel hinzuzufügen – Summer2024! – und fertig. Angreifer lieben das, weil alle das Gleiche tun – etwas Vorhersehbares.

Der wichtigste Faktor sind nicht irgendwelche Schnörkel. Es ist die Länge. Ein kurzes Passwort voller Sonderzeichen lässt sich von einem Computer leichter knacken als ein langes, einfaches, denn das Knacken ist größtenteils ein Zahlenspiel, und jedes zusätzliche Zeichen vervielfacht den Aufwand enorm. Vier zufällige Wörter aneinandergereiht – so etwas wie copper-violin-harbor-tuesday – sind für einen Menschen leicht vorstellbar und für eine Maschine absurd schwer zu erraten.

Ein wirklich sicheres Passwort lautet also:

• Lang – wähle am besten eine Passphrase aus mehreren zufälligen Wörtern, statt einer kurzen, cleveren Zeichenfolge.
• Einzigartig – wird nur für dieses eine Konto verwendet und nirgendwo sonst (mehr dazu im nächsten Abschnitt).
• Es geht nicht um Dich – nicht um Deinen Namen, Deinen Geburtstag, Dein Haustier, Deine Lieblingsmannschaft oder irgendetwas, was jemand in Deinen Profilen finden könnte.

Der Fehler, den fast jeder macht

Ein Passwort überall wiederzuverwenden, scheint praktisch zu sein. Das Problem ist: Was passiert, wenn auch nur eine einzige Seite, auf der Du es benutzt hast, ein Datenleck hat – und Seiten haben ständig Datenlecks. Die Angreifer verschaffen sich nicht nur Zugang zu dieser einen Seite. Sie nehmen die Liste der durchgesickerten E-Mail- und Passwort-Paare und probieren diese automatisch bei Hunderten anderer Dienste aus: bei Deiner E-Mail, Deiner Bank, Deinen Online-Shopping-Konten. Das kommt so häufig vor, dass es sogar einen Namen hat – credential stuffing – und es funktioniert genau deshalb, weil so viele Menschen dasselbe Passwort wiederverwenden.

Mit anderen Worten: Wenn Du ein Passwort mehrfach verwendest, bist Du nur so sicher wie die schwächste Website, bei der Du Dich jemals angemeldet hast. Ein einziges vergessenes Forum von vor Jahren kann jemandem heute den Zugang zu Deinem E-Mail-Konto ermöglichen.

Was Dir niemand verrät: Du musst Dir nur zwei merken

Hier ist die neue Sichtweise: Du sollst Dir nicht für jedes Konto ein anderes sicheres Passwort merken – das schafft kein Mensch, und der Versuch, das zu tun, führt dazu, dass man Passwörter wiederverwendet. Du sollst das der Software überlassen.

Ein Passwort-Manager ist eine App, die für jedes Konto ein langes, zufälliges und einzigartiges Passwort erstellt, alle hinter einem Master-Passwort sicher speichert und sie beim Einloggen automatisch für Dich eingibt. Du siehst diese Passwörter nie und gibst sie auch nie ein – das übernimmt der Manager. Das heißt, das Einzige, was Du Dir merken musst, sind:

1. Das Passwort (oder die PIN), mit dem bzw. der Du Dein Gerät entsperrst – Dein Handy oder Deinen Computer.
2. Das Hauptpasswort für Deinen Passwort-Manager.

Das war’s. Zwei. Leg Dir diese beiden langen Passphrasen zu, die Du noch nirgendwo anders verwendet hast, und der Manager kümmert sich um die anderen vierzig – jede davon anders, jede davon sicher.

Zwei ehrliche Anmerkungen, denn Sicherheit sollte man nie überbewerten: Halte eine Wiederherstellungsmethode für Deinen Manager bereit (wenn Du das Master-Passwort verlierst und keine Wiederherstellung eingerichtet hast, sind diese Passwörter verloren – das ist der Kompromiss bei echter Verschlüsselung) und aktiviere die Zwei-Faktor-Authentifizierung für Deine wichtigsten Konten, wobei Dir der Manager ebenfalls helfen kann. Beides ist nicht kompliziert und lohnt sich in zehn Minuten.

Welchen Passwort-Manager solltest Du verwenden?

Wahrscheinlich hast Du schon eine gute, und zwar kostenlos.

Wenn Du ein iPhone, iPad oder einen Mac nutzt – Apple Passwords. Die Funktion ist integriert, kostenlos und auf allen Deinen Apple-Geräten einheitlich: Sie schlägt Dir bei der Anmeldung sichere Passwörter vor, speichert sie automatisch und füllt sie in Safari und Deinen Apps automatisch aus. Auf neueren iPhones und Macs gibt es jetzt eine eigene Passwörter-App, aber diese Funktion wird schon seit Jahren still und leise über die Einstellungen bereitgestellt. Für die meisten Nutzer in der Apple-Welt ist das Aktivieren dieser Funktion bereits die komplette Lösung.

Für alle, die einen einzigen Manager für alle Geräte wollen – Proton Pass. Er ist kostenlos, läuft auf iPhone, Android und als Browser-Erweiterung auf jedem Computer, ist open source und durchgehend verschlüsselt – entwickelt vom Schweizer Team hinter Proton Mail. Wenn Du eine Mischung aus Apple-, Android- und Windows-Geräten nutzt, ist ein Passwort-Manager, der überall funktioniert und nicht nur in einem Ökosystem, langfristig die einfachere Lösung.

Beides ist eine echte Verbesserung gegenüber dem Selbermerken von Passwörtern. Das beste ist einfach das, das Du heute tatsächlich aktivierst.

So fängst Du an (ca. fünfzehn Minuten)

1. Aktiviere „Apple Passwords“ oder installiere Proton Pass und erstelle eine sichere Master-Passphrase.
2. Richte die Wiederherstellungsoption so ein, dass Du Dich niemals aussperren lässt.
3. Melde Dich bei Deinem E-Mail-Konto an und lass den Manager die Daten speichern – zuerst die E-Mail-Adresse, denn sie ist der Hauptschlüssel, der kann alles andere zurücksetzen.
4. Lass den Administrator in der nächsten Woche jedes Mal, wenn Du Dich irgendwo anmeldest, dieses Passwort durch ein neues, sicheres Passwort ersetzen. Du musst sie nicht alle auf einmal erledigen; hör einfach auf, neue schwache zu erstellen.

Das ist das ganze Projekt. Nicht „vierzig unmögliche Zeichenfolgen auswendig lernen“ – sondern einfach „sich zwei merken und den Rest einer App überlassen“.

Gute Sicherheit sollte kein Luxus oder ein Vollzeit-Hobby sein. 5bats entwickelt kostenlose Tools, die direkt auf dem Gerät laufen, damit Deine Sicherheit – egal, ob Du Code veröffentlichst oder einfach nur online unterwegs bist – nicht davon abhängt, dass Du dafür bezahlst oder ein Experte bist. Wenn Dir das weitergeholfen hat: In den Anleitungen und Tools geht’s noch tiefer, und weitere Artikel zum Thema Alltagssicherheit sind in Arbeit.