Kann isch WhatsApp – bin isch Internet

“It’s no longer OK not to understand how the Internet works.”

Aaron Swartz

Über die Problematik einer pragmatischen digitalen Kompetenz.

Vermutlich wird dieser Artikel ein wüster Rant über die vermeintliche Medienkompetenz der hochgelobten Digital Natives (und solcher, die es qua Selbstverordnung sein wollen).
Aber was solls, lieber raus als rein.
Es geht mir von unterschiedlicher Seite schon seit geraumer Zeit auf den Keks, dass allerorten breit von Medienkompetenz geschwafelt wird, aber weder konkret benannt wird, was darunter zu verstehen ist, noch wie dies vermittelt werden soll.
Daher werfe ich hier auch meine zwei Gedanken zu diesem Thema in den Raum und wappne mich der Gegenrede.

TL;DR;

  • Anwendungskompetenz reicht nicht
  • Wir brauchen mehr Hacker und weniger User
  • Ein Datenleak, sie alle zu erschrecken

Anwendungskompetenz reicht nicht

Ich stelle fest, dass oftmals schnelles Bedienen von Anwendungen schon ausreicht, um in Begeisterungsstürme ob der hohen Medienkompetenz von Digital Natives zu verfallen.
Das lässt sich sicherlich aus unterschiedlichen Blickwinkeln betrachten.
Da ist einerseits der Arthur-C-Clarke-Blickwinkel: Jede Technologie, wenn sie ausreichend weit fortgeschritten ist, erscheint einem Uneingeweihten wie Magie. Da solche Aussagen oft von Uneingeweihten (Menschen mit geringer technischer Kompetenz oder Politiker) kommen, ist diesen Aussagen bestenfalls eine geringe Aussgekraft beizumessen. Nichtsdestotrotz haben diese Uneingeweihten oftmals eine hohe Entscheidungskompetenz.
Das kann einerseits dazu führen, dass entweder diese zu unrecht hochgelobten Anwendungskompetenzwunder eine vollkommen falsch ausgerichtete Einschätzung ihrer (Anwendungs-)Fähigkeiten bekommen, eben “Kann isch WhatsApp, bin isch Internet!”. Andererseits wird in eine vollkommen falsche Richtung politisch entschieden: Nämlich hin zum schnellen Anwender und weg vom gebildeten Nutzer, der die Hintergründe versteht.
Das bringt mich zu einem weiteren Punkt:
Vielleicht will die Politik und die Industrie einfach nur schnelle Anwender, also dressierte Affen.
Was die Industrie anbelangt, bin ich mir sehr sicher, dass dem so ist. Denn ein unkritischer Konsument ist das, was die Industrie sich wünscht: ein Kunde, der einfach kauft, was ihm die Konzerne vorsetzen.
Was die Politik angeht, habe ich doch noch Hoffnung in die Grundannahme unserer Demokratie: die Beteiligung eines aufgeklärten Volkes, nicht einer rückenmarksgesteuerten Masse.
Aber da ist möglicherweise die Lobby die treibende Kraft – und diese kommt letztlich doch wieder aus der Industrie.
Doch zurück. Ich bin der festen Überzeugung, dass es heutzutage nicht ausreicht, ein versierter Anwender zu sein. Die Zusammenhänge und die Auswirkungen, die die Digitaltechnik auf unser Leben und unsere Gesellschaft haben, sind zu groß, um dies durch reines anwenden-können zu bewältigen.
Wir müssen zumindest die grundlegenden Zusammenhänge verstehen, wenn wir die Digitalisierung als gesellschaftlich durchdringendes Element nutzen wollen. Ansonsten sind wir nicht besser als Menschen, die Gewitter als die Laune eines Gottes ansehen.

Wir brauchen mehr Hacker und weniger User

Betrachten wir die Situation aus einem anderen Blickwinkel.
Vor kurzem, zwei Kurse in digitaler Selbstverteidigung in Klassenstufe 10 eines allgemeinbildenden Gymnasiums.
Ein Bild des digitalen Elends.
Ehrlich, wenn das die Erwartungshaltung an Digital Natives ist, dann sehe ich schwarz für die Digitalisierung unserer Gesellschaft. Zappenduster.
Da ist überhaupt kein Interesse an einer Weiterbildung zu Themen rund um alles Digitale.
Geschweige denn Kenntnis über Alternativen zu vorhandenen Anwendungen oder Problemlösungsstrategien, wenn es – oh Wunder! – doch mal zu Fehlern kommen sollte.
Was ja in der IT quasi nie vorkommt.
Natürlich sind knapp über 40 Schüler keine repräsentative Menge, aber dass darunter nur einer ist, der überhaupt mal eine Alternative zu WhatsApp kennt, ist erschreckend. Niemand kannte einen alternativen Browser (neben den vorinstallierten) und der Unterschied zwischen Browser und Suchmaschine war ebenfalls nicht bekannt. Da wird mir dann wirklich ganz anders.
Wo ist denn der Pioniergeist, der jugendliche Forscherdrang, die Neugier und die Lust auf Rebellion geblieben?
Wenn wir uns eine Generation von Lämmern heranziehen, müssen wir uns nicht wundern, wenn diese von den industriellen Wölfen gerissen oder auf der Schlachtbank der Digitalisierung geopfert werden.
Anstatt unseren digitalen Neubürgern das Erstellen von Filmchen fürs Internet beizubringen, müssen wir ihnen (und den senioreren digitalen Teilnehmern auch) digitale Selbstverteidung mit auf den virtuellen Weg geben.
Sogar unsere Kanzlerin hat erkannt, dass hier dringend Handlungsbedarf für jeden einzelnen besteht:

“Das Heft des Handelns in die eigene Hand nehmen.”

