Passwörter: Einfacher Hash reicht nicht

Lutz Pössneck,

In den vergangenen zwei Jahren hat sich die Sicherheit typischer Passwörter kaum verbessert. 77 der 100 häufigsten Passwörter aus rund 100.000 Datensätzen ließen sich mit einem einfachen Online-Service innerhalb von zehn Minuten entschlüsseln. Das geht aus einem aktuellen Report des Sicherheitsanbieters Imperva hervor.

Imperva hat nach eigenen Angaben 95.167 Passwörter untersucht, die durch ein Datenleck veröffentlicht wurden. Die Zugangsdaten der Webseite FilmRadar.com waren durch die SHA1-Hashfunktion – eine übliche Verschlüsselung für Passwörter – gesichert. Diese Verschlüsselung ist allerdings irrelevant, wenn die hinterlegten Informationen zu erraten sind – was bei den untersuchten Passwörtern erstaunlich oft der Fall war.

Die meisten der 100 populärsten Passwörter ließen sich mit Hilfe sogenannter Rainbow-Tabellen innerhalb von wenigen Minuten erraten. Zusammen machten sie rund zehn Prozent des gesamten Datenbestandes aus. Fünf Prozent der Passwörter hielten nicht einmal zwei Minuten einem Wörterbuchangriff stand – bei einer Datenbasis von 100.000 Benutzern sind dies 2000 Zugangsdaten, auf die Hacker praktisch frei zugreifen können. Die meisten der 15 populärsten Passwörter ließen sich durch solche Methoden extrem einfach entschlüsseln. Der Sicherheitsanbieter hat folgende Empfehlungen für die Passwortsicherheit veröffentlicht:

  • Rainbow-Tabellen “versalzen”: Unternehmen, die sich für den Schutz von Kundenpasswörtern nur auf die SHA-1-Hashfunktion verlassen, machen es Hackern einfach. Die simple Verschlüsselung lässt sich mit Rainbow-Tabellen leicht überwinden, die frei im Internet verfügbar sind. Ein effektiver – wenn auch nicht unüberwindbarer – Schutz dagegen ist ‘Salting‘. Ein sogenannter Salt-Wert ist eine zufällige Zahl, die dem Passwort vor der Verschlüsselung hinzugefügt wird. Das Ergebnis: Der Entschlüsselungsaufwand steigt exponentiell.

  • Lange Passwörter erlauben: Die Verwendung längerer Passwörter – im besten Fall sogenannter ‘Pass-Phrasen’ – verbessert die Sicherheit. Gleichzeitig erlauben längere Zugangsdaten leichter zu merkende Kombinationen, so dass die Mitarbeiter sich keine Zettel schreiben und an ihren Bildschirm kleben müssen.

  • Eine starke Passwort-Richtlinie vorgeben: Diese sollte nicht nur bestimmte Zeichentypen vorgeben, sondern die gewählten Kombinationen auch mit Hacker-Wörterbüchern vergleichen. Hotmail beispielsweise erlaubt seit kurzem keine verbreiteten Passwörter mehr. Auch seitenspezifische Begriffe sollten überprüft und eingeschränkt werden.