Wenn Laien sich für Profis halten - Leserbrief

Eine Kolumnistin schrieb über das Bedürfnis, sich "leicht zu merkende" Passwörter auszudenken. Ganz blöde Idee auf so vielen Ebenen.

[veröffentlicht am 07.05.2025]

Die Kolumne von Fr. Rolfs kommt zwar im humoristischen Gewand daher, aber die Kernaussage dahinter ist eine gefährliche Verharmlosung der falschen Benutzung von Passwörtern. Sie fabuliert, dass Menschen sich “einfache” Passwörter ausdenken und natürlich dann überall dasselbe, leicht zu merkende Passwort verwenden, weil es ja so anstrengend sei, für regelmäßige Passwortänderungen immer wieder “gute” Passwörter zu finden. Dieses Konzept ist grundfalsch.

Erstens ist es falsch, sich selbst als Mensch ein “gut zu merkendes” Passwort auszudenken. Darin sind Menschen nicht gut. “Gut zu merken” ist ein Synonym für “schlechtes, leicht ermittelbares Passwort”. Mittlerweile sind Passwortgeneratoren in jedem Handy und in jedem Browser enthalten und es gibt spezielle Software, die richtig gute zufällige Passwörter zusammenbauen kann. Niemand muss sich heutzutage mehr Passwörter selbst merken!

Zweitens ist es falsch, regelmäßige Passwortänderungen zu erzwingen (leider machen das gerade viele Firmen immer noch falsch, monatlich oder im Quartal neue Passwörter zu verlangen). Das BSI (Bundesamt für Sicherheit in der Informationstechnik) schreibt seit längerem, dass die Sicherheit von der Länge des Passworts abhängt und gerade nicht vom regelmäßigen Wechsel. Es schlägt sogar vor, dass Passwörter nur bei Verdacht auf Kompromittierung geändert werden sollten. Im BSI-Grundschutz Punkt ORP4.A23 heißt es ausdrücklich: "IT-Systeme oder Anwendungen sollten Anwender nur mit einem validen Grund auffordern, das Passwort zu wechseln, reine zeitgesteuerte Wechsel werden nicht empfohlen."

Drittens ist es seit Jahren gängige Praxis, einen zweiten Faktor zu verwenden, z.B. einen PIN-Generator wie den Google oder Microsoft Authenticator auf dem Handy (2FA). SMS als zweiten Faktor sollte man vermeiden, da SMS ungeschützt übermittelt werden und mehrere Arten von Angriffen möglich sind. Mit diesem zweiten Faktor wird das Eindringen und Hacken deutlich erschwert. Dieses Verfahren sollte überall zwingend eingesetzt werden.

Google, Apple und viele andere Firmen empfehlen mittlerweile statt Passwörtern die sog. “Passkeys” zu verwenden, die das eigene Gerät nie verlassen, sondern nur mit einem mathematischen Verfahren “beweisen”, das der Inhaber legitim handelt. Hier sollte man überlegen, ob man sich an das Ökosystem von Android bzw. Apple bindet und die Passkeys direkt auf dem Smartphone speichert, man eine Drittanbietersoftware wie z.B. “1Password” oder sogar spezielle Zusatzgeräte wie USB-Sticks mit “Fido2”-Technik verwendet. Letztere erleichtern den Wechsel des Geräts bei Verlust oder Neuanschaffung und auch den Wechsel von einem Hersteller zu einem anderen.

Insgesamt bleibt zu wünschen, dass sich Kolumnisten auch bei Beiträgen mit humoristischen Hintergrund auf ihr Fachgebiet beschränken sollten und nicht bei Ausflügen in fachfremde Gebiete verklausuliert Empfehlungen aussprechen, die bei Laien einen falschen Eindruck hervorrufen könnten und die Sicherheit ihrer Geräte verschlechtert.

Die Bundeswehr wurde abgehört - Leserbrief

Die Abhöraffäre der Bundeswehr über den Einsatz von Taurus-Marschflugkörpern erregt gar nicht so viel Aufmerksamkeit, wie sie eigentlich verdient hätte. Zur Glosse in der WZ schrieb ich ein paar Anmerkungen zur Verwendung proprietärer Software, die man nicht unter eigener Kontrolle hat.

