Sichere Passwörter erstellen und verwalten

Besonders als Programmierer bin ich ständig dabei sichere Passwörter anzulegen und die Passwörter von Kunden zu verwalten. In diesem Beitrag beschreibe ich, was für mich ein sicheres Passwort ist, wie es sich dennoch merken lässt und wie ich die Vielzahl an Passwörtern verwalte.

Ein sicheres Passwort erstellen

Über die Gründe sicherer Passwörter muss ich hier wahrscheinlich nicht viele Worte verlieren. Gerade aus meiner Arbeit als Programmierer weiß ich, was passieren kann, wenn ein Kunde für so wichtige Dinge wie den Administratorzugang zu seiner Webseite oder den Login in das Konto mit dem Werbebudget ein Passwort verwendet, das sehr kurz und ein einfaches Wort ist. Für mich gelten folgende Regeln für ein sicheres Passwort:

• Länge: je länger, desto besser
• Seltenheit: je unwahrscheinlicher ein Eintrag in einem Wörterbuch oder in der Wikipedia auftaucht, desto besser
• Zeichenvielfalt: je verschieden oder besonders die Zeichen, desto besser
• Einmalig: dasselbe Passwort nur für einen Zugang verwenden und nicht überall

Einprägsame, sichere Passwörter

Ich habe Verständnis dafür, wenn meine Kunden für die ganzen neuen Zugänge, die so mit einer Webseite kommen (Hosting, Seitenadmin, Statistiktools, …) möglichst ein einfaches, einprägsames Passwort nutzen. Niemand kann und will sich eine Unmenge an kryptischen Zeichenketten merken. Das ist dank einiger Tools aber auch nicht notwendig (siehe unten).

In meiner Praxis hat sich aber die Verwendung einer Passwortverwaltung nicht immer als praktisch erwiesen, weil die Software einfach nicht immer zur Hand ist. Daher bin ich dazu übergegangen Passwörter nach einem Muster zu erstellen, wenn die Wahrscheinlichkeit besteht, dass ich den Zugang auch fern von meinem Laptop benötige. Dabei generiere ich sichere Passwörter nicht mehr ausschließlich generisch aus zufälligen Zeichen, sondern manuell, ohne die oben genannten Regeln zu verletzen.

Sichere, einprägsame Passwörter

Die Anatomie eines sicheren Passworts sieht dabei so aus, dass sich ein Bestandteil bei allen Passwörtern dieses Muster wiederholt. Auch dieser Teil ist dann natürlich möglichst lang und generisch, sollte aber einprägsam sein. Ein zweiter Teil ist dann individualisiert für den entsprechenden Zugang. Diesen Teil denke ich mir jeweils selbst aus, was daher weiterhin eine aktive Erinnerungsleistung erfordert. Sie ist aber geringer als wenn ich mir die kompletten Zeichenketten merken müsste.

Natürlich werde ich hier nicht mein richtiges Muster verraten, aber folgendes Beispiel hilft euch, ein eigenes sicheres Passwort nach diesem Muster zu generieren. Der sich wiederholende Bestandteil könnte der folgende sein:

GSIETS * 0611

Dabei steht GSIETS für „GründerStory Ist Eine Tolle Seite“ und 0611 für Monat und Jahr, in dem die Seite gestartet wurde. Das Sternchen dazwischen steht für den dynamischen Teil. Der kann nun aus wenigen Buchstaben oder einfachen Wörtern bestehen wie für den Login zu WordPress auf gruenderstory.de aus wpgs. Das Passwort würde dann GSIETSwpgs0611 lauten. Zur Sicherheit würde ich auch dieses Passwort im Passwortmanager speichern, aber die Chance mich daran zu erinnern ist deutlich höher als sagen wir mal bei einem generischen Passwort wie  jdo)J3lsJpp.

Passwörter verwalten – mein Tool

Bei Passwörtern für Kundenprojekte nutze ich keinerlei Muster und lasse diese dynamisch generieren. Das macht sie deutlich sicherer. Diese kann ich mir aber natürlich nicht merken und auf Notizzetteln würde ich wahrscheinlich ständig durcheinander kommen. Daher nutze ich schon seit vielen Jahr das Tool KeePass, das es für verschiedene Plattformen gibt (für den Mac KeePassX, für Windows nutzte ich diese Portable App).

Das Tool selbst ist per Passwort gesichert. Dieses sollte für euch das sicherste und einprägsamste Passwort sein, denn es kann nicht im Programm selbst gespeichert werden und ist quasi der Generalschlüssel zu allen anderen Zugängen. Ansonsten müsst ihr euch in die Handhabung der jeweiligen Plattform selbst einlesen. Bei der Mac-Version vermisse ich die Möglichkeit, sowohl Nutzernamen als auch Passwort mit nur einem Klick in einen Login übertragen zu können.

Zwar nutze ich meist die Suche beim Finden bestehender Zugänge, es schadet aber nicht, eine logische Ordnerstruktur in der Passwortverwaltung zu haben. Bei mir besteht die oberste Ebene an Ordnern aus den Verantwortungsbereichen. Dazu gehört ein Ordner für privates, einer für meine Kunden als Programmierer und einer für meine eigenen Projekte. In diesem Ordnern gibt es dann weitere Unterteilungen für Unterprojekte oder Bereiche wie Dienstleistungen, Social Media, Tools, etc.

Passwörter im Browser speichern

Ein weiterer Punkt, der mir zum Thema sichere Passwörter gerade im Netz einfällt ist die Verwaltung von Passwörtern im Browser. Hier gehe ich wie eigentlich überall vor, wenn es um das Thema Passwörter geht, nämlich das schlimmste Szenario. Das wäre in diesem Fall jenes, dass jemand Zugang zu meinem Rechner erhält (z.B. durch Diebstahl) und damit den Browser und die Browserhoístorie einsehen und entsprechende Webseiten aufrufen kann.

Diesem Prinzip folgend habe ich geringere Probleme damit, Zugänge zu Webseiten auf Entwicklungsumgebungen im Browser zu speichern. So kann ich schneller auf diese zugreifen. Da es sich hier meist um zusätzlich gesicherte Daten handelt, die inhaltlich keine Geheimnisse verraten und nicht in bereits laufende Projekte eingreifen, lohnt es sich nicht hier einen Schaden zu verursachen. Anders sieht das natürlich mit Webseiten aus, die Live sind oder wo viel kaputt gemacht werden kann, wie etwa die Hauptwebseiten, Zugänge zu Hostern oder Social Media.