Machen Sie Passwortsicherheit zur Gewohnheit

Heute ist der erste Donnerstag im Mai, also ist heute World Password Day. Ich kann nicht einmal so tun, als würde ich mich darüber freuen!  

Passwörter nerven mich.  Sie unterbrechen, was ich mache. Sie müssen alle unterschiedlich und komplex sein, schwer zu erraten und noch schwerer zu merken. Passwörter sind ein Ärgernis, und ich bin nicht der einzige Mensch, der so denkt. Über 42 % der aktiven Internetnutzer „verzichten“ auf Passwortsicherheit, weil sie sich nicht damit befassen wollen. Sie verwenden dasselbe Passwort für mehrere Websites, und oft handelt es sich dabei um ein schwaches Passwort, das leicht zu knacken ist. Ich kann ihr Leid nachvollziehen, aber die Welt ist zu gefährlich für diese Art von Verhalten.

Bösartige Bots und automatisierte Angriffe

Die Passwortsicherheit wird mit jedem automatisierten Angriff wichtiger.  Die jüngste Barracuda-Studie zum Internet-Traffic zeigt, dass mindestens 40 % des Datenverkehrs von „bösartigen Bots“ stammen.  Das sind automatisierte Skripte, die von Bedrohungsakteuren verwendet werden, um nach anfälligen Web-Applikationen, Firewalls und anderen über das Internet zugänglichen Geräten zu suchen. Die meisten dieser Bots konzentrieren sich auf E-Commerce-Anwendungen und Anmeldeportale, und viele von ihnen starten Passwort-Angriffe wie Brute Force und Credential Stuffing.  Ein Brute-Force-Angriff verfolgt einen systematischen Trial-and-Error-Ansatz, um alle möglichen Passwörter und Passphrasen zu testen. Wenn Sie eines der gebräuchlichsten Passwörter wie „123456“ oder „abc123“ verwenden, ist ein Brute-Force-Angriff in weniger als einer Sekunde erfolgreich. Credential-Stuffing-Angriffe sind etwas anders, weil der Bot eine Reihe von Zugangsdaten durchläuft, die bei anderen Angriffen gestohlen wurden. Wenn Sie kein einzigartiges Passwort für die angegriffene Website verwenden, besitzt der Bot möglicherweise Ihre gültigen Zugangsdaten aus einer früheren Datenschutzverletzung. Wenn dies der Fall ist, braucht es nur ein wenig Zeit, bis er sich als Sie anmelden kann.

Phishing – auf der Suche nach Gelegenheiten

Phishing ist ein weiterer Angriff, der die Bedeutung der Passwortsicherheit unterstreicht.  Phishing-E-Mails, -Websites und -Nachrichten gehören zu den größten Bedrohungen für Unternehmen und Einzelpersonen, weil sie so gut funktionieren. Phishing-Angriffe versuchen, Sie dazu zu bringen, Ihre Zugangsdaten und andere Informationen preiszugeben, und enthalten manchmal Malware, die dafür entwickelt wurde, Daten von Ihrem System zu stehlen. Diese Angriffe sind oft der Ausgangspunkt für Angriffe auf Infrastruktur, sensible Forschungsdaten und Daten von Geheimdiensten und Regierungen. Phishing-Schutzmaßnahmen wie Posteingangssicherheit und User Awareness sind die beste Verteidigung gegen diese Angriffe, und Barracuda kann Ihnen dabei helfen, wenn Sie diese Maßnahmen noch nicht ergriffen haben.  Trotzdem sind Phishing-Angriffe weiterhin effektiv und werden immer besser.  Aber wenn Sie die Explosion schon nicht stoppen können, wollen Sie sie zumindest eindämmen.

Best Practices

Schlampige Passwortgewohnheiten können zu kompromittierten geschäftlichen E-Mails, Account Takeover, Ransomware und anderen schädlichen Cyberangriffen führen. Meistens liegt der Schutz Ihrer Zugangsdaten direkt in Ihrer Hand.  Zum Beispiel:

• Verwenden Sie für jedes separate Konto ein einzigartiges Passwort. (42 % !!!!)
• Verwenden Sie einen Passwort-Manager, um den Überblick über Ihre Passwörter zu behalten. Ein Passwort-Manager mit einem starken Master-Passwort ist eine sichere Möglichkeit, einzigartige Passwörter für alle Ihre Konten zu verwalten. Diese Anwendungen erleichtern das Erstellen komplexer Passwörter im Handumdrehen, was bedeutet, dass Sie Passwörter schnell ändern können, wenn Sie kompromittiert wurden. Wenn Sie sich wegen etwas wie dem LastPass-Vorfall Sorgen machen, können Sie überlegen, sich einen Offline-Passwort-Manager wie KeePass anzuschaffen.  
• Überwachen Sie Datenschutzverletzungen, die Ihre Daten betreffen.  Einige Passwort-Manager überwachen dies für Sie und benachrichtigen Sie, wenn eine Datenschutzverletzung festgestellt wird, diese Funktion ist jedoch möglicherweise kostenpflichtig. Sie können auch die „Have I been pwned“-Website verwenden, um in der Datenbank für Datenschutzverletzungen nach Ihrer E-Mail-Adresse oder Ihrem Passwort zu suchen.
• Verwenden Sie keine gängigen Passwörter wie „qwerty“ oder „password“. Diese gehören zu den häufigsten Passwörtern, und wie die oben erwähnten werden sie bei einem Brute-Force-Angriff in weniger als einer Sekunde geknackt.  
• Vermeiden Sie die Verwendung personenbezogener Daten wie Ihren Namen, Ihre Adresse oder Ihren Geburtstag. Alle Informationen, die mit Ihnen in Verbindung gebracht werden können, sind für andere leichter zu erraten. Es ist besser, ein komplexes Passwort oder eine Passphrase zu verwenden.
• Teilen Sie Ihr Passwort nicht mit anderen Personen.  Das Teilen von Dokumenten, Kalendern, E-Mails usw. kann sicher erfolgen, ohne Passwörter und Kontozugriff zu teilen. Konfigurieren Sie den richtigen Workflow für die Zusammenarbeit, anstatt zuzulassen, dass sich jemand mit Ihren Zugangsdaten anmeldet. Die meisten SaaS-Produktivitätsanwendungen verfügen über Tools für die Zusammenarbeit.

Die Multi-Faktor-Authentifizierung habe ich nicht aufgeführt, weil diese Option nicht immer verfügbar ist, wenn möglich sollten Sie diese jedoch verwenden.

Machen Sie Passwortsicherheit zur Gewohnheit

Wir müssen den World Password Day nicht feiern, wir sollten ihn jedoch begehen, indem wir uns erneut zur Passwortsicherheit verpflichten. Überprüfen Sie Ihre Konten und Zugangsdaten auf Duplikate, Verstöße und schwache Passwörter. Erinnern Sie Ihre Freunde, Familie und Kollegen daran, das Gleiche zu tun. Mal sehen, ob wir uns bis zum nächsten ersten Donnerstag im Mai verbessern und die Zahl von 42 % reduzieren können.