Was ist ein sicheres Passwort?

Aus meiner Sicht ist es sinnvoller, zu fragen, wie ein unsicheres Passwort aussieht, da ansonsten etwas utopisches avisiert wird: Absolute Sicherheit. Tatsächlich gibt es einige Faktoren, die unsichere Passwörter ausmachen bzw. Unsicherheitsfaktoren darstellen:

  • Passwortlänge: Je kürzer ein Passwort ist, umso unsicherer ist es schon alleine, weil Brute-Force-Angriffe umso leichter werden. Das BSI rät zu jedenfalls 8 Zeichen bei Internet-Passwörtern, während bei Geräten wie WLAN-Routern zu jedenfalls 20 Zeichen geraten wird.
  • Zeichen: Nutzen Sie jedenfalls Buchstaben sowohl gross- wie kleingeschrieben, wenigstens ein Sonderzeichen (Ausrufezeichen, Fragezeichen, Klammeraffe) und wenigstens eine Ziffer.
  • Keine allgemeinen Bezeichnungen: Verwenden Sie keine allgemeinen Begriffe die man in einem Duden findet, keine Zeichen- oder Zahlenketten die eingängig sind und auch keines der bekannten unsicheren Passwörter. Verwenden Sie all dies auch nicht “nur” als Bestandteil Ihres Passworts, vor allem nicht, in dem Sie dann einfach ein simples Sonderzeichen dran hängen.
  • Keine persönlichen Bezeichnungen: Vermeiden Sie persönliche Daten wie Geburtsdaten von Familienmitgliedern, Hochzeitsdatum, Vornamen, Nachnamen, Hausnummern, Postleitzahlen etc. Verwenden Sie all auch hier all dies nicht “nur” als Bestandteil Ihres Passworts, vor allem nicht, in dem Sie dann einfach ein simples Sonderzeichen dran hängen.
  • Passwort-Manager verwenden: Mit einer allgemeinen Empfehlung diesbezüglich tue ich mich schwer. Zentral in einem Passwortmanager alle Passwörter zu sichern ermöglicht hochkomplexe Passwörter, schafft aber eine zentrale Angriffsstelle. Hier kann man Kritik üben, man muss es aber nicht. Dabei sollte man auch wissen, dass die Stiftung Warentest im Jahr 2017 bei einem Test von Passwort-Managern ebenfalls teilweise Kritikpunkte gefunden hatte.
  • Kein unverschlüsseltes Speichern: Wenn Sie sich Passwörter notieren, tun Sie dies nicht unverschlüsselt. Also nicht am Schreibtisch unter der Auflage “versteckt”, nicht im Notizbuch, nicht in einer unverschlüsselten Text-Datei oder Cloud-Notiz.
  • Passwort regelmäßig ändern: Aus meiner Sicht vollkommen überholt ist der Ratschlag, das Passwort regelmäßig zwingend zu ändern. Berechtigt ist hier die Kritik dahin gehend, dass gerade der Zwang regelmässig ggfs. kurzfristig zu wechseln dazu führt, erst recht einfache Passwörter zu verwenden.

Dazu auch von mir: Vorsorge zur Vermeidung eines Hacker-Angriffs

“Was ist ein sicheres Passwort?” weiterlesen

Bitkom zum Thema Cybersicherheit 2018

Bei Bitkom finden sich einige Pressemeldungen zum Thema Cybersicherheit – und der Tatsache, dass gerade KMU dieses hochbrisante Thema (ebenso wie die Politik) verschlafen. So weist der Bitkom in einer Pressemitteilung auf die Häufigkeit von Angriffen hin:

Deutsche Industrieunternehmen sind beliebte Ziele für Sabotage, Datendiebstahl oder Wirtschaftsspionage. Vor allem die Chemie- und Pharmabranche trifft solche Attacken hart: Drei von vier Chemie- und Pharmaunternehmen (74 Prozent) wurden in den vergangenen zwei Jahren Opfer, weitere 22 Prozent waren vermutlich betroffen. Das ist das Ergebnis einer Studie des Digitalverbands Bitkom (…) Aber auch der Maschinen- und Anlagenbau (67 Prozent) sowie die Hersteller von Kommunikations- und Elektrotechnik (63 Prozent) sahen sich in den Jahren 2016 und 2017 einer Vielzahl an Attacken ausgesetzt. (…) Insgesamt ist der Industrie durch Sabotage, Datendiebstahl oder Spionage in den vergangenen zwei Jahren ein Gesamtschaden von 43,4 Milliarden Euro entstanden. Sieben von zehn Industrieunternehmen (68 Prozent) sind in diesem Zeitraum Opfer geworden, jedes fünfte Unternehmen (19 Prozent) vermutet dies zudem.