Angela Merkel, Bundeskanzlerin

Wir müssen jungen Menschen eine Resilienz gegen Manipulation und ein Bewusstsein gegen Überwachung mitgeben.
Von selbst entsteht weder das eine noch das andere.

Ein Datenleak, sie alle zu erschrecken

Da haben wir mal wieder ein Datenleck. Noch nicht mal besonders groß, aber gleich wird der Untergang der digitalisierten Welt prognostiziert.
Es werden politische Konsequenzen gefordert: Vom Hack-Back über staatlich verordnete Zwei-Faktor-Authentifizierung (nicht zu vergessen die Ordnungswidrigkeit beim Einsatz schlechter Passwörter) bis zur finanziellen Aufrüstung unserer diversen Cyber-Sicherheits-Organe.
Was allerdings generell übersehen wird, ist die Notwendigkeit der Schulung der Anwender.
Mir fällt an dieser Stelle wieder Aaron Swartz ein:

“It’s no longer OK not to understand how the internet works.”.

Aaron Swartz

Der breit gestreute Leak persönlicher Daten kann diesmal nicht (nur) der technischen Schwäche eines Systems in die Schuhe geschoben werden. Dafür waren schlicht zu viele Systeme betroffen.
Ganz klare Mitschuld tragen die Betroffenen.
Sie sind zu unbedarft mit ihren Daten umgegangen.
Egal ob es die privaten Chats mit der Familie über Facebook sind (man chattet einfach nicht privat auf einer öffentlichen Plattform).
Oder die Scans von Ausweisdokumenten (die gehören nicht in die “Cloud”).
Ebensowenig wie Zeugnisse auf den Rechnern anderer Leute gespeichert werden.
Und dann Passwörter. Wir werden einfach immer weiter Daten verlieren, wenn wir nicht endlich lernen, sichere Passwörter einzusetzen.
Und zwar viele davon. Für jeden Account ein eigenes Passwort.
Das ist auch nicht schwer. Wir müssen einfach nur umlernen.

“You have to unlearn what you have learned.”

Yoda

Es ist falsch nur ein Passwort zu haben. Zumal das dann auch noch zumeist extrem schwach ist.
Wir müssen lernen, dass ein Passwort-Manager der beste Schutz für unsere Passwörter ist.
Hier hilft uns kein Post-It am Bildschirm oder unter der Tastatur.
Wir müssen uns darum kümmern, welche Sicherungsmaßnahme dieser oder jener Dienst anbietet.

  • Wie lang und wie komplex können die Passwörter dort sein?
  • Unterstützt der Dienst 2FA?
  • Akzeptiert dieser Dienst einen Benutzernamen, der nicht gleich die E-Mail-Adresse des Nutzers ist?

Wir müssen das lernen. Oder wir hören auf, diese Dienste zu nutzen. Aber das halte ich für eine sehr gewagte Alternative.


Biometrischer Blödsinn

Die Industrie versucht uns mit immer neuen, die Bequemlichkeit fördernden vermeintlichen “Sicherungsmaßnahmen” unsere biometrischen Daten aus den Rippen zu leiern. Dass es den Internetkonzernen dabei beileibe nicht um den Schutz unserer Daten, sondern vielmehr um die Akkumulation weiterer Daten für deren Profile geht, sollte mittlerweile grundlegend klar sein.
Schauen wir uns im Einzelnen an, was uns die Konzerne mit welchem biometrischen “Sicherungsmerkmal” versprechen und inwiefern sie dieses Versprechen auch halten – oder das bisherige System im Laufe ihrer eigenen Weiterentwicklung als unsicher abtun.

TL;DR

  • Mein Fingerabdruck gehört mir
  • Mein Gesicht ist nicht mein Schlüssel
  • Das Venenmuster zum Glück
  • Fazit

Mein Fingerabdruck gehört mir

Der Fingerabdruck war (und ist teilweise) noch das vermeintliche Schutzelement, welches auch schon Ethan Hunt Zugang zu seinen Geheimnissen verschafft hat. Nun, liebe Freunde spannender Agenten-Action, was euch die Konzerne dabei nicht eröffnet haben, ist die Tatsache, dass für die Erkennung eines Fingerabdrucks deutlich weniger Datenpunkte verwendet werden als Scotland Yard für die Zuordnung mittels Graphitstaub am Tatort gesicherten Fingerabdrucks zum gesuchten Täter einsetzt.
Ja, ein Fingerabdruck ist nach aktuellem Wissensstand eindeutig – wenn man die gesamte zur Verfügung stehende Datentiefe verwendet.
Das macht aber so ein Smartphone mit Fingerabdruckerkennung nicht.
Wäre viel zu aufwendig.
Es werden für einen gespeicherten Fingerabdruck deutlich weniger Datenpunkte zur Identifikation eingesetzt. So wenige, dass einer von 60.000 Fingerabdrücken für die erfolgreiche Entsperrung passt.
Miserables Verhältnis, wie ich finde.
Und dabei habe ich noch gar nicht an die spannenden Entwicklungen im Bereich maschinelles Lernen (in Neusprech gerne “KI” genannt) gedacht, mit dessen Hilfe es Forschern der New York University gelungen ist, einen biometrischen “Generalschlüssel”-Fingerabdruck zu erzeugen.
Daher mein Rat: Finger(abdruck) weg!

