Eine geeignete Personengruppe zur Überprüfung dieses Themas wären Cybersicherheitsexperten, IT-Administratoren, Softwareentwickler mit Fokus auf Sicherheit, Datenschutzbeauftragte und Compliance-Manager.
Abstract
Dieser Vortrag behandelt die Geschichte, gängige Praktiken, Schwachstellen und zukünftige Trends von Authentifizierungsmethoden, insbesondere Passwörtern. Es werden grundlegende Definitionen von Passwörtern und Hash-Funktionen vorgestellt, gängige, unsichere Passwörter anhand geleakter Datensätze analysiert und die Bedeutung von Salting und Pepper im Hashing erläutert. Der Referent diskutiert die Nachteile traditioneller Passwortrichtlinien und beleuchtet Alternativen wie Einmal-Passwörter (Mail-Token, SMS, Magic Links, TOTP), Hardware-Tokens (FIDO-Keys) und Passkeys. Aktuelle Empfehlungen führender Sicherheitsorganisationen (BSI, CISA, CIS, NIST) werden verglichen, um die Vielfalt der Ansätze aufzuzeigen. Abschließend werden reale Szenarien mit unzureichenden Implementierungen sowie das Konzept der kontinuierlichen Authentifizierung als Zukunftsausblick vorgestellt und administrative Schutzmaßnahmen für unsichere Altsysteme diskutiert.
Wichtigste Punkte & Zeitstempel
0:43 Historie und Definition von Passwörtern: Ein Passwort ist eine geheime Zeichenfolge zur Authentifizierung von Personen oder IT-Systemen; PINs sind numerische Passwörter.
1:19 Gängige Passwortstatistiken: Das Hasso Plattner Institut und Nordpass zeigen, dass „123456“ und „Admin“ zu den beliebtesten Passwörtern gehören, basierend auf geleakten Datensätzen, die eine Verzerrung aufweisen.
3:51 Passwort-Hashing: Passwörter werden mittels kryptografischer Einwegfunktionen (Hashes) gespeichert, um den Klartext zu vermeiden; moderne GPUs (z.B. RTX 5090) erreichen Hash-Geschwindigkeiten von bis zu 340 Milliarden MD4-Hashes pro Sekunde, während Windows weiterhin MD4 verwendet.
9:50 Salting und Pepper: Zur Erschwerung von Angriffen werden Passwörter mit zusätzlichen Werten gehasht: Pepper (global für eine Plattform) schützt vor Rainbow Tables, während Salt (individuell pro Benutzer) eine Generierung plattformweiter Rainbow Tables unpraktikabel macht und Rückschlüsse auf Häufigkeiten verhindert.
11:47 Passwortrichtlinien und Angriffsvektoren: Analysen von Passwortlisten zeigen, dass 80% der Passwörter zwischen 8 und 12 Zeichen lang sind und hauptsächlich aus Kleinbuchstaben und Ziffern bestehen, was die Erstellung zielgerichteter Wordlists für Angreifer ermöglicht.
15:52 Nachteile von Passwörtern: Geringe Benutzerfreundlichkeit führt zu unsicheren Praktiken wie Wiederverwendung und Mustern, mangelnder Schutz vor Phishing, steigende Knackbarkeit alter Hash-Verfahren und persistenter Account-Zugriff bei Kompromittierung.
17:51 Einmal-Passwörter (OTP) und Magic Links: Serverseitig generierte, zeitlich begrenzte Passwörter (E-Mail, SMS) oder Links (Magic Links) eliminieren Credential Stuffing und persistenten Zugriff, sind aber anfällig für Kompromittierung des Transportwegs (E-Mail/SMS), SIM-Swap-Angriffe und beeinträchtigen die Benutzerfreundlichkeit.
22:07 Hardware-Tokens (HMAC-OTP, TOTP): Generatoren, die auf einem geteilten Secret und einem Zähler (HMAC-OTP) oder Zeitstempel (TOTP) basieren, bieten sicheren Transport, erfordern aber Gerätesynchronisation und bergen bei Verlust des Geräts Risiken.
24:00 Passwort-Manager: Verbessern die Benutzerfreundlichkeit, warnen vor Wiederverwendung und schützen durch URL-Abgleich vor Phishing, jedoch bergen lokal gespeicherte Master-Passwörter Risiken bei Infostealern; Cloud-Lösungen sind von der Sicherheit des Anbieters abhängig.
