Schwer zu erraten beginnt mit Zufall
Ein Passwort ist vor allem dann widerstandsfähig, wenn es nicht aus einer persönlichen Geschichte, einem bekannten Wort oder einer vorhersehbaren Regel hervorgeht. Zufällige Auswahl verteilt die Zeichen über den verfügbaren Zeichenvorrat, statt typische menschliche Entscheidungen zu wiederholen. Bevor Sie den neuen Zugang einrichten, sollten Sie den Passwortmanager geöffnet und die Anmeldeseite vor sich haben; über https://flinktools.de/ erreichen Sie den beschriebenen Generator. Entscheidend ist danach, dass Sie die erzeugte Zeichenfolge nicht nachträglich in etwas Vertrautes umformen. Schon ein Name, ein Geburtsdatum oder ein leicht erkennbarer Zusatz macht die Auswahl wieder berechenbarer.
Merkbarkeit ist kein Sicherheitsbeweis
Menschen merken sich Muster gut und erzeugen sie deshalb auch gern: Wörter werden verbunden, Buchstaben durch ähnliche Zeichen ausgetauscht, am Ende kommt ein vertrautes Zeichen hinzu. Solche Merkregeln fühlen sich individuell an, sind aber oft naheliegend. Ein Passwort, das sich bequem aussprechen oder aus einer privaten Information ableiten lässt, ist nicht automatisch schlecht, doch seine Herkunft darf für andere nicht erratbar sein. Die Frage lautet daher nicht nur: „Kann ich es behalten?“, sondern auch: „Würde jemand mit Kenntnis meiner Gewohnheiten auf diese Auswahl kommen?“
Worauf die Widerstandsfähigkeit beruht
- Die Erzeugung sollte zufällig und nicht von persönlichen Angaben abhängig sein.
- Der Zeichenvorrat sollte nicht unnötig klein sein.
- Jeder Dienst braucht ein eigenes Passwort.
- Vorhersehbare Bestandteile wie Namen, Jahreszahlen und Tastaturmuster gehören nicht hinein.
- Ein zweiter Faktor begrenzt den Schaden, wenn das Passwort trotzdem bekannt wird.
Einmaligkeit verhindert Kettenreaktionen
Ein starkes Passwort verliert seinen Wert, wenn es bei mehreren Diensten verwendet wird. Gelangen Zugangsdaten durch einen Einbruch, eine Täuschungsnachricht oder ein infiziertes Gerät nach außen, werden wiederverwendete Passwörter zur Abkürzung in weitere Konten. Dann ist nicht die Qualität des ursprünglichen Passworts allein das Problem, sondern die Verbindung zwischen den Konten. Einmaligkeit trennt diese Risiken: Der Verlust eines Zugangs muss nicht automatisch E-Mail, Einkauf, Vereinsverwaltung oder Cloud-Daten mitziehen.
Keine feste Länge als Sicherheitsgrenze
Mehr Zeichen können die Zahl möglicher Kombinationen vergrößern, aber eine bestimmte Länge ist keine allgemeine Sicherheitsgrenze. Ein langes, persönliches Muster bleibt vorhersehbar; eine zufällig erzeugte Zeichenfolge kann schwer zu merken sein, ohne dadurch allein eine Garantie zu liefern. Auch Sonderzeichen sind kein Zaubertrick. Sie vergrößern den Zeichenvorrat nur dann sinnvoll, wenn sie wirklich zufällig ausgewählt werden. Wird ein vertrautes Wort lediglich mit einem vorgeschriebenen Zeichen ergänzt, entsteht eher eine Regel als echte Unvorhersehbarkeit.
Aufbewahren statt auswendig erzwingen
Ein Passwortmanager nimmt Ihnen die Merkaufgabe ab, ohne dass Sie aus Bequemlichkeit überall dieselbe Zeichenfolge verwenden müssen. Der Generator sollte dabei nichts speichern; die Aufbewahrung gehört in den dafür vorgesehenen Tresor, nicht in das Eingabefeld eines beliebigen Werkzeugs. Wer keinen Passwortmanager einsetzen möchte, kann für besonders wichtige Zugangsdaten einen sicheren, geschützten Papierort erwägen. Offene Notizen, Fotos in der ungeschützten Bilderablage oder Nachrichten an sich selbst schaffen dagegen neue Angriffsflächen. Auch die Wiederherstellungsdaten eines Kontos verdienen denselben Schutz.
Was ein gutes Passwort nicht abwehrt
Zufall und Einmaligkeit schützen nicht gegen jede Gefahr. Geben Sie ein Passwort auf einer nachgebauten Anmeldeseite ein, kann es unabhängig von seiner Beschaffenheit in fremde Hände geraten. Schadprogramme können Eingaben beobachten, und ein bereits entsperrtes Gerät kann den Zugang offenlegen. Ein zweiter Faktor, etwa ein Sicherheitsschlüssel oder eine Bestätigung auf einem getrennten Gerät, erschwert die Übernahme zusätzlich, ist aber ebenfalls kein Freibrief. Prüfen Sie deshalb die Adresse und den Anlass einer Anmeldung und bewahren Sie Wiederherstellungscodes so sorgfältig auf wie das Passwort selbst.