Mein Gesicht ist nicht mein Schlüssel

Der Weg der biometrischen Sicherheit führt vom Finger zum Gesicht.
Denn, was könnte noch bequemer sein, als seinen Finger auf das digitale Spielzeug der Begierde zu pressen, um es zu bedienen?
Richtig – wir müssen es nur anschauen, damit es uns seine Gunst gewährt.
Außerdem war dies der nächste logische Schritt der Datensammler, uns allgegenwärtig identifizieren zu können.
Fingerabdrücke benötigen ja noch eine wirkliche taktile Interaktion, aber Gesichtserkennung, damit können wir überall im Vorbeigehen maschinell erkannt werden (“Hallo John Anderton!”).
Dem Siegeszug der Gesichtserkennung hat geholfen, dass Phil Schiller die bisher eingesetzte und auch hochgelobte TouchID als unsicher und veraltet abgetan hat.
Nun ja, die staatliche Überwachungsindustrie dankt es ihm, macht dies doch allgegenwärtige Videoüberwachung noch viel interessanter!
Mit einer allbehördlich zugreifbaren Datenbank von Gesichtern (mit einer zehnjährigen Aktualitäts-Garantie, denn wir müssen ja alle zehn Jahre unsere Personalausweise erneuern) und einer allgegenwärtigen Videoüberwachung (Berlin Südkreuz war nur der Anfang!), können wir alle und überall automatisiert erkannt werden.
Aber auch diese Technologie ist fehlbar.
Schon wenige Tage nach der Markteinführung der “unbrechbaren” FaceID konnten Kinder die iPhones ihrer Mütter entsperren. Tja, der Kleine ist seiner Mutter wie aus dem Gesicht geschnitten – findet das iPhoneX auch. Auch Geschwister und Filmschaffende haben das “unknackbare” System mit Masken geschlagen.
Tja, Gesichter können eben doch lügen.

Das Venenmuster zum Glück

Der nächste heiße Scheiß biometrischer Wundermittel sind Venenmuster.
Alles ganz schön zufällig – nun ja, ausreichend zufällig, um eine Person zu identifizieren (allerdings eben auch genetisch so vorbestimmt, dass dadurch auch ein klarer Hinweis auf die Abstammung nachzuweisen ist, aber das nur am Rande).
Jedenfalls werden die Venenmuster von Handfläche oder Finger gerne zur Authentifizierung verwendet, z.B. von Geldautomaten oder auch bei Behörden – wie dem Bundesnachrichtendienst.
Dummerweise sind die Scanner für die Venenmuster erschreckend leicht zu täuschen. Eine Handatrappe (aus Bienenwachs und dem Ausdruck eines Venenmusters) reicht aus, um die vermeintlich sichere biometrische Zugangskontrolle zu überwinden.
Aber wie kommt man als Angreifer an ein Venenmuster? Dieses ist ja nicht so ersichtlich verfügbar wie ein Fingerabdruck oder ein Gesicht, schließlich liegen ja mehr oder weniger dicke Hautschichten zwischen der Außenwelt und dem eindeutigen Venengeflecht.
Nunja, eine gute Spiegelreflexkamera und ein Teleobjektiv ohne Infrarotfilter reicht.
Was wir brauchen, ist eine ausreichend starke Lichtquelle (ein Blitz) und ein gutes Teleobjektiv und schon können wir aus gut fünf Metern Entfernung ein schönes Venenmuster fotografieren.
Aber es muss gar nicht so weit sein. Wir brauchen nur ein klares Bild einer gespreizten Handfläche, dann muss es nocht nicht mal eine Spiegelreflex sein. Bei kurzem Abstand reicht auch eine kleine Raspberry-Kamera.
Und helles Licht. Sowas in der Art wie es in diesen modernen Handtrocknern zum Einsatz kommt, die uns ein so wohliges Gefühl von Hygiene geben…
Tja, also ich nutze diese Handtrockner nicht mehr.

Fazit

Ja, diese ganze Bequemlichkeit wird halt irgendwann noch unser Untergang sein. Wir müssen uns endlich eingestehen, dass wir nur eines steigern können: Entweder die Bequemlichkeit oder den Schutz unserer privaten Daten. Beides zusammen geht nicht.

Das zugrunde liegende Problem beim Einsatz von biometrischen Merkmalen zur Authentifikation ist die Tatsache, dass wir diese Merkmale nicht – oder nur mit erheblichem Aufwand – ändern können.

Wird uns ein Passwort gestohlen, vergeben wir ein neues und alles ist wieder sicher.

Wird uns jedoch ein biometrisches Merkmal – egal ob Fingerabdruck, Gesicht, Venenmuster oder was da noch so alles kommen mag (mir fällt mal so spontan unsere DNA ein) entwendet, dann sind immer noch wir mit diesem Merkmal verknüpft. Denn gestohlen heißt in diesem Fall nicht, dass wir es nicht mehr haben (das ist immer noch das große Mißverständnis, wenn es um digitale Werte geht). Nein, wir haben es zwar noch, aber jemand anderes (oder ganz viele andere) haben es eben auch. Und solange wir noch unseren Fingerabdruck mit uns herumtragen, sind eben wir damit verknüpft.

Daher mein Aufruf: Nutzt keine biometrischen Merkmale, um euch zu authentifizieren. Egal ob am iPhone, am Geldautomaten oder beim Zugang zum BND.

Was aber stattdessen tun?

Das ist alles gar nicht so schwierig – wir müssen es nur tun. Und wir müssen uns klar machen, dass wir selbst für unsere Geheimnisse verantwortlich sind!

