Der sorglose Umgang mit Passwörtern auf Webseiten stellt nicht nur für die Nutzer, sondern auch für die Betreiber ein datenschutzrechtliches Problem dar.
Eine sichere Gestaltung von Passwort-Verfahren bei Webseiten zeichnet sich durch mehre
Komponenten aus:
- Mindestanforderung an Länge und Komplexität des Passworts als Vorgabe
durch den Webseitenbetreiber - Hinweis auf die Passwortstärke für den Nutzer bei der Auswahl des Passworts
- Geeignetes Verfahren zur Speicherung der Passwörter beim Webseitenbetreiber
- Geeignetes Verfahren zum Zurücksetzen eines Passworts („Passwort-
Vergessen“-Funktion)
Die Mindestanforderung an Länge und Komplexität des Passworts ist abhängig vom Einsatzzweck (Welche Daten sollen dadurch geschützt werden?) sowie vom dazugehörigen Passwortspeicherverfahren (Wie lange dauert es, ein Passwort unter einem bestimmten Hashverfahren zu berechnen?).
Die Anforderung an die Passwortkomplexität geht somit von der Annahme aus, dass ein Angreifer einen gewissen Aufwand betreibt, um Passwörter entweder am Zielsystem selbst automatisiert auszuprobieren (wenn keine Sperrung trotz zahlreicher Versuche erfolgt) oder ein Unbefugter nach einem Passwort-Diebstahl versucht, dieses selbst zu berechnen und somit das ursprüngliche Passwort zu „knacken“. Somit besteht im Datenschutz die gängige Empfehlung an ein sicheres Passwort, mindestens 10 – besser 12 – Zeichen zu verwenden, bestehend aus einer Kombination von Buchstaben (Groß- und Kleinschreibung), Ziffern und Sonderzeichen.
Sollte ein Nutzer sich jedoch kein sehr langes und komplexes Passwort merken wollen, so kann alternativ ein weniger sicheres Passwort gewählt werden, wenn der Nutzer im Rahmen der Passwortvergabe auf die Stärke bzw. Schwäche des Passworts ausreichend hingewiesen wird. Ein Unterschreiten der je nach Einsatzzweck definierten Mindestlänge und Mindestkomplexität darf jedoch nicht erfolgen (z. B. Passwort „123“ oder „abc“). Bei der Darstellung der Passwortstärke haben sich in der Praxis sogenannte Passwortbalken etabliert, die den Nutzer auch über eine farbliche Änderung unmittelbar die Stärke des Passworts signalisieren.
Eine weitere entscheidende Komponente zur sicheren Gestaltung von Passwort-Verfahren
sind die dazugehörigen Verfahren zur Speicherung der Passwörter. Diese sind von den Webseitenbetreibern nicht im Klartext, sondern durch geeignete kryptographische Verfahren verschlüsselt zu speichern. Hierbei ist darauf zu achten, dass ein Verfahren nach dem Stand der Technik verwendet wird. So sind bspw. MD5 und SHA1 nicht geeignet, da die Rekonstruktion eines Passworts auf Grund der effizienten Berechnung dieser Verfahren ohne großen Aufwand möglich ist. Auch existieren bereits verschiedene vorberechnete Tabellen, sog. Rainbow-Tables, in denen Passwörter verschiedenster Komplexität und die dazugehörigen Hashwerte aus gängigen Hashverfahren enthalten sind. Bessere Verfahren wären bspw. SHA-3 oder auch RIPEMD320. Darüber hinaus existieren auch Verfahren wie bcrypt oder PBKDF2, die ineffizient zu berechnen sind und in manchen Fällen eine praktikable Lösung darstellen.
Ebenso ist für ein sicheres Passwortverfahren mitentscheidend, wie der Nutzer über sein
Passwort informiert wird, z. B. im Rahmen eines Zurücksetzens. Wichtig ist hierbei, dass ein Passwort nicht im Klartext per E-Mail übermittelt wird. Stattdessen bieten sich Links mit zeitlich begrenzter Gültigkeit an, die dem Nutzer per E-Mail angeboten werden.
Quelle: LDA-Bayern
Weitere unterstützende Hinweise zum Datenschutz finden Sie in diesen Beiträgen:
- Kein Backup, kein Mitleid! Datensicherung mit NAS und Festplatte
- Datenpanne auf Reisen durch Visual Hacking- Blickschutz hilft.
- Denkanstoß – Daten(schutz)risiko USB-Stick, es passiert immer wieder
- Aktenvernichter für den Arbeitsplatz – Gegen Datenpannen auf Papier
- Tipp: Textpassagen mit einem Camoflage-Rollstempel unkenntlich machen
- Aufsichtsbehörde empfiehlt Buch: DSGVO /ePrivacy auf Websites umsetzen
- Recht im Online-Marketing: So schützen Sie sich vor Fallstricken zur DSGVO
Dieser Absatz enthält Affiliatelinks/Werbelinks