Auswählen sicherer Kennwörter

Auf dieser Seite

	Einführung
	Vorbereitung
	Entwickeln einer Kennwortrichtlinie für die Organisation
	Verwandte Informationen

Einführung

Obwohl es heutzutage viele Möglichkeiten der Benutzerauthentifizierung gibt, melden sich die meisten Benutzer am Computer und an Remotecomputern mit der Eingabe ihres Benutzernamens und Kennworts über die Tastatur an. Es gibt Produkte, die sicherere Technologien verwenden, wie zum Beispiel biometrische Verfahren, Smartcards oder einmalig eingegebene Kennwörter, die für alle verbreiteten Betriebssysteme zur Verfügung stehen. Trotzdem vertrauen die meisten Organisationen jedoch nach wie vor auf herkömmliche Kennwörter. Benutzer verfügen oft über verschiedene Anmeldeinformationen an ihrem Arbeitsplatz, für ihr Mobiltelefon, bei ihrer Bank oder ihrem Versicherungsunternehmen usw. Um sich ihre Kennwörter einfacher merken zu können, verwenden die Benutzer oft dasselbe oder ähnliche Kennwörter auf jedem System, und bei freier Wahl entscheiden sich die meisten für ein einfaches, leicht zu merkendes Kennwort, wie zum Beispiel ihren Geburtstag, den Mädchennamen ihrer Mutter oder den Namen eines Verwandten. Kurze und einfache Kennwörter können von Angreifern relativ leicht entschlüsselt werden. Einige gebräuchliche Methoden, mit denen Angreifer versuchen, das Kennwort des Opfers zu entschlüsseln, sind:

Jede dieser Angriffsmethoden kann durch die Wahl geeigneter Kennwörter erheblich erschwert oder sogar abgewehrt werden. Daher sollten Computerbenutzer, wann immer möglich, sichere Kennwörter für alle Computerkonten verwenden. Computer unter Microsoft® Windows NT®, einschliesslich Windows NT 4.0, Windows 2000, Windows XP, and Windows Server™ 2003 unterstützen sichere Kennwörter. Unter Windows gilt ein Kennwort unter anderem dann als sicher, wenn es Zeichen aus mindestens drei der folgenden fünf Zeichenkategorien enthält.

Zeichenklassen

Hinweis: Leerzeichen gehören zu keiner dieser fünf Gruppen und tragen nicht zur Komplexität von Kennwörtern bei.

Die Kennwörter sehr wichtiger Konten (Konten für Administratoren oder leitende Mitarbeiter) und Kennwörter für Konten, unter denen zentrale Netzwerkdienste ausgeführt werden, sollten vier oder sogar alle fünf genanten Gruppen beinhalten. Auf der anderen Seite müssen Kennwörter, die von Personen verwendet werden, auch leicht zu merken sein. Der Verlust eines Kennworts für das Konto eines leitenden Mitarbeiters oder Administrators könnte verheerend sein. In diesem Dokument wird beschrieben, wie Kennwörter in Windows-Betriebssystemen gespeichert werden und wie Administratoren die Sicherheit der Kennwörter maximieren können.

Die Anforderungen an sichere Kennwörter können mithilfe von "Kennsätzen" anstelle von Kennwörtern erfüllt werden. Jede Version von Windows, die sichere Kennwörter unterstützt, unterstützt auch die Verwendung von Leer- und Interpunktionszeichen in Kontokennwörtern. Zum Beispiel ist "Ich will wirklich 11 Hunde k@ufen!" ein gültiger Kennsatz. Mit mehr als 20 Zeichen ist es ein sehr langer Kennsatz, der Zeichen aus vier der fünf möglichen Gruppen enthält. Darüber hinaus er ist leicht zu merken. Die meisten Programme zum Entschlüsseln von Kennwörtern gehen von einer maximalen Länge von 14 Zeichen aus. Dies entspricht der Obergrenze für DOS-Netzwerkbootdisketten, Microsoft-Remoteinstallationsdienste (RIS - Remote Installation Services) PXE-Bootdisketten (Pre eXecutable Environment) und ältere LAN Manager-Clients (Win9x). Sogar ohne Komplexität kann ein sehr langes Kennwort (mehr als 14 Zeichen, bis zu 128 Zeichen) der bestmögliche Schutz gegen die Entschlüsselung besonders sensibler Kennwörter sein.

Hinweis: Verwenden Sie auf keinen Fall die in diesem Dokument aufgeführten Beispielkennwörter. Obwohl das oben erläuterte Kennwort "Ich will wirklich 11 Hunde k@ufen!" sehr lang und komplex ist, könnten Angreifer dieses und andere Beispielkennwörter aus diesem Text ihren Angriffstools hinzufügen.