Passwort-Manager – Passwort-Verwaltung für Müßige

Da steh ich jetzt mit meinen dreiundzwanzig achtzehn- bis siebenundzwanzig-stelligen Passworten und überlege, ob ich mich für die nächste Gedächtnisweltmeisterschaft anmelden soll.
Das ist doch total blöd, das kann doch nicht ernsthaft die Lösung meiner Passwort-Probleme sein!
Nein, das glaube ich auch nicht – außer ich habe den inneren Drang Gedächtnisweltmeister zu werden.
Und darum stelle ich hier einige Lösungen für die Müßiggänger unter uns vor, denn es gibt Schöneres, um das wir unsere Gedanken kreisen lassen können, als dröge Passworte!

Papier und Panzerschrank

Die bodenständigste, weil untechnischste, Lösung ist es, seine Passworte (so wie wir diese laut meinen Ideen aus der letzten Woche erstellt haben) auf einem Blatt Papier zu notieren und dieses in einen Tresor zu legen.
Und ich meine hier einen real existierenden Panzerschrank.
Keine verschlüsselte Datei.
Diese Lösung hat gewisse Nachteile, das gebe ich gern zu.
Die Panzerschrank-Lösung ist eher immobil (es sei denn ihr seid der Hulk und tragt halt immer euren Panzerschrank mit euch rum – aber in diesem Fall braucht ihr euch wahrscheinlich auch sonst keine Gedanken um eure Passwort-Sicherheit machen) und die Bequemlichkeit leidet ein wenig unter dieser Lösung (aber was unsere Datensicherheit angeht müssen wir immer eine Abwägung zwischen Bequemlichkeit und Sicherheit vornehmen).
Aber ansonsten ist diese Idee eine stabile, nachhaltige und dauerhafte Lösung, die auch bei Stromausfall funktioniert (allerdings brauchen wir dann auch meistens unsere Passworte nicht…).

Master Password

Bei Master Password handelt es sich um einen Passwort-Manager, bei dem die Bequemlichkeit einen hohen Stellenwert einnimmt – ohne die Sicherheit dabei zu schwächen.
Die Idee hinter Master Passwort ist, dass die Passworte aus einem sehr starken Passwort und unserem (guten) Namen heraus erzeugt werden.
Ein Passwort wird aus drei Bestandteilen –

  • dem sehr starken Passwort (eben dem Master Password),
  • unserem Namen
  • und dem eindeutigen Namen des Dienstes für den wir ein Passwort brauchen gebildet.

Der Charme dieser Lösung besteht darin, dass niemals ein Passwort auf unserem Rechner (Tablet, Smartphone) gespeichert wird, da die benötigten Passworte immer nur bei Bedarf durch einen sicheren Algorithmus aus den drei Teilen

  • Passwort,
  • meinem Name
  • und dem Namen des Dienstes erzeugt werden.

Dies bedeutet für Sicherheit der Passworte, dass einfach kein Passwort da ist, welches gestohlen werden kann. Selbst wenn uns unser Laptop oder Smartphone abhanden kommt (und wir ordentlich mit unserem Master Password umgegangen sind, d.h. es niemandem gesagt haben), kommt niemand an unsere Passworte heran, weil diese einfach nirgends gespeichert sind.
Ein weiterer Vorteil von Master Password ist, dass der Quelltext offen ist und jeder (so er in der Lage dazu ist 😉 ) die Güte des Algorithmus zur Passworterzeugung prüfen und darüber hinaus noch sicherstellen kann, dass hier keine Hintertür für den einen oder anderen feindlichen (oder auch freundlichen) Geheimdienst eingebaut ist.
Dieses Verfahren, dass die Sicherheit des zu bewahrenden Geheimnisses allein auf der Geheimhaltung des Schlüssels (also des Passwortes) und nicht auf der Geheimhaltung des Verschlüsselungsverfahrens beruht, ist eine der wichtigsten Grundlagen der moderen Kryptografie, postuliert von Auguste Kerckhoff in – nach ihm benannten – Kerckhoffs’ Maxime.

KeePassX

KeePassX ist ein weiterer Passwort-Manager, welchen ich hier empfehlen will.
Im Gegensatz zu Master Password geht KeePassX zwar den traditionellen Weg und speichert die erzeugten Passworte in einer sehr stark verschlüsselten Datei – und bietet damit gegenüber Master Password eine mögliche Angriffsfläche auf die Passworte.
Aber diese Passwortdatei ist so stark verschlüsselt (wahlweise mit AES oder Twofish mit einem 256 Bit langen Schlüssel), dass wir uns an dieser Stelle keine Gedanken machen müssen, dass in unserer Lebenszeit (es sei denn, wir sind Wowbagger der Unendlich Verlängerte) diese Verschlüsselung gebrochen wird.
Der Vorteil von KeePassX besteht darin (neben der Tatsache, dass es sich auch hierbei um Open Source mit all ihren Vorzügen handelt und auch hier eben Kerckhoffs’ Maxime zutrifft), dass es sehr portabel ist und für alle denk- und undenkbaren Plattformen (Linux, Mac OS und auch Windows) verfügbar ist.