26:21 Omas Passwortbuch: Eine physische Lösung bietet vollständige Datenhoheit und ist immun gegen Malware-Angriffe, hat aber Nachteile bei Verschlüsselung, Backup und Phishing-Schutz (BSI-Empfehlung: 8 Zeichen merken, Rest notieren).
27:26 Multi-Faktor-Authentifizierung (MFA): Kombiniert mehrere Authentifizierungsfaktoren (Wissen, Besitz, Sein), was die Sicherheit erhöht und Phishing-Angriffe erschwert, erfordert jedoch einen höheren Komfortaufwand.
28:41 Single Sign-On (SSO): Zentralisierte Authentifizierung (z.B. Google, Facebook) bietet Komfort und Dienst-/Benutzerauthentifizierung, ist aber ein Single Point of Failure; sinnvoll für Low-Value-Accounts im Enterprise-Kontext.
31:21 FIDO (Fast Identity Online): Hardware-basierte Challenge-Response-Authentifizierung (z.B. YubiKey) ist phishing-resistent, sicher und MFA-fähig, aber nicht duplizierbar und erfordert physischen Besitz.
33:19 Passkeys: Software-verwaltete private Schlüssel, die Duplizierung und native OS-Integration ermöglichen, aber die Angriffsfläche bei fehlendem weiteren Faktor erhöhen, insbesondere wenn sie ohne MFA in Passwort-Managern gespeichert sind.
35:21 Kontinuierliche Authentifizierung (Zukunftstrend): Bewertet das Benutzerverhalten (Gerät, IP, Geolocation, Ressourcenanfragen, Tastatur-/Mausbewegung) nach initialer Authentifizierung, um Anomalien zu erkennen und den Benutzer bei Überschreitung eines Schwellenwerts abzumelden, was Datenschutzbedenken aufwirft.
37:44 Empfehlungen von Sicherheitsorganisationen: BSI, CISA, CIS und NIST geben unterschiedliche Richtlinien zur Passwortsicherheit heraus, die von Passkeys über Passphrasen bis zu Mindestlängen reichen, wobei die NIST-Richtlinien bewusst auf Komplexitätsvorgaben verzichten, um die Benutzerfreundlichkeit zu erhöhen.
41:51 Reale Anwendungsfälle: Booking.com erzwingt Mail-Token trotz starker Passwörter, Eventim schränkt Passkey-Nutzung ein, Mullvad VPN bietet eine private Anmeldung nur über eine Zahlenkolonne. Beispiele wie gekürzte Passwörter bei Heizungszählern oder festverdrahtete Passwörter in der Berliner Senatsverwaltung zeigen kritische Schwachstellen.
50:04 Administrative Maßnahmen: Zum Schutz unsicherer Systeme werden Proxys, WAFs, IP-Whitelisting, Netzsegmentierung und Monitoring empfohlen.
Glossar
Alpha-numerisch: Eine Zeichenfolge, die sowohl Buchstaben (alphabetic) als auch Ziffern (numeric) enthält.
Angriffsfläche: Die Summe aller Punkte (Vektoren) in einem System, über die ein unautorisierter Benutzer Daten eingeben oder extrahieren kann.
Asymmetrische Verschlüsselung (Public Key-Kryptografie): Ein kryptografisches Verfahren, das ein Schlüsselpaar verwendet: einen öffentlichen Schlüssel zum Verschlüsseln von Daten und einen privaten Schlüssel zum Entschlüsseln.
Backwards Compatibility (Abwärtskompatibilität): Die Fähigkeit eines Systems, einer Software oder eines Hardwareteils, mit älteren oder veralteten Versionen von sich selbst oder anderen Systemen zu interagieren.
Biometrie: Die Messung und statistische Analyse einzigartiger körperlicher und Verhaltensmerkmale von Menschen (z.B. Fingerabdruck, Gesichtserkennung) zur Identifizierung und Authentifizierung.
Botnetz: Ein Netzwerk von kompromittierten Computern (Bots), die von einem Angreifer gesteuert werden, um koordinierte Angriffe durchzuführen oder Spam zu versenden.
Brute-Force-Angriff: Eine Methode, bei der ein Angreifer systematisch alle möglichen Kombinationen von Zeichen ausprobiert, um ein Passwort oder einen Schlüssel zu erraten.
CA (Certificate Authority / Zertifizierungsstelle): Eine vertrauenswürdige Entität, die digitale Zertifikate ausstellt und deren Gültigkeit verwaltet.
CAPTCHA (Completely Automated Public Turing test to tell Computers and Humans Apart): Ein Test, der dazu dient, zu unterscheiden, ob der Benutzer ein Mensch oder ein Computer (Bot) ist.
