Passwörter

Bei der Suche nach dem richtigen Passwort sind einem Angreifer keine Grenzen gesetzt. Die Palette reicht vom Ausprobieren beliebiger Wörter bis hin zum Ausspähen des Passwortes mit aufwendiger Abhörtechnik. Um das Passwort nicht zu vergessen, wählen viele Benutzer leicht zu merkende Wörter, wie zum Beispiel den eigenen Vornamen, den Vornamen von Familienangehörigen, den Namen ihres Haustieres oder den Namen ihrer Freundin. Aber auch Wörter wie Urlaub, Boss, Liebe, Geheim, Passwort, oder auf der Tastatur direkt nebeneinander liegende Tasten wie QWERTZ oder ASDF sind nicht so originell wie angenommen wird.

Auf der Suche nach dem Passwort versuchen Angreifer so viel wie möglich über die betreffende Person herauszufinden. Sie belauschen die Gespräche ihres Opfers, um auf die Namen seiner Freunde zu kommen, sie durchsuchen den Müll nach Rechnungen, Briefen oder Verpackungen, die irgendeinen Anhaltspunkt liefern könnten.

Um das Passwort nicht zu vergessen, notieren sich viele Benutzer das Kennwort auf einem Zettel und verstecken diesen an diversen Orten. Sie sind der Meinung, dass nie jemand auf dieses Versteck kommen würde. Typische Verstecke für Passwörter sind etwa unter der Schreibtischunterlage, unter den Schreibtischschubladen aufgeklebte Zettel, oder Post-It Notes hinter dem Monitor.

Auch die als "Social Engineering" bekannte Methode, bei der sich der Angreifer als Netzwerkverantwortlicher oder als Systemadministrator ausgibt und dem Benutzer so sein Passwort entlockt, funktioniert öfter als man denken könnte. Kein Systemadministrator wird sie nach ihrem Login oder Passwort fragen. Auf Grund seiner Berechtigungen im System kann er alle Benutzerdaten einsehen - auch das Passwort. Besonders aufmerksam sollten sie dann werden, wenn sich der Administrator von sich aus an sie wendet.

Computersicherheit fängt mit der Vergabe eines einigermaßen sicheren Passwortes an. Passwörter sollen keinen persönlichen Bezug haben. Da die Angreifer oft Passwortlisten verwenden, sollten keine Wörter verwendet werden, die in einem Wörterbuch vorkommen oder allgemein gebräuchlich sind. Passwortlisten sind einfache Textdateien, in denen nacheinander Unmengen von Wörtern stehen, die dann von einem Programm automatisch durchprobiert werden. So können einfache Passwörter in kürzester Zeit ermittelt werden. Passwortlisten sind in praktisch allen Sprachen verfügbar und können von diversen Seiten im Internet herunter geladen werden.

Bevor man ein Passwort vergibt, sollte man sich mit den Passwortrichtlinien auf dem eigenen System vertraut machen. Auf Firmencomputern sind meistens schon gewisse Richtlinien vorgegeben, wie ein Passwort auszusehen hat. Sollte dies nicht der Fall sein, sollte man sich seine eigenen Passwortrichtlinien zusammenstellen. Die folgenden Richtlinien sollen nur als Beispiel dienen, je nach Sensibilität der Daten könnten auch strengere Richtlinien angebracht sein.

Das Passwort sollte...

spätestens nach 6 Monaten geändert werden
mindestens 8 Zeichen lang sein
nicht in einem Wörterbuch stehen
aus Buchstaben und Zahlen bestehen
nach Möglichkeit Sonderzeichen enthalten
nirgends aufgeschrieben werden
nicht aus Wörtern oder Zahlen bestehen, die einen persönlichen Bezug haben und
nicht ein bereits zuvor verwendetes Passwort sein

Das Verwenden von beliebigen Buchstaben, Zahlen und Sonderzeichen stellt sicherlich einen besonders guten Schutz dar, allerdings sind solche Zeichenfolgen auch sehr schwer zu merken.

Mit dem Online-Tool "Passwort-Generator" können Sie solche zufälligen Passwörter erstellen.Zusätzlich können Sie das Programm Passwort-Generator herunterladen.

Umgehen des Passwortes in Windows 9x

Das Passwort von Windows 95 bzw. von Windows 98 bietet keinen brauchbaren Schutz vor Spionage- oder Sabotageakte.

Die einfachste Variante das Windows-Passwort zu umgehen ist, wenn man bei der Anmeldung die ESC-Taste drückt, oder mit der Maus auf die Schaltfläche "Abbrechen" klickt. Ferner besteht die Möglichkeit, den Computer im abgesicherten Modus zu starten. Hier wird kein Passwort verlangt. Allerdings ist der Funktionsumfang von Windows im abgesicherten Modus sehr beschränkt.

Weiters bietet sich die Möglichkeit, die Passwortdateien von Windows umzubenennen. Man startet den Computer neu und drückt beim erscheinen des Bildschirmes "System Konfiguration" die Funktionstaste "F8". Danach wählt man den Punkt "Im MS-DOS-Modus starten". An der Eingabeaufforderung benennt man die Passwortdateien von Windows mit dem Befehl rename c:\windows\*.pwl *.zzz um und startet den Computer neu. Bei der Passworteingabe erscheint zwar das Login des letzten Benutzers, allerdings findet Windows das dazu gehörende Passwort nicht mehr, da die Passwortdateien umbenannt wurden. Nun gibt man ein neues Passwort ein und bestätigt das Passwort durch die Neueingabe desselben Passwortes.

Um diese Aktion wieder rückgängig zu machen, benennt man die Passwortdateien mit dem Befehl rename c:\windows\*.zzz .pwl wieder um, löscht die Kopien der Passwortdateien mit dem Befehl del c:\windows\.zzz und fährt den Computer wieder herunter. Danach ist alles wieder so wie es vorher war.

Diese Methode funktioniert allerdings nur, wenn in der Datei Msdos.sys der Eintrag "BootKeys" aktiviert ist. Sollte dies nicht der Fall sein, bootet man den Computer mit einer Startdiskette, benennt die Passwortdateien um und vergibt ein neues Passwort. Um einen Computer mit einer Startdiskette zu booten, muss im BIOS die Bootreihenfolge so eingestellt sein, dass das Diskettenlaufwerk an der ersten Position steht, z.B. "A, C, CD-ROM".

Ein ausreichender Schutz vor diesen Einbruchsvarianten existiert nicht. Allerdings kann durch die Vergabe eines BIOS-Passwortes und durch das Ändern der Bootreihenfolge auf "C, A, CD-ROM" die Sicherheit zumindest ein wenig erhöht werden. Je nach Hersteller sind die möglichen Einträge bei der Bootreihenfolge unterschiedlich, man muss allerdings darauf achten, dass das Laufwerk C vor dem Diskettenlaufwerk steht. Weiters sollte man in der Datei Msdos.sys die Zeilen "BootKeys=0" und "BootDelay=0" eintragen.

Bild: Andrea Walla

Quelle: http://www.gaijin.at/manpwd.php