Wie stark muss ein Passwort wirklich sein?

Passwortstärke wird üblicherweise in Bits an Entropie gemessen – grob gesagt, wie viele Versuche ein Brute-Force-Angreifer bräuchte, um alle Möglichkeiten durchzuprobieren, wobei jedes zusätzliche Bit diese Zahl verdoppelt. Ein zufälliges Passwort aus einem einigermaßen großen Zeichensatz erreicht eine Stärke – bei einer Länge von 14 bis 16 Zeichen etwa 70 bis 80 Bit –, die bequem jenseits dessen liegt, was ein Brute-Force-Angriff auf ein ordentlich gesichertes Konto in praktikabler Zeit durchprobieren könnte, egal ob der Angreifer online gegen ein ratenbegrenztes Login-Formular rät oder offline gegen eine gestohlene, korrekt gehashte Passwortdatenbank. Jenseits dieser Schwelle hält jedes weitere Bit theoretischer Stärke ein Passwort nur noch in einem abstrakten Sinn „widerstandsfähiger gegen Brute-Force" – einem Sinn, der in der Praxis keine Rolle mehr spielt, weil Brute-Force für ein Passwort in diesem Bereich ohnehin nie die realistische Bedrohung war.

Sicherheitsforschung und Analysen realer Datenlecks weisen immer wieder auf eine andere, weniger spektakuläre Ursache hin, die hinter der großen Mehrheit realer Kontoübernahmen steckt: Credential Stuffing. Dabei nimmt ein Angreifer eine Liste von E-Mail-Passwort-Kombinationen, die bei einem gehackten Dienst geleakt wurde, und probiert dieselben Kombinationen einfach bei anderen Diensten aus – in der Hoffnung auf die äußerst verbreitete Angewohnheit, ein Passwort für mehrere Konten wiederzuverwenden. Ein Passwort, das für sich genommen extrem stark ist – Dutzende Bits an Entropie, aus einem riesigen Zeichensatz gezogen –, bietet gegen genau diesen Angriff exakt null Schutz, wenn es woanders wiederverwendet wird und jener andere Dienst jemals gehackt wurde, denn der Angreifer versucht das Passwort gar nicht erst zu erraten; er hat es bereits, wortwörtlich, aus einem völlig anderen Leak. Genau deshalb ist die Einzigartigkeit eines Passworts über verschiedene Dienste hinweg für die reale Kontosicherheit vermutlich ein größerer Hebel als die reine Passwortstärke – eine Schlussfolgerung, die alle überrascht, die „mach es stärker" als die ganze Weisheit der Passwort-Ratschläge verinnerlicht haben.

Ein Passwort-Manager umgeht das gesamte Spannungsfeld zwischen Stärke und Merkbarkeit, indem er die Notwendigkeit, sich die meisten Passwörter überhaupt zu merken, einfach beseitigt: Er kann für jedes Konto ein langes, vollständig zufälliges, einzigartiges Passwort erzeugen und speichern, ohne dass sich ein Mensch je eines davon merken müsste – und schließt damit Credential Stuffing als Angriffsvektor für jedes von ihm verwaltete Konto aus, da keine zwei Passwörter je gleich sind und ein Leak des einen dem Angreifer nichts Brauchbares über ein anderes verrät. Deshalb lautet die praktische, ehrliche Empfehlung für die überwältigende Mehrheit der Online-Konten schlicht: einen Passwort-Manager nutzen und ihn maximal lange, zufällige Passwörter erzeugen lassen. Die Abwägung zwischen Stärke und Merkbarkeit, über die sich die meisten Passwort-Ratgeber den Kopf zerbrechen, bleibt nur noch für die kleine Handvoll Passwörter eine echte Designentscheidung, die schlicht nicht in einem Manager leben können – vor allem das Master-Passwort des Managers selbst und Passphrasen für die Festplattenverschlüsselung. Genau deshalb bleiben einprägsame Passphrasen aus zufällig gewählten Wörterbuchwörtern für diesen engen, wirklich unvermeidbaren Fall ein besonders nützliches Werkzeug.

Jahrelang empfahlen offizielle Richtlinien von Stellen wie dem NIST verpflichtende Komplexitätsregeln für Passwörter – eine vorgeschriebene Mischung aus Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen – zusammen mit einem erzwungenen periodischen Passwortwechsel alle 60 oder 90 Tage, und Organisationen übernahmen beides breitflächig als Standardrichtlinie. Spätere Überarbeitungen derselben Richtlinien strichen beide Empfehlungen wieder, gestützt auf Belege, dass sie in der Praxis regelrecht kontraproduktiv waren: Erzwungene Komplexitätsregeln treiben Menschen zu vorhersehbaren Ersetzungsmustern, die im Wörterbuch eines Angreifers längst berücksichtigt sind (ein vorgeschriebenes Sonderzeichen wird zuverlässig zu einem „!" am Ende, eine vorgeschriebene Ziffer zuverlässig zum Ersetzen eines „o" durch eine „0"), und erzwungene periodische Rotation treibt Menschen zu kleinen, vorhersehbaren, schrittweisen Änderungen an einem bestehenden Passwort statt zu wirklich neuen – und erzeugt dabei echte Reibung, die messbar dazu führt, dass Menschen aus Frust Passwörter aufschreiben oder anderswo wiederverwenden. Aktuelle Richtlinien legen den Schwerpunkt stattdessen auf Länge, auf den Abgleich neuer Passwörter mit Listen bekannt geleakter Passwörter, und darauf, den Zwangswechsel zugunsten eines Wechsels nur bei tatsächlich bekannter Kompromittierung eines Kontos aufzugeben – ein Wandel, der auf Belegen dafür beruht, was reale Sicherheit wirklich verbessert, statt darauf, was auf einer Compliance-Checkliste bloß rigoros aussieht.

Für ein gewöhnliches Online-Konto hinter einem Passwort-Manager gilt: Ein vollständig zufälliges Passwort mit mindestens sechzehn Zeichen aus einem großen Zeichensatz liegt bequem jenseits des Punkts, an dem Stärke der begrenzende Faktor ist – der praktisch wichtige Schritt ist einfach, dass es für genau dieses eine Konto einzigartig ist. Für ein Master-Passwort oder eine Verschlüsselungs-Passphrase, die man sich merken und von Hand eintippen muss, erreicht eine Passphrase aus fünf oder sechs zufällig aus einer großen Wortliste gewählten Wörtern eine vergleichbare Stärke wie ein kürzeres, zufälliges Zeichenpasswort, bleibt dabei aber tatsächlich merkbar und zuverlässig eintippbar – genau der Fall, in dem die Abwägung zwischen Länge und Merkbarkeit real ist und sorgfältiges Nachdenken verdient. Und für jedes Konto dazwischen ist die Gewohnheit mit der größten Wirkung nicht, sich abstrakt darüber den Kopf zu zerbrechen, ob ein Passwort stark genug ist – sondern sicherzustellen, dass es nicht dasselbe Passwort ist, das auch irgendetwas anderes schützt, denn genau dieses Fehlverhalten ist für die meisten realen Kompromittierungen verantwortlich.