Security-Desaster im US-Ministerium
Der Teufelskreis der schwachen Passwörter
Fortsetzung des Artikels von Teil 1
Passwörter aus dem Anti-Lehrbuch
Um nähere Erkenntnisse zu den Ursachen und möglichen Maßnahmen zu erhalten, sahen sich die Prüfer anschließend die Hashes genauer an und glichen sie ab. Dabei stellte sich nicht nur heraus, dass viele Mitarbeiter schwache Passwörter vergeben haben, sondern auch, dass viele der Passwörter mehrfach vorkamen. So konnten die Auditoren eine Liste mit den beliebtesten Passwörtern im Ministerium erstellen, die den regelmäßigen Warnungen über auf keinen Fall zu verwendende Zugangscodes erschreckend nahe kommt:
- Password-1234
- Br0nc0$2012
- Password123$
- Password1234
- Summ3rSun2020!
- 0rlando_0000
- Password1234!
- ChangeIt123
- 1234password$
- ChangeItN0w!
Alle diese Passwörter erfüllen die aktuell gültigen Richtlinien des Ministeriums, weil sie mehr als acht Stellen samt Großbuchstaben, Zahlen und Sonderzeichen enthalten. Einige wie „Br0nc0$2012“ scheinen diesen auch hierzulande in vielen Unternehmen und Behörden geltenden Vorgaben zufolge sogar besonders sicher, da bei ihnen Buchstaben durch Zahlen und Sonderzeichen ersetzt wurden, sodass das dahintersteckende Wort verfremdet wurde. In der Detailbetrachtung zeigt der Fall jedoch, dass das gerade bei häufig vorkommenden Kombinationen in der Praxis eben keinen ausreichenden Schutz bietet.
Das Fazit der Tester ist daher eindeutig: Die gelebte Praxis ist hochriskant. „Regelmäßige Passwortwechsel sind zwar wichtig, wenn schwache Passwörter erlaubt werden. Gleichzeitig befördern sie allerdings, dass viele Nutzer weiterhin besonders einfache Passwörter nutzen, die leicht zu knacken sind.“ Letztendlich frustriere diese Praxis somit die Nutzer und schwäche gleichzeitig die Sicherheit der Organisation. Als Mindeststandard um diesen Teufelskreis zu durchbrechen, schlagen sie komplexere Passwortrichtlinien unter Ausgrenzung bekannter sowie von mehreren Mitarbeitern genutzter Kombinationen bei längeren Wechselintervallen vor. Ihre klare Empfehlung lautet aber, besser gleich eine Multi-Faktor-Authentifizierung (MFA) einzuführen. „Wenn MFA richtig implementiert wird, fügt sie eine zusätzliche Sicherheitsebene hinzu, die Organisationen selbst dann schützt, wenn Passwörter kompromittiert werden.“ Eine Erkenntnis, die sich in vielen Teilen der Verwaltung und Wirtschaft noch immer viel zu langsam durchsetzt.
- Der Teufelskreis der schwachen Passwörter
- Passwörter aus dem Anti-Lehrbuch
Lesen Sie mehr zum Thema
