Wie lang sollte ein Passwort sein? Stärke ohne Mythen
Länge schlägt Einfallsreichtum jedes Mal. Was die Evidenz über die Passwortlänge sagt, warum Wiederverwendung die eigentliche Gefahr ist und eine paar Einstellungen, die es richtig machen.
Die Länge ist die wichtigste einzelne Eigenschaft eines Passworts. Jedes zusätzliche Zeichen multipliziert den Aufwand, den ein Brute-Force-Angriff braucht, während der Tausch eines Buchstabens gegen ein Symbol pro Position nur eine weitere Option hinzufügt. Ein langes, langweiliges Passwort schlägt ein kurzes, cleveres zuverlässig.
Als Faustregel: 16 oder mehr zufällige Zeichen aus einem Generator reichen für Konten, die einem wichtig sind, und eine zufällige Passphrase aus ein paar unverbundenen Wörtern funktioniert genauso gut für Dinge, die man von Hand eintippt. Ein 8-Zeichen-Passwort ist, egal wie zufällig, in Reichweite von jedem, der Rechenleistung pro Minute mietet — deshalb zählt die Länge mehr als die eingestreuten Symbole.
Wiederverwendung ist die echte Gefahr, nicht Komplexität. Wenn die Datenbank eines schlecht gesicherten Unternehmens durchsickert, probieren Angreifer die E-Mail-Passwort-Paare überall sonst aus; ein starkes Passwort, das auf mehreren Seiten wiederverwendet wird, wird im Moment des ersten Ausfalls zum schwächsten Glied. Nutzen Sie einen Passwort-Manager, halten Sie jedes Passwort einzigartig und aktivieren Sie Zwei-Faktor-Authentifizierung, wo es zählt.
Sicherheitsnormen haben die alten Regeln stillschweigend fallen gelassen, und zwar aus gutem Grund: Vorgeschriebene Regeln wie „ein Großbuchstabe, eine Ziffer, alle 90 Tage ablaufen“ drängen Menschen in vorhersagbare Muster, die Angreifern auswendig kennen. Länge, Einzigartigkeit und ein ehrlicher Stärkemesser — wie der in unserem Generator, der komplett im Browser läuft — bringen Sie weiter als jedes Ritual.