Challenge-Response-Authentifizierung: Ein Protokoll, bei dem ein System (der "Challenger") eine zufällige Anfrage (die "Challenge") an einen Benutzer (den "Responder") sendet, der dann eine korrekte Antwort generieren muss, um sich zu authentifizieren.
Conditional Access (Bedingter Zugriff): Eine Sicherheitsfunktion, die den Zugriff auf Ressourcen basierend auf bestimmten Bedingungen (z.B. Benutzer, Gerät, Standort, Anwendungszustand) gewährt oder verweigert.
Credential Stuffing: Ein Cyberangriff, bei dem gestohlene Zugangsdaten (Benutzernamen und Passwörter) automatisch auf anderen Websites ausprobiert werden, da viele Benutzer dieselben Zugangsdaten mehrfach verwenden.
CTF (Capture The Flag): Eine Art von Hacking-Wettbewerb, bei dem Teilnehmer oder Teams versuchen, "Flags" (geheime Strings) zu finden, indem sie Schwachstellen in Systemen oder Anwendungen ausnutzen.
Darknet Dumps: Sammlungen von gestohlenen Daten, häufig Zugangsdaten und Passwörtern, die im Darknet veröffentlicht oder gehandelt werden.
Dichroitischer Spiegel (Dichroic Mirror): Ein optischer Filter, der Licht nur über einen engen Wellenlängenbereich reflektiert und andere Wellenlängen durchlässt.
Dictionary Attack (Wörterbuchangriff): Eine Methode, bei der ein Angreifer eine Liste von Wörtern (z.B. aus einem Wörterbuch) verwendet, um Passwörter zu erraten.
Discoverable Credentials: Ein Konzept im Rahmen von FIDO und Passkeys, bei dem die Anmeldeinformationen (wie Benutzername und Schlüssel) direkt auf dem Authentifikator gespeichert werden, sodass der Benutzer sie nicht manuell eingeben muss.
EEPROM (Electrically Erasable Programmable Read-Only Memory): Ein nichtflüchtiger Speichertyp, der Daten auch ohne Stromversorgung behält und elektrisch gelöscht und neu programmiert werden kann.
FIDO (Fast Identity Online): Ein Satz offener Standards für passwortlose Authentifizierung, die eine schnellere und sicherere Online-Anmeldung ermöglichen, oft unter Verwendung von Hardware-Tokens.
FIDO Key (FIDO-Schlüssel): Ein physisches Hardware-Gerät, das FIDO-Standards zur passwortlosen oder Zwei-Faktor-Authentifizierung unterstützt (z.B. YubiKey).
FPGA (Field-Programmable Gate Array): Ein integrierter Schaltkreis, dessen Funktion nach der Herstellung konfiguriert werden kann.
Grain of Salt (mit Vorsicht genießen): Eine Redewendung, die besagt, dass Informationen nicht vollständig ohne Skepsis akzeptiert werden sollten.
Hashing-Verfahren: Ein Algorithmus, der Eingabedaten beliebiger Größe in einen festen Wert (Hash-Wert) umwandelt. Ideal ist, dass der Hash-Wert nicht leicht zurückgerechnet werden kann und unterschiedliche Eingaben unterschiedliche Hash-Werte erzeugen.
Heuristische Analyse (Heuristics Analysis): Eine Methode zur Problemlösung, die auf Erfahrung und intuitiven Urteilen basiert, um eine wahrscheinliche Lösung zu finden, oft in Fällen, in denen eine exakte Lösung zu rechenintensiv wäre.
High-Value Target (Hochwertiges Ziel): Ein Objekt oder eine Person, die aufgrund ihres potenziellen Wertes für einen Angreifer besonders attraktiv ist.
HMAC-OTP (Hash-based Message Authentication Code One-Time Password): Ein Einmal-Passwort, das auf einem Hash-basierten Nachrichten-Authentifizierungscode basiert und einen gemeinsamen geheimen Schlüssel sowie einen Zähler verwendet.
IP-Whitelist: Eine Liste von autorisierten IP-Adressen, die Zugriff auf ein System oder einen Dienst erhalten; alle anderen Adressen werden blockiert.
Keylogger: Eine Art von Malware oder Hardware-Gerät, das Tastatureingaben eines Benutzers aufzeichnet, um Passwörter und andere sensible Informationen zu stehlen.
Klartext (Plaintext): Daten, die nicht verschlüsselt sind und direkt gelesen oder verstanden werden können.
Kryptographie: Die Wissenschaft und Praxis der sicheren Kommunikation in Gegenwart Dritter.