Wovon wir tunlichst die Finger lassen sollten

In unserer von der Suche nach Bequemlichkeit (ich möchte hier ganz deutlich darauf hinweisen, dass Bequemlichkeit und Müßiggang wenig miteinander zu tun haben, nur am Rande 🙂 ) geprägten digitalisierten Welt werden oft so irrsinnige Vorschläge unterbreitet wie:
Speichere deine Passworte doch in der Cloud, da hast du dann Zugriff von überall darauf!
Genau, und am besten lege ich meinen Wohnungsschlüssel auf meine Fußmatte vor die Tür, dann kann auch gleich jeder einfach an meine Sachen ran.
Ja sind die denn bescheuert!?
Niemals, niemals, never ever speichern wir Passworte “in der Cloud”.
Egal mit welchen wohlklingenden Namen die verschiedenen Anbieter von Cloudlösungen oder cloudbasierten Passwort-Tools hier die Sicherheit ihrer Angebote preisen, es ist ein Angriffsvektor der – nachgewiesenermaßen – bereits erfolgreich ausgenutzt wurde.
Also nochmal:
Wenn wir Passworte in der Cloud speichern, können wir auch die PIN unserer EC-Karte – mitsamt der zugehörigen EC-Karte – am nächsten Geldautomaten hinlegen.

TL;DR

  • Passwort-Manager: warum denn?
  • Papier und Panzerschrank: sicher aber schwer
  • Master Password: sichere Passworte bei Bedarf
  • KeePassX: sichere Passworte – überall
  • Finger weg: nichts in den Wolken

Und jetzt? Noch Fragen offen, liebe Leser?
Fragt mich – und wir finden gemeinsam ein paar Antworten.

Passphrasen-Mantra oder Diceware – Ideen für selbstgebastelte sichere Passworte

Uns ist jetzt klar, warum wir sichere Passworte brauchen und wie wir ein solches sicheres von einem unsicheren Passwort unterscheiden.
Aber was tun wir jetzt, um an ein sicheres Passwort zu kommen?
Wir können uns ja schließlich keines im Online-Shop um die Ecke kaufen (ich bin mir ziemlich sicher, dass es dieses Angebot bereits gibt, möchte aber dringend davon abraten, so einen Dienst in Anspruch zu nehmen, liebe Leser!) oder jemanden bitten, uns ein sicheres Passwort zu geben.
Beide Ansätze wären jedoch der Sicherheit unseres neuen Passwortes deutlich abträglich.
“Was tun?” sprach Zeus, “die Götter sind besoffen.”.
Darum möchte ich hier zwei Methoden vorstellen, die

  • einfach
  • sicher
  • und mit Spaß

einfach sichere Passworte erzeugen 🙂
Quasi das Überraschungsei der Passwort-Erzeugung – nur ohne Schokolade (aber davon hatten wir jetzt über Ostern wahrscheinlich eh genug).
Beide Methoden der Passwort-Erzeugung bringen einen anarchischen (weil selbstregierenden) und individuellen (weil selbstgemachten) Ansatz daher, der überdies noch nachhaltig, biologisch abbaubar und frei von schädlicher Technik ist.
Lasst die Spiele beginnen!

Diceware – Alea iacta est

Diceware ist eine einfache und analoge Methode zur Erstellung sicherer Passphrasen.
Diceware, also Würfelware, ist eine Möglichkeit, ein Passwort ohne den Einsatz digitaler Technik zu erwürfeln.
Das wichtigste an dieser Methode ist der Faktor Zufall und der Verzicht auf – leicht manipulierbare – Computerunterstützung.
Natürlich lassen sich auch Würfel manipulieren, aber wenn wir davon ausgehen, dass uns jemand manipulierte Würfel à la Ocean’s Thirteen unterjubelt, dann haben wir ein ganz anderes Problem und müssen uns keine Gedanken um die Gestaltung sicherer Passworte machen 🙂
Es müssen auch wirklich keine Casino-Grade Würfel sein. Handelsübliche Spielwürfel reichen allemal aus.
Für die Paranoiker unter uns: Holt euch Casino-Grade Würfel, die haben eine ideale Verteilung der Wahrscheinlichkeit auf alle sechs Seiten des Würfels.
Zurück zum Thema.
Diceware basiert auf einer langen Liste von Wörtern und fünf sechseitigen Würfeln.
Das ganze funktioniert natürlich auch mit nur einem Würfel, dann muss man halt fünfmal so lange Würfeln 😉
Die Liste besteht aus 7776 unterschiedlichen Worten (so viele unterschiedliche Möglichkeiten bieten eben fünf sechsseitige Würfel, also 6^5).
Um jetzt eine Passphrase zu erstellen, würfeln wir mit den fünf Würfeln und lesen das gewürfelte Ergebnis von links nach rechts ab.
Die so erwürfelte Zahl schauen wir in der Wortliste nach und erhalten damit das zugehörige Wort.
Diesen Vorgang wiederholen wir so lang, bis wir unsere Passphrase vollständig erstellt haben.
Arnold Reinhold, der Erfinder von Diceware, empfiehlt eine Passphrase aus mindestens sechs Worten zu erstellen.
Das trägt – wie wir in der letzten Woche gelernt haben – ungemein zur Stärke des erzeugten Passwortes bei.
Die Passphrase sollte aus diesen vier bis sechs einzelnen Worten bestehen, inklusive der Leerzeichen dazwischen. Die Leerzeichen erhöhen die Sicherheit der Passphrase nochmals ungemein, denn die Verwendung von Sonderzeichen (und das ist ein Leerzeichen nunmal) trägt zur Erhöhung der Komplexität des Passwortes bei. Und Komplexität ist ein weiterer Faktor der Passwortsicherheit.
Diese durch Diceware erstellte Passphrase schützt auch effektiv gegen Social Engineering Angriffe, da die Passphrase nicht mit dem Benutzer in Zusammenhang gebracht werden kann – und schon haben wir noch einen weiteren Faktor der Passwortsicherheit eingebaut.
Und wenn wir jetzt dieses Passwort für uns selbst im stillen (nicht überwachten) Kämmerlein erwürfelt haben und dieses niemandem (auch unserem Goldfisch nicht!) verraten, haben wir noch den letzten Faktor für ein sicheres Passwort eingesetzt.
Ein Beispiel:

