Entropie ist ein Maß für die Zufälligkeit und damit für die Stärke eines Passworts. Sie wird in Bits gemessen.

Je höher die Entropie, desto mehr Kombinationen muss ein Angreifer durchprobieren:

• 40 Bits: 1 Billion Kombinationen (~Sekunden)
• 80 Bits: 1,2 × 10²⁴ Kombinationen (~Jahrhunderte)
• 128 Bits: 3,4 × 10³⁸ Kombinationen (> Alter des Universums)

Die Entropie wird berechnet mit: E = L × log₂(R) (L = Länge, R = Zeichensatz).

Die Zeit hängt von der Entropie und der Rechenleistung des Angreifers ab. Bei 10 Milliarden Versuchen pro Sekunde:

• 8 Zeichen, nur Zahlen: Sekunden
• 10 Zeichen, Buchstaben & Zahlen: Minuten bis Stunden
• 12 Zeichen, alle Typen: Jahre bis Jahrzehnte
• 16 Zeichen, alle Typen: Milliarden von Jahren

Fazit: Ein 16-stelliges Passwort mit allen Zeichentypen ist praktisch unknackbar.

Beides sind wichtige Sicherheitskonzepte:

• Verschlüsselung:
  • Daten werden mit einem Schlüssel umgewandelt
  • Umkehrbar: Mit dem richtigen Schlüssel entschlüsselbar
  • Beispiel: Passwörter im Passwort-Manager
• Hashing:
  • Daten werden zu einem Hash-Wert umgewandelt
  • Nicht umkehrbar: Aus dem Hash kann man die Original-Daten nicht rekonstruieren
  • Beispiel: Passwörter in Datenbanken (gespeichert als Hash)

Wichtig: Seriöse Dienste speichern dein Passwort gehasht – nicht im Klartext!

Ein Passwort-Manager bietet viele Vorteile:

• Einzigartige Passwörter: Für jeden Dienst ein eigenes, starkes Passwort
• Verschlüsselung: Alle Passwörter sind verschlüsselt gespeichert
• Automatisch ausfüllen: Kein manuelles Eintippen mehr – schützt vor Phishing
• Passwort-Generator: Erstellt automatisch sichere Passwörter
• Synchronisation: Verfügbar auf allen Geräten

Empfohlen: Bitwarden (kostenlos, Open Source), 1Password, KeePass, Dashlane

Eine Passphrase besteht aus mehreren zufälligen Wörtern, die zu einem Satz kombiniert werden. Beispiel: "correct-horse-battery-staple"

• Vorteile: Leicht zu merken, schwer zu knacken
• Sicherheit: 4 Wörter (Diceware, 7776 Wörter) = ~52 Bits Entropie
• Empfehlung: 5-6 Wörter für 64-77 Bits Entropie
• Tipp: Verwende zufällige Wörter, keine zusammenhängenden Sätze

Phishing ist der Versuch, über gefälschte Websites oder E-Mails an deine Passwörter zu gelangen. So schützt du dich:

• Prüfe die URL: Immer auf die korrekte Domain achten (z.B. paypal.com nicht paypa1.com)
• Nicht auf Links in E-Mails klicken: Öffne die Website manuell im Browser
• Passwort-Manager nutzen: Sie erkennen gefälschte Seiten, da die URL nicht zur gespeicherten Domain passt
• 2FA aktivieren: Selbst mit geklautem Passwort kommt der Angreifer nicht an dein Konto
• Misstrauisch sein: E-Mails mit Dringlichkeit oder Drohungen sind oft Phishing

Die Empfehlungen haben sich geändert:

• Alte Empfehlung: Alle 30-90 Tage ändern (führt zu schwachen Passwörtern)
• Aktuelle Empfehlung: Nur ändern, wenn ein konkreter Verdacht besteht
• Ausnahmen: Bei Datenlecks, Phishing-Verdacht oder verlorenen Geräten

Besser: Nutze einen Passwort-Manager mit einzigartigen, starken Passwörtern und aktiviere 2FA. Das ist sicherer als häufige Passwort-Änderungen.

Ein Datenleck liegt vor, wenn ein Dienst kompromittiert wurde und Passwörter, E-Mails oder andere Daten gestohlen wurden.

Prüfung:

• Nutze Have I Been Pwned – gib deine E-Mail ein
• Viele Passwort-Manager haben integrierte Datenleck-Prüfungen
• Kostenlose Dienste wie Firefox Monitor informieren dich bei neuen Leaks

Was tun bei Betroffenheit:

• Passwort sofort ändern
• 2FA aktivieren, falls nicht vorhanden
• Bei gleichem Passwort bei anderen Diensten auch dort ändern

2FA (Zwei-Faktor-Authentifizierung) fügt eine zweite Sicherheitsebene zu deinem Passwort hinzu.

Wie es funktioniert:

• Faktor 1: Dein Passwort (etwas, das du weißt)
• Faktor 2: Ein Einmal-Code oder eine Bestätigung (etwas, das du hast, z.B. Handy)

Arten von 2FA:

• TOTP (Authenticator-Apps): Google Authenticator, Authy, Microsoft Authenticator
• SMS: Einmal-Code per SMS (weniger sicher)
• Hardware-Token: YubiKey oder ähnliche Geräte

Empfehlung: Aktiviere 2FA bei allen wichtigen Diensten (E-Mail, Banking, Social Media).

Diese Passwörter sind besonders unsicher und sollten niemals verwendet werden:

• Die 10 häufigsten Passwörter: 123456, password, 123456789, 12345, 12345678, qwerty, 1234567, 111111, 123123, 000000
• Persönliche Daten: Namen, Geburtstage, Straßen, Telefonnummern
• Tastaturmuster: qwertz, asdf, 1234, 0000
• Echte Wörter: Aus Wörterbüchern (Hacker nutzen Wörterbuchangriffe)
• Wiederholungen: aaaa, 1111, ababab

Tipp: Verwende den Passwort-Generator für zufällige, starke Passwörter.

Ein sicheres Passwort erfüllt diese Kriterien:

• Länge: Mindestens 12 Zeichen, besser 16+
• Vielfalt: Kombination aus Groß-/Kleinbuchstaben, Zahlen und Sonderzeichen
• Einzigartigkeit: Keine echten Wörter, Namen oder persönliche Daten
• Keine Muster: Keine Tastaturmuster (qwertz, 1234) oder Wiederholungen
• Zufälligkeit: Zufällig generiert – nicht selbst ausgedacht

Empfehlung: Nutze den Passwort-Generator für zufällige, starke Passwörter.