Bitkom Pressemitteilung vom 30.11.2018

Dabei wurde im Oktober 2018 die “Wirtschaftsschutzstudie 2018” vom Bitkom veröffentlicht, die frei zum Download steht. Zwar ist es für mich so, dass diese aus meiner Sicht einerseits Fortschritte zeigt, aber insgesamt doch nahe legt, dass gerade im breiten Bereich der KMU die Thematik untergeht. Während Großunternehmen sich zunehmend um die Problematik kümmern werden kleinere Unternehmen hier – so mein Eindruck – durchaus abgehängt.

“Bitkom zum Thema Cybersicherheit 2018” weiterlesen

LDI NRW: Technische Anforderungen an technische und organisatorische Maßnahmen beim E-Mail-Versand

Die Landesdatenschutzbeauftragte NRW hat sich zur Frage geäußert, wie aus dortiger Sicht die Datenschutz-Grundverordnung (DS-GVO) in Bezug auf den unverschlüsselten Versand von E-Mails zu interpretieren ist.

“LDI NRW: Technische Anforderungen an technische und organisatorische Maßnahmen beim E-Mail-Versand” weiterlesen

Cyberangriff: Was kann man als Opfer von Cybercrime nach einem Hackerangriff tun?

Was tun nach einem Cyberangriff: Aus meiner Sicht gibt es einige allgemeine Hinweise zu grundsätzlichen Verhaltensweisen nach einem Hack-Angriff, die sich an der ersten Frage ob es um einen Verbraucher oder ein Unternehmen geht, orientieren – insbesondere bei der Frage gegen wen man vorgeht. Tatsächlich muss ich immer wieder beobachten, dass gerade in den ersten entscheidenden Momenten im Hinblick auf spätere Aufklärung gravierende Fehler gemacht werden. Dies ist mit der eingetretenen Schocksituation zu erklären, die aber durch saubere Vorbereitung zumindest in Unternehmen durchaus verhindert werden kann.

Dabei greifen heute für Unternehmen die von Cybercrime betroffen sind empfindliche Entwicklungen ineinander: Auf der einen Seite wurde mit der Datenschutzgrundverordnung die Rechtslage verschärft, das IT-Sicherheitsgesetz schaffte deutliche Anforderungen an die IT-Sicherheit. Auf der anderen Seite sind Unternehmen kaum und grossteils unzureichend auf die Thematik IT-Sicherheit vorbereitet – und es müssen Datenbrüche gemeldet werden wobei Betroffene Schadensersatzansprüche haben, mit der DGSVO auch hinsichtlich Schmerzensgeld, was ganz erhebliche Folgekosten verursachen kann.

Zum Thema Cyberangriff weitere Artikel von mir:

“Cyberangriff: Was kann man als Opfer von Cybercrime nach einem Hackerangriff tun?” weiterlesen

Hackerangriff: Bin ich betroffen von einem Cyberangriff?

Sie können durchaus nachprüfen, ob Sie von einem Hackangriff betroffen sind – es gibt inzwischen eine Mehrzahl von Online-Diensten, bei denen Sie an Hand Ihrer Mailadresse einen Cyberangriff nachvollziehen können.

Nicht zwingend muss ein erfolgreicher Cyberangriff auf Fehler Ihrerseits zurückzuführen sein – regelmäßig werden Plattformen über dort vorhandene Fehler angegriffen und dann Nutzerdaten kopiert. Wenn Sie dann diese Nutzerdaten woanders im Einsatz haben können hierüber individualisierte Angriffe gestartet werden. Daher ist es sinnvoll, Nutzerdaten nicht einheitlich überall gleich zu verwenden. Sie sollten im Blick haben, welche Daten “flüchtig” geworden sind und regelmäßig reagieren, insbesondere sollten Sie Mailadressen die zur geschäftlichen Kommunikation verwendet werden, nicht für Plattformen nutzen. Sollten Daten doch abhanden gekommen sein wäre mein Schritt immer, diese betroffenen Mailadressen gar nicht mehr zu verwenden, gerade im geschäftlichen Umfeld.

Zum Thema Cyberangriff weitere Artikel von mir:

“Hackerangriff: Bin ich betroffen von einem Cyberangriff?” weiterlesen

Was sind die verbreiteten unsicheren Passwörter?