Light-Guide (Lichtleiter): Eine Vorrichtung, die Licht durch innere Reflexion von einem Punkt zu einem anderen leitet, oft um die Lichtverteilung zu homogenisieren.
Lockscreen (Sperrbildschirm): Der Bildschirm auf einem Gerät (z.B. Smartphone), der den Zugriff auf das Gerät verhindert, bis eine bestimmte Aktion (z.B. PIN-Eingabe, Wischmuster) ausgeführt wird.
Low-Value Account (Niedrigwertiger Account): Ein Benutzerkonto, das bei einer Kompromittierung geringe Risiken oder Schäden verursacht.
Magic Link: Ein spezieller, einmalig verwendbarer URL-Link, der dem Benutzer per E-Mail zugesandt wird und beim Klicken eine direkte Anmeldung ohne Passworteingabe ermöglicht.
Masterpasswort: Ein einziges Passwort, das zum Entsperren eines gesamten Passwort-Managers oder einer verschlüsselten Datenbank verwendet wird.
MD4 / MD5: Message-Digest-Algorithmen, ältere und heute als unsicher geltende Hash-Funktionen.
MFA (Multi-Faktor-Authentifizierung): Eine Authentifizierungsmethode, die zwei oder mehr unabhängige Faktoren (Wissen, Besitz, Sein) zur Überprüfung der Benutzeridentität erfordert.
Monopol: Eine Marktsituation, in der ein einzelnes Unternehmen oder eine einzelne Partei der einzige Anbieter eines bestimmten Produkts oder einer Dienstleistung ist, was zu mangelndem Wettbewerb führt.
NTLM (NT LAN Manager): Eine Suite von Sicherheitsprotokollen von Microsoft, die zur Authentifizierung von Benutzern und Computern in Windows-Netzwerken verwendet wird, nutzt MD4-Hashes.
NTP (Network Time Protocol): Ein Netzwerkprotokoll zum Synchronisieren der Uhren von Computersystemen über paketvermittelte Netzwerke.
Offuscation (Verschleierung): Die absichtliche Strategie, Informationen schwer verständlich zu machen.
One-Time Password (OTP) / Einmal-Passwort: Ein Passwort, das nur für eine einzige Anmeldung oder Transaktion gültig ist.
OSINT (Open Source Intelligence): Das Sammeln und Analysieren von Informationen aus öffentlich zugänglichen Quellen, oft zur Vorbereitung von Cyberangriffen.
OAUTH: Ein offener Standard für die Zugriffsdelegierung, der es Anwendungen ermöglicht, auf Ressourcen zuzugreifen, ohne die Anmeldedaten des Benutzers zu kennen.
Passkeys: Eine neuere, passwortlose Authentifizierungstechnologie, die auf WebAuthn und FIDO basiert und private Schlüssel softwareseitig verwaltet, oft synchronisiert zwischen Geräten.
Passphrase: Eine längere, aus mehreren Wörtern oder einer Phrase bestehende Zeichenfolge, die als Passwort verwendet wird.
Peltier-Kühler (Thermoelektrischer Kühler): Ein Halbleiterbauelement, das durch den Peltier-Effekt Wärme von einer Seite zur anderen transportiert und so eine Temperaturdifferenz erzeugt; wird oft zur Kühlung elektronischer Komponenten verwendet.
Pepper: Ein globaler, geheimer Wert, der einem Passwort vor dem Hashing hinzugefügt wird, um Rainbow-Table-Angriffe zu erschweren; der Pepper ist für alle Benutzer einer Plattform gleich.
Phishing: Eine Form des Internetbetrugs, bei der Angreifer versuchen, sensible Daten (z.B. Zugangsdaten) durch gefälschte Websites oder E-Mails zu erlangen.
Phishing-Resilienz: Die Fähigkeit eines Authentifizierungssystems, effektiv vor Phishing-Angriffen zu schützen.
PII (Personally Identifiable Information) / Personenbezogene Daten: Informationen, die allein oder in Kombination mit anderen Daten eine Person identifizieren können.
Pin-Hole Lens (Lochkamera-Objektiv): Eine einfache Kamera oder ein Objektiv, das eine kleine Öffnung (Loch) anstelle einer Linse verwendet, um ein Bild zu erzeugen.
Probable Wordlists: Spezielle Wordlists, die basierend auf Analysen großer Mengen geleakter Passwörter erstellt wurden, um die wahrscheinlichsten Passwörter zu identifizieren.
Proxy (Stellvertreter): Ein Server, der als Vermittler zwischen einem Client und einem anderen Server fungiert, oft zur Verbesserung der Sicherheit oder Leistung.
