Oracle Senior IT

Empfehlungen zur Passwort-Security

Nur jedes vierte Passwort ist sicher

05.01.2012
Von 
Dr. Klaus Manhart hat an der LMU München Logik/Wissenschaftstheorie studiert. Seit 1999 ist er freier Fachautor für IT und Wissenschaft und seit 2005 Lehrbeauftragter an der Uni München für Computersimulation. Schwerpunkte im Bereich IT-Journalismus sind Internet, Business-Computing, Linux und Mobilanwendungen.

Empfehlungen für Passwortsicherheit

Und so schützen Sie Datenbanken und andere unternehmensrelevante Informationen:

  • Rainbow-Tabellen "versalzen": Unternehmen, die sich für den Schutz von Kundenpasswörtern nur auf die SHA-1-Hashfunktion verlassen, machen es Hackern einfach. Die simple Verschlüsselung lässt sich mit Rainbow-Tabellen, die teilweise frei im Internet verfügbar sind, leicht überwinden. Ein effektiver - wenn auch nicht unüberwindbarer - Schutz dagegen ist "Salting". Ein sogenannter Salt-Wert ist eine zufällige Zahl, die dem Passwort vor der Verschlüsselung hinzugefügt wird. Das Ergebnis: Der Entschlüsselungsaufwand steigt exponentiell.

  • Lange Passwörter erlauben: Die Verwendung längerer Passwörter - im besten Fall sogenannter "Pass-Phrasen" - verbessert die Sicherheit. Gleichzeitig erlauben längere Zugangsdaten leichter zu merkende Kombinationen, so dass die Mitarbeiter sich keine Zettel schreiben und an ihren Bildschirm kleben müssen.

  • Eine starke Passwort-Richtlinie vorgeben: Diese sollte nicht nur bestimmte Zeichentypen vorgeben, sondern die gewählten Kombinationen auch mit Hacker-Wörterbüchern vergleichen. Hotmail beispielsweise erlaubt seit kurzem keine verbreiteten Passwörter mehr. Auch seitenspezifische Begriffe sollten überprüft und eingeschränkt werden.

"Unternehmen können sich bei der Wahl sicherer Passwörter nicht auf Mitarbeiter und Kunden verlassen", heißt es in der Studie. "Unsichere Passwörter bergen immer das Risiko eines Imageverlustes - daher sollten entsprechende Richtlinien die Endanwender dabei unterstützen, ihre eigenen Daten ausreichend abzusichern. Wir empfehlen Unternehmen, Passwörter als sehr wertvolle Informationen zu betrachten - und diese Einschätzung in ihren Datensicherheitsrichtlinien auch praktisch umzusetzen."

Der vollständige Report ist hier abrufbar.