Wie oft sollte man seine Passwörter ändern?
Dass man hin und wieder seine Passwörter ändern soll, ist sicherlich jedem bekannt. Nur: wie oft soll man das machen? Einmal im Monat? Jedes Quartal? Alle halbe Jahr? Oder reicht einmal alle zwölf Monate? Ehrlich gesagt gehen die Meinungen hier stark auseinander. Tatsächlich hat ein kurzes Intervall ebenso Vorteile, wie ein größer Zeitabstand. Ich bin ein Freund von langen Intervallen … wenn das Passwort allen Regeln der Sicherheit entspricht. Aber der Reihe nach.
Zu häufiges Wechseln hat Nachteile
Wer Passwörter so häufig wechselt, wie seine Unterhosen, der hat zwar den Vorteil, dass ein geklautes Kennwort nach kurzer Zeit schon keinen Zugang mehr gewährt. Der Nachteil ist, dass sich kein Mensch jede Woche ;-) ein neues, komplexes Kennwort merken kann, ohne dieses aufzuschreiben – oder – ohne dass es einem erkennbaren und damit vorhersehbarem Muster folgt.
Schon gar nicht bei mindestens 37 unterschiedlichen Passwörtern für 37 Systeme. Wer zu häufig wechselt, muss also zwangsläufig aufschreiben. Das halte ich zwar für gar nicht mal so schlimm, wenn man das nur zu Hause macht. Bei Arbeitnehmern hingegen, bei denen die ganze Nacht und am Wochenende Kollegen und Putzleute Zugang zum Schreibtisch haben, geht das gar nicht.
Gar nicht wechseln ist auch nicht gut
Wer sein Passwort zuletzt vor sieben Jahren oder gar noch nie gewechselt hat, der hat zwar kein Problem damit, es sich zu merken. Allerdings dürfte das dann auch schon mal irgendwo geklaut worden sein. Nach 500 Millionen Yahoo-Zugangsdaten, 40 Millionen Dropbox-Usern und und zig Millionen anderen geklauten Passwörtern wäre es ein Wunder, wenn man da verschont geblieben wäre. Beim Hasso-Plattner-Institut kann jeder seine Email-Adresse eingeben und erfährt, ob seine Daten schon mal irgendwo geklaut wurden (https://sec.hpi.uni-potsdam.de/).
Die Unterhosenregel – mal anders
Meiner Meinung nach, machen Sie es richtig, wenn Sie ein gutes Passwort haben und dieses etwa jedes Jahr ändern. Also nicht so oft, wie man Unterhosen wechselt, sondern ungefähr nur so häufig, wie man neue Unterhosen kauft.
Übrigens, wenn Facebook jemals gehackt werden sollte, kennen die Hacker alle meine früheren Passwörter. Warum? Weil Facebook diese aufhebt. Und nicht nur das. Letztens tippte ich aus Versehen ein altes Passwort ein und Facebook teilte mir mit: „Leider hast du ein altes Passwort eingegeben. Dein Passwort wurde von diesem Computer geändert: vor ungefähr 8 Monaten„ – DAS macht mir Angst!
Bildnachweis: alle (c) 2016 Tobias Schrödel (Foto und Screenshot)
Hallo
Deinen Link zum Hasso Institut nach Potsdam habe ich angeklickt. Meine Mailadresse auf deren Seite angegeben und nie wieder was gehört. Kann es sein, daß gerade von dort die Mailadressen abgegriffen werden ?
Gruß
Nein, nein, keine Sorge. Das dauert tatsächlich manchmal ein paar Minuten. Aber dann sollte entweder
Achtung: Ihre E-Mail-Adresse abc@xyz.de taucht in mindestens einer gestohlenen und unrechtmäßig veröffentlichten Identitätsdatenbank (so genannter Identity Leak) auf. Folgende sensible Informationen wurden im Zusammenhang mit Ihrer E-Mail-Adresse frei im Internet gefunden:
oder
Glückwunsch: Ihre E-Mail-Adresse abc@xyz.de taucht nicht in unserer Datenbank auf. Das garantiert jedoch nicht, dass keine Ihrer persönlichen Informationen gestohlen wurden.
als Antwort kommen. Eventuell vertippt bei der Eingabe?
Hallo
die Mail vom Hasso Institut ist im Spamordner hängen geblieben. Sorry
Gruß
Thomas
Hallo Tobias,
wo ist der Unterschied der Hasso-Plattner Seite und https://haveibeenpwned.com/? Letzere war mir schon länger bekannt.
Danke!
HaveIBeenPawned macht im Endeffekt nichts anderes als das Hasso Plattner Institut. Beide kaufen im Darknet Daten ein und stellen sie für eine derartige Abfrage zur Verfügung. Es ist wahrscheinlich, dass es da große Überschneidungen in den Daten gibt, aber beim Hasso-Plattner-Institut (übrigens einer der SAP-Gründer) werden eher auch deutschsprachige Leaks zu finden sein, als bei HaveIBeenPawned.
Danke! Dann nutze ich künftig beide Seiten.
Ich stamme aus der Generation als Hasso Plattner bei SAP und Bill Gates bei MS das Sagen hatten :)
Beide Seiten haben gute connections, aber keine KAUFT Daten im Darknet! Die Daten werden von Leuten zur Verfügung gestellt, die sie entweder selbst gekauft oder durch andere Wege da ran gekommen sind, und werden dann auf Plausibilität geprüft.
Danke für die Klarstellung, Hannah. Das habe ich falsch geschrieben.
Ich denke nicht, dass Facebook wirklich so blöd ist, heutzutage noch Passwörter zu speichern. Es wird ein kryptografischer Hash deines Passworts gespeichert, idealerweise mit einem sog. Salt, so dass niemand etwas damit anfangen kann.
Völlig richtig. So ist das auch gemeint und das tut FB mit ziemlicher Sicherheit auch. Ich frage mich nur, warum sie auch meine alten Passwörter (Hashes) aufheben …
Wahrscheinlich damit du ein altes Passwort nicht wieder verwendest und damit die verpeilten wissen, dass das PW, welches sie eingegeben haben, zumindest früher mal richtig war.
Was ich allerdings interessant finde: „… von diesem Gerät …“. Hat da jemand schon seit 8 Monaten seine Cookies nicht mehr gelöscht? ?