Splashdata veröffentlicht jedes Jahr die 100 schlechtesten verbreiteten Passwörter, die TOP15 sind 2018 laut Splashdata gewesen:

  • 123456
  • password
  • 123456789
  • 12345678
  • 12345
  • 111111
  • 1234567
  • sunshine
  • qwerty
  • iloveyou
  • princess
  • admin
  • welcome
  • 666666
  • abc123

Ich sehe solche Listen immer durchaus kritisch – einmal geben sie gute Hinweise darauf, wie verbreitet einfache Aufzählungen sind. Andererseits aber kennt man die Hintergründe nicht. Etwa ob es sich um zwar real verwendete Passwörter handelt, diese aber grossteils für Fake-Accounts oder Test-Accounts in Verbindung mit Einmal-Mailadressen zum Einsatz gekommen sind.

Dazu auch von mir: Was ist ein sicheres Passwort?

IT-Sicherheitsgesetz

Auswirkungen des IT-Sicherheitsgesetzes: In Deutschland wurde im Jahr 2015 erstmals die IT-Sicherheit in Gesetzesform gefasst, die Geburtsstunde des “IT-Sicherheitsgesetzes”. Das IT-Sicherheitsgesetz soll Grundlagen verstärkter IT-Sicherheit schaffen, in dem erst einmal prinzipielle Rahmenbedingungen und eine Art zentrales Meldewesen – gebündelt beim BSI – geschaffen werden. Daneben gibt es eine Änderung die alle Webseitenbetreiber betrifft.

In diesem Beitrag wird ein erster kurzer Überblick über das IT-Sicherheitsgesetz geboten, das sicherlich nur der Einstieg sein wird in eine Reihe weiterer derartiger gesetzgeberischer Intentionen.
“IT-Sicherheitsgesetz” weiterlesen

NIS-Richtlinie

Die NIS-Richtlinie gilt – gemeint ist die Richtlinie EU/2016/1148 über Maßnahmen zur Gewährleistung eines hohen gemeinsamen Sicherheitsniveaus von Netz- und Informationssystemen in der Union. Diese “Richtlinie zur Netz- und Informationssicherheit” (“NIS-Richtlinie”) trat nach langer Vorzeit am 08.08.2016 in Kraft, nachdem sie am 19.07.2016 im Amtsblatt der Europäischen Union veröffentlicht wurde. Mit dieser Richtlinie wird, nach ersten nationalen Schritten im Rahmen des IT-Sicherheitsgesetzes, weiter an der Regulierung der IT-Sicherheit durch den Gesetzgeber gearbeitet.

“NIS-Richtlinie” weiterlesen

BSI-Gesetz – Grundlage der IT-Sicherheit in Deutschland

Das BSI Gesetz kann im Kern als Definition der Rolle des Bundesamts für Sicherheit in der Informationstechnik verstanden werden. Zuletzt verändert durch das IT-Sicherheitsgesetz sind dem BSI im Kern vor allem folgende Aufgaben zugeschrieben:

  • Zentrale Meldestelle für IT-Sicherheit im Allgemeinen und zur IT-Sicherheit kritischer Infrastrukturen
  • Befugnis, Protokolldaten sowie Daten, die an den Schnittstellen der Kommunikationstechnik des Bundes anfallen zu analysieren
  • Veröffentlichung von Informationen und Warnungen vor Sicherheitslücken in informationstechnischen Produkten und Diensten sowie vor Schadprogrammen
  • Definition von Sicherheitsstandards für die Bundesverwaltung
  • Betreiber Kritischer Infrastrukturen, müssen die Einhaltung von IT-Sicherheit nach dem Stand der Technik regelmäßig gegenüber dem BSI nachweisen
  • BSI kann Beseitigung von Sicherheitslücken bei Betreibern kritischer Infrastrukturen anordnen und die Hersteller von Produkten zur Mitwirkung verpflichten

Es ist davon auszugehen, dass dies nur der Auftakt ist, es ist in den vergangenen Jahren der Trend zu sehen, dass die IT-Sicherheit zunehmend gesetzlich reguliert wird. Dabei wird die Funktion des BSI-Gesetzes als reine Regulierung des BSI immer weiter verlassen und Verpflichtungen externer Unternehmen aufgenommen, zuerst durch das IT-Sicherheitsgesetzt und voraussichtlich dann später durch die weitere Umsetzung der NIS-Richtlinie.

IT-Sicherheit im Urlaub

Überblick zum Thema IT-Sicherheit in der Urlaubszeit: Jährlich steht für viele der Urlaub an – und mit diesem auch wieder ein enormer Risikobereich: Heute möchte kaum jemand mehr in seinem Urlaub auf Mails, Internet und Handy verzichten. Viele wollen oder müssen auch zumindest teilweise erreichbar sein. Doch bieten sich hier auch grosse Risiken.

“IT-Sicherheit im Urlaub” weiterlesen