[veröffentlicht am 14.03.2024]

Fr. Warnecke spricht einen wichtigen Punkt an: die digitale Souveränität, insbesondere das staatliche Handeln in Krisenfällen, ist in Gefahr, wenn wir Software verwenden, deren Quellen und Betrieb nicht der eigenen Kontrolle unterliegen.

Das ist der Fall bei allen ausländischen Diensten nicht nur für Videokonferenzen wie Zoom, WebEx, Teams, BlueJeans etc. Diese Dienste werden auf Servern betrieben, auf die Deutschland keinen Einfluss hat, und die Quelltexte der zugrundeliegenden Software sind nicht einsehbar.

Es ist also nicht nur so, dass bei Verwendung dieser Dienste die Gefahr von z.B. russischen Hackern besteht, sondern natürlich auch das gewollte Abhören durch “befreundete” Dienste. Dass der deutsche Staat und seine Organe abgehört werden, wissen wir seit Assange und Snowden, und die milde Empörung von Merkel (“Abhören unter Freunden geht gar nicht”) war ungefähr die zahmste und zahnloseste Reaktion, die man sich vorstellen kann.

Die Alternative besteht darin, Software zu verwenden, deren Abläufe man selbst prüfen kann (“Open Source Software”, OSS) und die man selbst betreibt. Der Wetteraukreis ist hier bei der regionalen Lösung für Schulen, die bis 2022 verwendet wurde, eine der wenigen positiven Ausnahmen gewesen: das damalige “wtkedu” hat eine Videokonferenzlösung aus und in Deutschland verwendet. Auch das staatliche Schulamt für den Wetteraukreis verwendet mit “Big Blue Button” eine OSS-Lösung, die in Deutschland betrieben wird. So geht verantwortungsvolles Handeln. Schulen sind natürlich nicht das primäre Ziel von ausländischen Abhöraktivitäten, aber das befolgte Prinzip ist vernünftig. Es gibt auch staatliche Institutionen, die auf Open Source setzen und entsprechende Dienstleistungen anbieten. Der Heise Newsticker hat hier schon vor Jahren über das “Projekt Phoenix” bei Dataport berichtet.

Auch bei PC-Arbeitsplätzen wäre es mittlerweile sinnvoll, sich von Microsoft Windows abzuwenden: der unkontrollierte und nicht abschaltbare Datenabfluss in Windows 10 und 11 ist genauso ärgerlich wie die zunehmende Überfrachtung mit Werbung und Zwangsmaßnahmen wie die Online-Benutzeranmeldung bei Microsoft. Linux ist seit Jahren eine ernst zu nehmende Alternative, und es gibt Varianten, die den Umstieg von Windows durch die Ähnlichkeit der Bedienung enorm erleichtern. “Linux Mint” z.B. sieht nahezu genauso aus wie Windows. Das hätte nebenbei auch den Vorteil, dass man sich vom höllischen Dreigestirn Active Directory, Exchange und Outlook lösen könnte, die für die meisten der aktuellen Sicherheitsprobleme und Erpressungsvorfälle bei Krankenhäusern, Ämtern, Behörden und Firmen verantwortlich sind.

Inwieweit die aktuelle Abhöraffäre der Bundeswehr eine tatsächliche Gefahr darstellt oder ein geplantes Täuschungsmanöver war, wird vermutlich im Dunkeln bleiben. Es ist offensichtlich, dass eine ungeschützte Telefoneinwahl eines Teilnehmers in Singapur ein offenes Scheunentor für das Abhören darstellt. Die veröffentlichten Gesprächsinhalte lassen aber vermuten, dass schon vor der Telefoneinwahl abgehört wurde. Wenn man Verschwörungstheorien mag, könnte das alles Absicht gewesen sein. Dies kann man natürlich ad infinitum weiter spinnen (“die wissen, dass wir wissen, dass sie wissen ...” usw.).