  • 32323 – hinter
  • 26524 – glosse
  • 14426 – bbb
  • 56345 – stroh
  • 45116 – nukleon
  • 51432 – quader

Ergibt als Passphrase:
hinter glosse bbb stroh nukleon quader”.
Laut HowSecureIsMyPassword dauert es 526 Tredezillionen (das ist eine Zahl mit 79 Stellen) Jahre, um dieses Password zu knacken. Viel Spaß beim raten 😉

Kreativität

Nun zur zweiten sicheren Methode einer Passworterzeugung.
Kreativität.
Kann kein Computer. Wird er niemals können.
Braucht keine Technik und keinen Strom. Ist immer verfügbar, kostet nix und macht immens Spaß.
Fast wie Sex, nur bekommt man weniger Ärger, wenn man es, z.B. in der Straßenbahn macht.
So, was brauchen wir hierfür?
Einen Bleistift und ein Blatt Papier.
Denn, wie es auch Richmond Valentine richtig zusammenfasst:
No-one can hack into pen and paper”.
Und jetzt lassen wir unserer Kreativität ganz freien Lauf.
Wir sammeln einfach die ersten fünf bis zehn Eindrücke, die uns gerade vor das innere oder äußere Auge kommen – besser vor das äußere, denn das innere Auge hat den Nachteil, dass das, was uns da vor die Linse gerät, möglicherweise social engineerbar ist – und schreiben diese auf.
Daraus bilden wir einen Satz, ordentlich mit Satzzeichen und schön auf die Groß- und Kleinschreibung achten (für die Komplexität), streuen vielleicht noch die eine oder andere Zahl (ebenfalls für die Komplexität) ein und merken uns diesen Satz als unser persönliches (wieder nicht mit dem Goldfisch teilen!) Passwort-Mantra.
Das Schöne daran ist, diese Methode funktioniert wirklich überall und wird sogar noch besser dadurch, dass ihr es irgendwo ausprobiert, denn dadurch erhaltet ihr eine Zufälligkeit in den Begriffen, die nur sehr, sehr schwer mit euch in Zusammenhang gebracht werden kann.
Auch hier ein Beispiel:

  • Linux
  • krass
  • Radium
  • 35
  • abgelenkt
  • verdammt

Aus diesen Worte bilde ich für mich das Passwort
verdammt abgelenkt, Linux 35 – krass Radium!”.
Dieses Passwort wird in – wieder laut HowSecureIsMyPassword – einer Duovigintillion (das ist eine Zahl mit 133 Stellen) Jahren gehackt.
Macht mich jetzt ganz entspannt, solche Zahlen zu lesen 🙂

TL;DR

  • Die Würfel sind gefallen: Diceware
  • Ich denke, also mach ich mir mein Passwort: Kreativität

Schön kurz heute.
Also halt ich mich auch dran.
Liebe Leser, besorgt euch Würfel, die Wortliste, Papier und einen Stift und lasst eurer Fantasie freien Lauf – und schreibt doch, wenn ihr schon dabei seid, mir einfach mal einen Brief – per snail mail 😉

Wie sieht ein starkes Passwort aus?

Wie sieht denn nun ein starkes Passwort aus und was soll es leisten?
Fange ich mal damit an, den Gaul von hinten aufzuzäumen und beantworte zunächst den zweiten Teil meiner Frage.

Was soll ein starkes Passwort leisten?

Grundsätzlich sind es zwei Aufgaben, die ein starkes Passwort lösen soll.

  1. Es soll – möglichst niemals – zu brechen sein.
    Denn daran hängen halt unsere Geheimnisse (wenn wir uns an diese Sicherungslösung unserer Geheimnisse halten und nicht Zwei-Faktor-Authentifikation, Zertifikate oder schwer bewaffnete Trolle zum Schutz unserer Geheimnisse einsetzen). Daher wäre es wünschenswert, dass unser Passwort mindestens so lang hält, so lang wir unsere Geheimnisse schützen wollen.
  2. Es soll möglichst einfach zu merken sein.
    Es ist einfach deutlich einfacher, sich ein einfach zu merkendes Passwort wie “PhukAllSirveillance!
    zu merken als
    3rH!gb8Ip4_tj5eLN7.”.
    Beide halten länger – deutlich länger! – als meine Geheimnisse gewahrt werden müssen (das behauptet zumindest HowSecureIsMyPassword) und da ziehe ich dann doch die leichter zu merkende Variante aus Beispiel eins vor.
    Ich bin eben kein Gedächtnisakrobat und ich ziehe es vor, meine Gedanken mit schönen Erinnerungen und Bildern zu füllen, als mit drögen Passworten.

“You must unlearn, what you have learned”

Yoda, die kleine, schrumpelige, grüne Jediisierung des Zen, bringt es damit treffend auf den Punkt
Wir haben jahrzehntelang falsche Ideen über unsere Passworte verinnerlicht.
Passworte sind kompliziert und schwer zu merken, damit sie niemand brechen kann.
Leider ist das ein Trugschluss, der für Menschen gilt.
Die Passworte die wir bisher verwendet haben, sind kompliziert und schwer zu merken für einen Menschen,
aber mit ausreichender Rechenkraft für einen Computer leicht zu brechen.
Daher brauchen wir etwas, was ein Computer niemals nutzen wird:

Kreativität.