Punicode: Eine Methode zur Darstellung von Unicode-Domainnamen (die Nicht-ASCII-Zeichen enthalten) als ASCII-kompatible Strings, was für Phishing-Angriffe missbraucht werden kann.
Quantum Efficiency (Quanteneffizienz): Ein Maß für die Effizienz eines Bauelements bei der Umwandlung von Licht in ein elektrisches Signal, angegeben als Verhältnis der erzeugten Elektronen zu den einfallenden Photonen.
Rainbow Table: Eine vorberechnete Tabelle, die Hash-Werte und die entsprechenden Klartextpasswörter enthält, um Passwörter schnell aus ihren Hashes wiederherzustellen.
Rate Limits: Beschränkungen der Anzahl von Anfragen, die ein Benutzer oder eine IP-Adresse innerhalb eines bestimmten Zeitraums an einen Server senden kann, um Brute-Force-Angriffe zu verhindern.
Rechenaufwand: Die Menge an Rechenressourcen (Zeit, Speicher, Prozessorzyklen), die zur Ausführung einer Aufgabe oder eines Algorithmus erforderlich ist.
Rockyou.txt: Eine der bekanntesten und größten Passwort-Wordlists, die aus einem Datenleck der sozialen Netzwerkseite RockYou im Jahr 2009 stammt.
Salt: Ein zufälliger, einzigartiger Wert, der einem Passwort vor dem Hashing hinzugefügt wird. Das Salt wird zusammen mit dem Hash gespeichert und verhindert, dass zwei identische Passwörter denselben Hash erzeugen und dass Rainbow Tables effektiv genutzt werden können.
SAM-Datenbank (Security Account Manager Database): Eine Datenbank in Windows, die lokale Benutzerkonten und deren Passwort-Hashes speichert.
Semikolon-Injektion (SQL Injection): Eine Art von Cyberangriff, bei dem bösartiger SQL-Code in ein Eingabefeld eingefügt wird, um auf die Datenbank zuzugreifen oder diese zu manipulieren.
Session Token: Ein eindeutiger Identifier, der einer Benutzersitzung zugewiesen wird, um den Benutzer über mehrere Anfragen hinweg zu authentifizieren, ohne dass er sich erneut anmelden muss.
SHA-512 (Secure Hash Algorithm 512): Eine kryptografische Hash-Funktion, die einen 512 Bit langen Hash-Wert erzeugt und als sicherer als MD4/MD5 gilt.
SIM-Swap-Angriff: Ein Betrug, bei dem Angreifer einen Mobilfunkanbieter dazu bringen, die Telefonnummer eines Opfers auf eine von den Angreifern kontrollierte SIM-Karte zu portieren, um so auf OTPs zuzugreifen.
SMB1 (Server Message Block Version 1): Ein veraltetes Netzwerkprotokoll zum Teilen von Dateien, Druckern und Kommunikationsports in Windows-Netzwerken, das Sicherheitslücken aufweist.
Spoofing (Vortäuschung): Eine Technik, bei der ein Angreifer seine Identität oder die eines Geräts fälscht, um sich unautorisierten Zugriff zu verschaffen oder um Vertrauen aufzubauen.
SQL Injection: Siehe Semikolon-Injektion.
TOTP (Time-based One-Time Password): Ein Einmal-Passwort, das einen gemeinsamen geheimen Schlüssel und die aktuelle Uhrzeit verwendet, um ein zeitlich begrenztes Passwort zu generieren (z.B. Google Authenticator).
TTL (Transistor-Transistor Logic): Eine Familie von Logik-Chips, die für digitale Schaltkreise verwendet werden; ein TTL-Signal ist ein Standard für digitale Logikpegel.
User Agent: Eine Zeichenkette, die von Webbrowsern und anderen Client-Anwendungen gesendet wird, um den Server über den Typ, die Version und das Betriebssystem des Clients zu informieren.
WAF (Web Application Firewall): Eine Firewall, die den Datenverkehr zwischen einer Webanwendung und dem Internet überwacht, filtert und blockiert, um Angriffe auf die Anwendungsebene zu verhindern.
Wordlist: Eine Liste von Wörtern oder möglichen Passwörtern, die bei Brute-Force- oder Dictionary-Angriffen verwendet werden.
Xkcd: Ein beliebter Webcomic von Randall Munroe, bekannt für seine oft technischen und humorvollen Illustrationen zu Wissenschaft, Mathematik, Programmierhumor und Sprachspielen.