Tom König hat sich ges­tern in sei­ner Kolumne War­te­schleife auf Spie­gel Online dar­über beschwert, dass jeder Dienst und jede Web­site einen eige­nen Login erfor­dert. Zudem plä­diert er dafür, ein­fa­che Pass­wör­ter wie »Mutti« zu verwenden.

Er argu­men­tiert bei den ein­fa­chen Pass­wör­tern damit, dass die beson­ders sen­si­ti­ven Ser­vices EC-Karte oder Mobil­te­le­fon nur mit einem sehr ein­fa­chen vier­stel­li­gen Code gesi­chert sind. Königs Argu­men­ta­tion greift aber hier deut­lich zu kurz. Er über­sieht einen ganz deut­li­chen Unter­schied zwi­schen einem Dienst wie Face­book und einer EC-Karte: Die EC-Karte hat ein nicht zu ver­ach­ten­des Zusatz­mo­men­tum gegen­über einem klas­si­schen Login — man muss die EC-Karte phy­sisch besit­zen und eine PIN ken­nen. Zudem wird die Karte nach drei Fehl­ver­su­chen gesperrt. Hier reicht also nicht nur Wissen.

Ein klas­si­scher Online Login funk­tio­niert aber meist nur mit Wis­sen. Und ein Teil des Wis­sens ist meist kein Geheim­nis. Sei es E-Mail-Adresse, Benut­zer­name oder — schon etwas gehei­mer — die Kun­den­num­mer. Hier muss also das Pass­wort den allei­ni­gen Schutz gewähr­leis­ten. Folg­lich muss das Pass­wort auch mehr Kom­bi­na­tio­nen als eine vier­stel­lige Zahl haben (das sind genau 10000). Diese könnte man in einer für einen Rech­ner recht über­schau­ba­ren Zeit durch­pro­bie­ren. Ähnlich ein­fach sind auch Dictionary-Attacks, bei denen nach­ein­an­der Wör­ter aus einem Wör­ter­buch durch­pro­biert wer­den, zu rea­li­sie­ren. Ins­be­son­dere, wenn man über ein Bot­netz ver­fügt. Natür­lich wer­den auch hier Sper­ren nach einer bestimm­ten Anzahl von Fehl­ver­su­chen seit lan­gem imple­men­tiert, aber auch diese sind ja nur eine Ver­lang­sa­mung des Problems.

Ein wich­ti­ges Ele­ment ist aber auch, dass man für jeden Dienst ein eige­nes Pass­wort nut­zen sollte. Dies kann natür­lich nach irgend­ei­ner merk­ba­ren Regel gebil­det wer­den. Dabei schlie­ßen sich leicht zu mer­ken und sicher nicht gegen­sei­tig aus. Oder man nutzt einen Passwort-Safe wie 1Password und Last­Pass. Ganz nach Gusto. Den­noch: ohne ein wenig Hirn­schmalz, wie man mit sei­nen Zugangs­da­ten umgeht, geht es bei rein wis­sens­ba­sier­ten Zugangs­sys­te­men nicht.

Google geht mit der 2-Step-Verification wie­derum den Weg einer Kom­bi­na­tion aus Wis­sen und Besitz. Und zwar in einer sehr kom­for­ta­blen Weise. Der Besitz­nach­weis muss nicht bei jedem Log­in­ver­such erbracht wer­den, es reicht die ein­ma­lige Veri­fi­ka­tion in einem bestimm­ten Zeit­raum an einem Rech­ner — bei Google alle 30 Tage.

Königs Arti­kel ist mei­nes Erach­tens nach eine große Gefahr, ruft er doch zu einer deut­lich zu gerin­gen Vor­sicht beim Umgang mit Pass­wör­tern auf. Wird die Benutzer/Passwort-Kombination an einer Stelle her­aus­ge­fun­den, kön­nen inner­halb kür­zes­ter viele andere Ser­vices betrof­fen sein. Und dann ist die Kacke am dampfen…