Nutzen wir dies und machen Passworte, die einfach und leicht zu merken sind – für uns!
Und gleichzeitig schwer für einen Computer zu brechen sind.
Wenn wir ganze Sätze bilden, können wir uns – als Menschen – diese leicht merken. Aber Computer sind nicht in der Lage, diese einfach zu erraten.
Und das sture Durchprobieren – mit Brute Force, also mit roher Gewalt – um das Passwort zu brechen, wird zu einer Lebensaufgabe für den Kollegen Computer – wenn er sehr, sehr lang lebt 😉
Aus dieser Idee heraus hier meine erste Empfehlung:

  • Denkt euch einen Passsatz (eine Passphrase) aus, die ihr euch leicht merken könnt, die ihr wie ein Mantra wiederholt, die euch ein gutes Gefühl gibt (damit ihr gern an diesen Satz denkt) und der möglichst wenig Angriffsfläche für Social Engineering auf euer Leben hat.

Ein schlechtes Beispiel hierfür ist:
Ich lebe in Hamburg in der Alsterallee 3.
Ein guter Satz von der reinen Sicherheit her, allerdings leicht zu social Engineeren, wenn ihr dort tatsächlich wohnen sollte.
Also für mich wäre es ein toller Satz…nur kann ich ihn mir nicht so toll merken, da ich noch nicht einmal weiß, ob es in Hamburg eine Alsterallee gibt…also ihr versteht, was ich meine.
Ein gutes Beispiel ist:
Reispudding mit sauren Gurken macht mich ganz kribbelig!
Ganz schön sicher. Ach, was! Irrsinnig sicher!
Bitte, wer von uns hat schon die ernste (oder alberne) Absicht 2 Novemvigintillion Jahre (das ist eine Zahl mit 90 Stellen) seine Geheimnisse zu schützen?
Ich glaube, wenn ich so alt bin, stehe ich endlich darüber, ob jemand meine Geheimnisse stehlen will.
Also, das Beispiel ist wirklich gut, weil da müsste jemand schon ganz ordentlich social engineeren, um das über mich rauszubekommen.

Was macht ein starkes Passwort stark?

Nochmal kurz zusammengefasst, was ein starkes Passwort jetzt stark macht:

  • Es kann nicht, oder nur mit sehr hohem Aufwand in sehr langer Zeit gebrochen werden.

Was sind denn nun die Faktoren, die ein starkes Passwort ausmachen?

  • Size matters
    Ja, es kommt diesmal tatsächlich mal auf die Länge an 😉
    Je länger ein Passwort ist, desto länger braucht ein Computer, um alle Möglichkeiten durchzuprobieren.
    Also als Mindestlänge ist hier meiner Ansicht nach (und da stimme ich sogar mal mit dem BSI überein) zwölf Zeichen unbedingt notwendig.
    Gewöhnen wir uns lieber – was bei Passphrasen ganz leicht ist – an eine Mindestlänge von zwanzig Zeichen.
  • Mach es komplex – nicht kompliziert
    Ein komplexes Passwort verwendet viele verschiedene Zeichen. Also Buchstaben, Zahlen und Sonderzeichen.
    Scheut euch nicht davor, das ein oder andere Komma oder ähnliches zu verwenden – das tut der menschlichen Lesbarkeit von Texten schließlich auch gut 😉
    Ein guter Überblick über den Zusammenhang zwischen Länge und Komplexität lieferen diese Tabellen.
  • Unverknüpft – lass dein Passwort social unengineerbar sein
    Nimm nichts, was aus sozialen Netzwerken auf dich schließt.
    Lass deine Lieblingsfarbe weg, vergiss den Fußballverein für den dein Herz schließt.
    Schließ deine Passphrase in dein Herz ein – und veröffentliche keine Hinweise darauf in der allwissenden Müllhalde.
  • Vergiss Wörterbücher
    Nimm keine Worte, die in Wörterbüchern vorkommen.
    Nochmal mein Hinweis: sei kreativ.
    Werde zu deinem eigenen Passwortpoeten und reime deine Sicherheit!

Was ist bei starken Passworten noch wichtig?

  • Niemals Passworte wiederverwenden
    Jedes Ding will einmalig sein – auch das Passwort für jeden einzelnen Dienst!
  • Niemals Passworte jemandem mitteilen
    Passworte zu teilen (auch mit deiner Liebsten oder deinem Hamster) ist kein Liebesbeweis.
    Es ist Dummheit.
    Denn es gefährdet neben deinen Geheimnissen auch noch die Integrität deiner Beziehung und die Unversehrheit deiner Liebsten (oder deines Hamsters). Denn jetzt ist da noch jemand, aus dem ein Angreifer dein Passwort herausbekommen kann.

TL;DR

  • Was soll mein starkes Passwort leisten?
  • We must unlearn what we have learned.
  • Be creative!
  • SBGB (schlechtes Beispiel – gutes Beispiel)
  • Faktoren: Lang, komplex, nicht social engineerbar, Wortneuschöpfungen
  • Und sonst noch?

So, liebe Leser, jetzt verbleibt mir noch, euch eine gute, schöne, freudvolle Osterzeit zu wünschen.
Genießt das Geheimnis des höchsten christlichen Feiertages und viel Freude beim geheimnisvollen Ostereiersuchen!

Warum wir starke Passworte brauchen

Um es ganz kurz auf den Punkt zu bringen:
Ohne starke Passworte brauchen wir uns auch nicht weiter Gedanken um unsere Privatsphäre machen.
Starke Passworte sind faktisch aktuell der beste Schutz, den wir haben, um unsere Geheimnisse zu bewahren.
Wenn wir – und davon gehe ich mal davon aus (denn die Anzahl Eremiten mit Web-Anbindung lassen sich doch an einer ausgemergelten Hand abzählen) – am digitalen Teil des Lebens teilnehmen wollen, brauchen wir starke Passworte, damit unsere Privatsphäre eben privat bleibt und nicht direktes Allgemeingut wird.
Ein starkes Passwort ist die wichtigste Verteidigungslinie unserer Privatsphäre.
Klar schützen wir unsere Privatsphäre auch mit Datensparsamkeit – eben dadurch, dass wir möglichst wenig über uns preisgeben – aber ein starkes Passwort schützt eben davor, dass wir ungewollt unsere Privatsphäre aller Welt offenlegen.

Gibt es sonst nichts?

Es gibt durchaus neben Passworten andere Schutzmechanismen unserer privaten Geheimnisse, aber diese halte ich entweder schlicht für Irrsinn (biometrische Daten) oder sie sind nicht durchgängig verfügbar (OTP, 2FA, Certs).

  • Biometrische Daten

Wer biometrische Daten für eine gute Idee zum Schutz der Privatsphäre hält, glaubt auch daran, dass seine Daten bei einem gewinnorientierten Internetunternehmen sicher aufgehoben sind.
Biometrische Daten haben den einfachen Nachteil, dass man sie nicht ändern kann, wenn sie einmal gestohlen wurden. Der Fingerdruck ist halt mal gestohlen und er bleibt halt auch mit meiner Identität verknüpft…es sei denn man greift zu drastischen Maßnahmen…aber da ist halt auch nach spätestens zehn Diebstählen das Ende der digitalen (haha) Fahnenstange erreicht. In diesem Fall gilt halt “gestohlen ist gestohlen – wieder holen … hilft nicht.”.

  • OTP, 2FA, Cert

Andere, sichere Verfahren wie Einmalpassworte (OTP – One Time Password) (wir kennen diese z.B. von der TAN), Zwei-Faktor-Authentifzierung (2FA) (kennen wir vom Geldautomaten – da brauchen wir unsere EC-Karte und unsere PIN) oder digitale Zertifikate (finden wir ganz automatisch bei der Nutzung von sicheren Internetverbindungen (HTTPS)), werden leider nicht in der Breite eingesetzt, wie wir dies bei Passworten sehen.

Schwaches Passwort – schwache Privatsphäre

Aber warum wiederhole ich hier ständig gebetsmühlenartig, dass wir starke Passworte brauchen?
Auch ganz einfach zu beantworten.
Ein schwaches Passwort hilft ungefähr so viel unsere Privatsphäre zu schützen, wie ein rostiges Gartentor davor schützt, dass unsere Blumen aus dem Garten gestohlen werden.
Es eben ist eben nur ein symbolischer Schutz, der möglicherweise noch eine psychologische Hemmschwelle darstellt, aber ansonsten keinen wirklichen Schutz bietet.
Ein schwaches Passwort ist meiner Meinung nach sogar noch gefährlicher, als gar kein Passwort zu haben.
Habe ich kein Passwort, dann weiß ich, dass meine Geheimnisse nicht sicher sind, denn mir ist ja bewusst, dass ich kein Passwort habe.
Wenn ich jedoch ein schwaches Passwort habe, glaube ich, dass meine Daten, meine Identität gar, sicher sind.
Dieser Trugschluss ist weitaus gefährlicher, weil ich selbst mich in Sicherheit wähne und dadurch unbewusst viel fahrlässiger mit meiner Privatsphäre umgehe.

scientia potentia est” – Thomas Hobbes

Ich empfehle, wir werfen alle in einer stillen Stunde einen Blick auf die folgende Seite, um einfach schon mal ein Gefühl dafür zu bekommen, wie es um unsere Passwort-Qualität steht.
How Secure Is My Password zeigt in ernüchtender (oder erhellender, je nachdem wie gut dein Passwort ist) Weise, die Qualität deines Passwortes auf.
Aber was bringt uns dieses Wissen jetzt?

  • Entweder Befriedigung, dass wir ein gutes Passwort haben.
    In diesem Fall gönnen wir uns jetzt ein zufriedenes Lächeln und prüfen in der nächsten Woche, ob wir bei unserer Wahl des starken Passworts auch an weitere Gemeinheiten der Passwort-Verwaltung gedacht haben.
  • Oder Ernüchterung.
    Und das ist extrem gut, denn an dieser Stelle haben wir schon Goethe mit seinem Faust:
    Da steh ich nun, ich armer Tor, und bin so klug als wie zuvor.” als auch Sokrates:
    Ich weiß, dass ich nichts weiß.” hinter uns gelassen.
    Wir sind jetzt klüger als zuvor und wissen jetzt, dass wir ein schwaches Passwort einsetzen.
    Und mit diesem Wissen haben wir jetzt die Grundlage zur Stärkung unserer Privatsphäre in der Hand.
    Jetzt können wir die Macht unseres neu gewonnenen Wissens nutzen und lernen, wie wir ab jetzt starke Passworte verwenden.

TL;DR

  • Starke Passworte sind der wichtigste Schutz unserer Privatsphäre
  • Das starke Passwort – Erste und Letzte Verteidigungslinie unserer Geheimnisse
  • Was gibt es sonst noch? OTP, 2FA, Certs
  • Weak Passwords Kill Privacy
  • Wissen ist Macht – nicht Wissen macht es schlimmer

…und sonst?
Genug aufgerüttelt für heute – geht heute vielleicht einfach mal ins Kino und kommt auf andere Gedanken 🙂