Dasselbe Passwort für private Seite und Firmenkonto

Ein Datenleck liefert Paare aus Benutzername und Passwort. Der Angreifer probiert sie bei gängigen Anmeldediensten aus, darunter Fernwartungszugänge, Online-Anwendungen und E-Mail¹. MITRE weist darauf hin, dass die Methode für den Angreifer riskant ist, weil sie viele fehlgeschlagene Anmeldungen und Kontosperrungen auslösen kann, je nach Richtlinie der Organisation¹. Die CISA erzählt den Fall von Emma, eine Beispielgeschichte ohne Datum. Sie erhält von ihrer Bank eine Warnung wegen einer Überweisung von 700 Dollar, die sie nicht veranlasst hat, und stellt dann fest, dass sie ihr E-Mail-Postfach nicht mehr öffnen kann, um ihr Passwort zurückzusetzen. Sie hatte auf beiden Konten dasselbe Passwort, das aus einem online veröffentlichten Unternehmensleck stammte⁶.

Ein Konto, ein Passwort. Die CNIL verlangt, jedes sensible Konto (Bank, E-Mail, soziales Netzwerk) mit einem eigenen, einmaligen Passwort zu sichern, um Hacks in Kettenreaktion zu vermeiden⁵. Die CISA empfiehlt Passwörter mit mindestens 16 Zeichen, zufällig und für jedes Konto verschieden⁶.

Nutzen Sie einen Passwortmanager. Für jedes Konto ein starkes Passwort zu behalten, ist unmöglich, und der Manager übernimmt das: Er erzeugt die Passwörter, speichert sie und gibt sie für Sie ein⁶. Er kann auch melden, dass ein Passwort in einem Datenleck aufgetaucht ist⁴. Das NCSC ergänzt, dass das automatische Ausfüllen vor Phishing schützt, weil das Passwort nur auf der richtigen Seite erscheint⁴. Sie müssen sich nur noch ein Master-Passwort merken, das laut NCSC seinerseits durch die Zwei-Faktor-Authentifizierung geschützt werden sollte⁴. Auf einem gemeinsam genutzten Computer sollten Sie den Browser nie ein Passwort speichern lassen⁵.

Aktivieren Sie die Zwei-Faktor-Authentifizierung. Für das NCSC ist das der erste Schritt, denn sie schützt auch dann, wenn das Passwort durch Phishing erbeutet oder kompromittiert wurde⁴. Die CISA weist darauf hin, dass starke Passwörter allein nicht mehr genügen und dass nicht alle Verfahren gleichwertig sind: Der Sicherheitsschlüssel schützt am besten, der per SMS oder E-Mail erhaltene Code am wenigsten, er sollte nur genutzt werden, wenn es nichts Besseres gibt⁷. Sie ermutigt Beschäftigte außerdem, die Funktion auch für ihre privaten Konten zu aktivieren⁷.

Wenn ein Passwort möglicherweise in einem Datenleck gelandet ist, ändern Sie es ohne Zögern. Das NCSC verlangt, das Passwort des E-Mail-Postfachs so schnell wie möglich zu ändern, falls es wiederverwendet wurde, und dann ein starkes zu wählen, das sich von allen anderen unterscheidet³. Die CNIL erwartet von einem Dienst, der von einem Datenleck betroffen ist, dass er dem Nutzer empfiehlt, die Passwörter seiner anderen Dienste zu ändern, falls er dort dasselbe verwendet hatte⁸.

• Dasselbe Passwort für das Firmenkonto und für private Konten behalten: Genau diesen Fall beschreibt MITRE¹. Das NCSC spricht von einem Passwort, das auf keinem anderen Konto verwendet wird, „either at home or at work“³.
• Sich bei einer privaten Seite mit der Firmenadresse registrieren. Die Adresse dient bei vielen Seiten als Benutzername, und die Listen mit Paaren kursieren mit diesen Adressen².
• Glauben, eine Nebensache von Seite zähle nicht. Ein Passwort gilt überall, wo es wiederverwendet wurde, gleich von welcher Seite es stammt¹.
• Sich mit einem Code per SMS oder E-Mail begnügen. Das ist besser als nichts, aber die schwächste Form der Zwei-Faktor-Authentifizierung⁷.
• Nicht wissen, welche Passwörter wiederverwendet werden. Ein Passwortmanager kann schwache oder wiederverwendete Passwörter melden⁶.