Die beliebtesten Passwörter sind haarsträubend
Wenn im Internet mal wieder irgendwo ein paar Millionen oder Milliarden Passwörter auftauchen, ist die Reaktion meist dieselbe: Kopfschütteln - über die Leichtigkeit, mit der es Kriminellen gelingt, in vermeintlich sichere Computersysteme einzudringen. Und über die Leichtfertigkeit, mit der Nutzer ihre Zugangsdaten vergeben.
1234, 12345, 123456, 12345678, 123456789. Diese Zahlenreihen stellen fünf der sieben beliebtesten Passwörter, ergänzt nur vom Klassiker "password" und dem ähnlich kreativen "qwerty" (1234567 hat es auf Platz elf nicht in die Top-10 geschafft, dürfte aber auch keine Empfehlung von Sicherheitsexperten erhalten). Und selbst komplexere Codes können Angreifer oft binnen Sekunden knacken, weil darin wiederkehrende Schemata auftauchen.
Der Mensch ist ein Gewohnheitstier
Zum Glück gibt es auf dem Smartphone eine Alternative zur Pin-Nummer: Sperrmuster, die das Gerät durch das Wischen bestimmter, vordefinierter Gesten entsperren. Google führte sie 2008 für die Android-Plattform ein, um Nutzern eine zusätzliche Möglichkeit zu geben, ihr Smartphone zu sichern. Doch der Mensch ist ein Gewohnheitstier. Bequemlichkeit geht vor, bei Passwörtern - und bei Sperrmustern.
Die SZ-Redaktion hat diesen Artikel mit einem Inhalt von Youtube angereichert
Die Norwegerin Marte Løge hat im Rahmen ihrer Masterarbeit an der Universität Trondheim knapp 4000 solcher Muster gesammelt und untersucht. Das Tech-Portal Ars Technica war bei ihrer Präsentation "Sag mir, wer du bist, und ich verrate dir dein Sperrmuster" dabei und zitiert Løge: "Menschen sind berechenbar. Es war wirklich lustig zu sehen, dass die Leute für Passwörter und Sperrmuster die gleichen Strategien verwenden."
Grundlegende Informationen über Sperrmuster und das Vorgehen von Marte Løge:
- Muster können aus bis zu neun Knotenpunkten bestehen, das Minimum sind vier.
- Insgesamt gibt es rund 390 000 Kombinationsmöglichkeiten. Bei vier verwendeten Knoten sind es 1624, die Zahl steigt danach exponentiell an auf 140 704 Möglichkeiten bei Mustern mit acht bzw. neun Knoten.
- Løge bat die Probanden, drei Muster zu erstellen: für eine Shopping-App, für eine Banking-App und eines, um das Smartphone zu entsperren.
Die zentralen Ergebnisse der Forscherin im Überblick:
- Mehr als drei Viertel der Nutzer beginnen das Muster in einer der vier Ecken, knapp die Hälfte links oben.
- Die durchschnittliche Anzahl an Knoten betrug fünf, Angreifer müssen dafür maximal 7152 Kombinationen durchprobieren. Allerdings bewegt sich ein Großteil der Muster von links oben nach rechts unten, das erleichtert das Erraten signifikant.
- Männer vergeben im Schnitt längere und komplexere Muster als Frauen, mit steigendem Alter werden sie kürzer und simpler.
- Frauen verwenden fast nie kreuzende Muster, also beispielsweise die Zahlenreihe 2-3-1 auf einer numerischen Tastatur. Dabei würde das die Sicherheit deutlich erhöhen.
- Jeder zehnte Nutzer wählt einen Buchstaben als Muster, besonders häufig den Anfangsbuchstaben des Namens der Partner oder eigenen Kinder.
- Neun-knotige Muster werden bis zu viermal häufiger genutzt als solche mit acht Knoten; einen Zugewinn an Sicherheit bedeutet das aber nicht: Bei beiden gibt es gleich viele unterschiedliche Kombinationsmöglichkeiten.
Diese Empfehlungen gibt Løge für sichere Sperrmuster:
- Je länger und komplexer, desto besser der Schutz.
- Verwenden Sie möglichst viele Kreuzungen. Das macht es Smartphone-Dieben schwerer, zuvor mit einem Blick über Ihre Schulter den Sperrcode zu entziffern, während Sie ihn eingeben.
- Um sich vor neugierigen Blicken zu schützen, sollten Sie in den Sicherheitseinstellungen Ihres Smartphones die Option "Muster anzeigen" deaktivieren. Dann werden ihre Fingerbewegungen beim Entsperren nicht mehr mit Linien auf dem Display visualisiert.
Doch Vorsicht: Forscher der Universität Pennsylvania haben herausgefunden, dass die Fettspuren auf dem Touchscreen selbst die komplexesten Muster verraten (PDF). Und auch Fingerabdrücke sind kein zuverlässiger Schutz, immer wieder werden Sicherheitslücken entdeckt. Letztendlich hilft wohl doch nur ein sicheres Passwort. Wie das aussehen kann? Hier entlang:
