Häufiger und erzwungener Passwortwechsel schadet mehr als er nutzt

Es gibt die weit verbreitete Meinung, dass man Passwörter in regelmäßigen Abständen ändern sollte, viele Unternehmen zwingen ihre Nutzer auch entsprechend dazu. Doch laut einer Sicherheitsforscherin erreicht man dadurch keine Verbesserung des Schutzes, ganz im Gegenteil sogar. Passwort regelmäßig ändern: Das ist einer der ältesten Sicherheitstipps der Internet-Ära, bis heute sind vermutlich nicht wenige von uns überzeugt, dass das ein richtiges Verhalten ist. Lorrie Cranor, eine bis Ende 2015 an der Carnegie Mellon University tätige Informatikerin, die nun Chef-Technologin bei der Federal Trade Commission (FTC) ist, widersprach dieser Meinung scharf, wie Ars Technica berichtet.

Zwangsänderung ist kontraproduktiv

Laut Cranor sei das regelmäßige Ändern von Passwörtern aus gleich mehreren Gründen problematisch: So gebe es inzwischen Studien, die belegen, dass das nichts hilft und dass das Wiederholen derartiger Tipps bzw. die Durchsetzung von solchen Wechseln die Sicherheit sogar verschlechtert. Infografik: Alles rund ums Passwort Laut einer Studie der University of North Carolina (UNC) bekamen Sicherheitsforscher über längeren Zeitraum die abgelaufenen, da alle drei Monate geänderten Daten von Studenten und Mitarbeitern zur Verfügung gestellt. Dabei konnten sie feststellen, dass der erzwungene Wechsel des Passworts vielfach nur Variationen des ursprünglichen zur Folge hatte. Minimale Änderungen betreffen Klein- und Großbuchstaben sowie Zahlen und lassen sich auch besonders leicht voraussagen.

Derartige "Transformationen" sind gut für Skripte und Algorithmen geeignet, die UNC-Forscher fertigten entsprechend ein Programm an, das mit einer erstaunlichen Trefferquote die Passwörter vorhersagen konnte.

Auch andere Studien hätten laut Cranor gezeigt, dass derartige Passwortwechsel Hacker kaum hindern oder ihnen das Leben schwerer machen. Letzteres gelte hingegen für Nutzer und stehe in keinem Verhältnis zu einem lediglich gefühlten Mehr an Sicherheit. Bei einigen US-Regierungseinrichtungen habe sich das bereits durchgesetzt, meint Cranor, viele haben erkannt, dass ein Passwort-Wechselzwang meistens kontraproduktiv ist.

Lesen Sie auch unsere Artikel Passwörter knacken und sichtbar machen! und Windows Passwort vergessen? Vier garantierte Lösungen!.