Wenn Administratoren mit älteren Systemen oder mit RIS-Installationen arbeiten und entsprechenden Vorgaben berücksichtigen müssen oder sie sehr lange Kennwörter als nicht benutzerfreundlich betrachten, bietet die Verwendung eines kürzeren Kennworts mit komplexen Zeichen einen guten Schutz. Beachten Sie jedoch, dass ein längeres Kennwort schwieriger zu entschlüsseln ist. Beides, Komplexität und Länge, miteinander zu kombinieren, erschwert deutlich die Entschlüsselung. Die Erstellung von Richtlinien für Kennwörter in Ihrem Unternehmen trägt dazu bei, Benutzer vor Angreifern zu schützen, die versuchen, sich als autorisierter Benutzer auszugeben, und schützt dadurch das Unternehmen vor dem Verlust, der Offenlegung oder der Manipulation sensibler Informationen.

In diesem Dokument wird beschrieben, wie Kennwörter in den Windows-Betriebssystemen gespeichert werden, wie Administratoren die Sicherheit von Kennwörtern maximieren können und wie Benutzer Kennwörter wählen, die den Komplexitätsanforderungen entsprechen und trotzdem leicht zu merken sind.

Das Dokument stellt Informationen und Anleitungen zu folgenden Themen zur Verfügung:

Zum Seitenanfang

Vorbereitung

Bevor Sie mit der Planung der Kennwortrichtlinien beginnen, ist es wichtig, dass Sie eine solide Kenntnis darüber haben, wie Kennworthashwerte erstellt und in Windows-Betriebssystemen gespeichert werden. Ausserdem ist es hilfreich, andere Konzepte der Kennwortkomplexität, wie Entropie, Unicode-Zeichen und ALT-Zeichen, vollständig zu verstehen.

Kennwortspeicherung unter Windows

Standardmässig speichern Windows NT 4.0, Windows 2000, Windows XP und Windows Server 2003 Benutzerkennwörter niemals als Klartext. Stattdessen werden Kennwörter mithilfe als "Hashwerte", gespeichert. Es gibt zwei unterschiedliche Varianten von Hashwerten – der erste, der LM-Hash (LAN Manager), ist wesentlich unsicherer als der zweite NTLM-Hash. Der Grund für die Speicherung beider Hashwerte ist die Abwärtskompatibilität mit älteren Anwendungen und Betriebssystemen, wie Windows 98.

Der LM-Hash (LAN Manager)

Der LM-Hash ist im technischen Sinn eigentlich kein Hashwert. Er wird wie folgt berechnet:

Bedingt durch den Algorithmus, der zum Erzeugen des LM-Hashwerts verwendet wird, ist dieser Hashwert sehr leicht zu entschlüsseln. Erstens kann auch ein Kennwort, das länger als acht Zeichen ist, in zwei getrennten Teilen angegriffen werden. Zweitens können alle Kleinbuchstaben ignoriert werden. Das bedeutet, dass die meisten Programme zum Entschlüsseln von Kennwörtern zuerst die LM-Hashwerte entschlüsseln, und anschliessend einfach die alphabetischen Zeichen im entschlüsselten Kennwort ändern, um Kennwörter mit Beachtung der Gross- und Kleinschreibung zu erzeugen. Beachten Sie, dass für das Anmelden an einem Computer unter Windows 2000, ob remote oder lokal, ein Kennwort mit Einhaltung der Gross- und Kleinschreibung erforderlich ist.

Der NTLM-Hash

Der NTLM-Hash wird auch als Unicode-Hash bezeichnet, da er den vollständigen Unicode-Zeichensatz unterstützt. Der NTLM-Hash wird berechnet, indem aus dem Klartextkennwort ein MD4-Nachrichtenhash (MD4 - Message Digest 4) erzeugt wird. Der MD4-Hash ist der tatsächliche Wert, der entweder in der Active Directory-Datenbank oder in der lokalen Sicherheitskontenverwaltung (SAM - Security Accounts Manager) gespeichert wird. Der NTLM-Hash ist deutlich sicherer gegen Brute-Force-Angriffe als der LM-Hash. Ein Brute-Force-Angriff auf den NTLM-Hash dauert um ein Vielfaches länger als ein Brute-Force-Angriff auf den LM-Hash desselben Kennworts.

Entropie

Entropie ist ein Mass der Unordnung in einem System. Der Grad der Entropie in einem Kennwort wird dadurch bestimmt, wie zufällig es in Bezug auf den Wertebereich und die Reihenfolge der Zeichen zusammengesetzt ist. Bei der Wahl eines Kennworts, das gegen Entschlüsseln geschützt ist, sollte die Entropie innerhalb des Kennworts genau bedacht werden. Die meisten Programme für Brute-Force-Angriffe suchen zuerst alphanumerische Zeichen und Symbole, die auf üblichen Tastaturen zu finden sind, wie zum Beispiel ` ~ ! @ # $ % ^ & * ( ) _ - + = . Mit diesem Wissen können Sie Ihr Kennwort sicherer gestalten, indem Sie andere Symbole verwenden: [ ] { } < > . Sie können die Sicherheit noch weitere verbessern, indem Sie ALT-Tastenkombinationen verwenden. Beachten Sie, dass, entsprechend der Errechnung des LM-Hashwertes, ein Symbol, das als einzige Entropie an achter Stelle in einem acht Zeichen langen Kennwort gesetzt wird, nur wenig Auswirkung auf die Kennwortkomplexität hat. Für maximale Entropie und Komplexität sollten nicht alphanumerische Zeichen über das gesamte Kennwort verteilt sein.

Die Verwendung von Unicode-Zeichen in ALT-Tastenkombinationen

Für die meisten Benutzer sollte es kein Problem darstellen, Kennsätze zu finden, die einfach zu merken sind. Für besonders wichtige Konten, wie Konten mit Domänenadministratorrechten, wird dringend empfohlen, Unicode-Zeichen mithilfe von ALT-Tastenkombinationen innerhalb der Kennwörter zu verwenden. Diese Zeichen sind nicht auf handelsüblichen Tastaturen verzeichnet. Sie geben Sie ein, indem Sie ALT gedrückt halten (beziehungsweise Fn und ALT auf den meisten Laptop-Computern) und eine drei- oder vierstellige Nummer auf der Zehnertastatur eingeben (Erweiterte Tastenbelegung auf Laptoptastaturen).

Die Verwendung solcher Zeichen schützt Kennwörter effektiv auf zweierlei Weise: Erstens sind die meisten Programme zum Entschlüsseln von Kennwörtern nicht in der Lage, den Grossteil dieser Art von Zeichen zu testen. Zweitens erhöht die Verwendung dieser Zeichen die mögliche Anzahl von Zeichen in Ihrem Kennwort um ein Vielfaches, was der potenziellen Komplexität eines Kennworts in hohem Masse zuträglich ist. Wenn Sie ALT-Tastenkombinationen verwenden, ist es wichtig, an die vorangehende Null zu denken, soweit vorhanden, da das Weglassen der Null ein anderes Zeichen ergibt. Zum Beispiel ergibt ALT+128 ein "Ç", während ALT+0128 das "€" ergibt. Im letzten Teil dieses Abschnitts werden die vierstelligen Codes aufgeführt, mit denen Sie den gesamten Unicode-Zeichensatz abrufen können. Dabei werden die dreistelligen Codes ignoriert, die nur den erweiterten ASCII-Zeichensatz beinhalten.

Die folgende Tabelle führt die numerischen Werte auf, die als ALT-Tastenkombination verwendet werden können. Die empfohlenen Werte liegen zwischen 0128 und 1024. Jedes Feld der folgenden Tabelle gibt entweder einen einzelnen Wert oder einen Wertebereich an. So zeigt zum Beispiel das erste Feld den Bereich "0128-0159". Das bedeutet, dass Sie jeden Wert zwischen 0128 und 0159 verwenden können, wie zum Beispiel ALT+0135, was dem Unicode-Zeichen "‡" entspricht.

Empfohlener ALT-Code für ALT-Tastenkombinationen

Nicht alle Unicode-Zeichen erhöhen die Kennwortkomplexität, da einige automatisch in ASCII-Zeichen konvertiert werden. Die Folge ist ein weniger sicheres Kennwort. Die folgende Tabelle führt Zeichencodes auf, die nicht in einem Kennwort verwendet werden sollten, und die ASCII-Zeichen, in die sie konvertiert werden.

ALT-Codes, der nicht für ALT-Tastenkombinationen verwendet werden sollte

Kennwortalter und erneute Verwendung

Die Benutzer sollten ihre Kennwörter regelmässig ändern. Auch wenn lange und sichere Kennwörter sich wesentlich schwerer entschlüsseln lassen, ist es dennoch nicht unmöglich. Ein Angreifer kann letztendlich jedes Kennwort entschlüsseln, wenn er ausreichend Zeit und einen leistungsstarken Computer hat. Im Allgemeinen sollten Kennwörter innerhalb von 42 Tagen geändert und alte Kennwörter nicht weiter verwendet werden.

Zum Seitenanfang

Entwickeln einer Kennwortrichtlinie für die Organisation

In diesem Abschnitt finden Sie eine ausführliche Anleitung zur Erhöhung der Sicherheit durch die Erstellung und Veröffentlichung von Kennwortrichtlinien.

Feststellen der vorhandenen Betriebssysteme

Um Kennwortrichtlinien festlegen zu können, die bei der Anmeldung von Benutzern an Computern Ihrer Organisation keine Probleme verursachen, müssen Sie die verwendeten Betriebssysteme kennen. Möglicherweise kennen Sie bereits alle in Ihrem Netzwerk verwendeten Betriebssysteme. Andernfalls müssen Sie diese Informationen in Erfahrung bringen. Die Anzahl der installierten Betriebssysteme ist nicht von entscheidender Bedeutung, und Sie benötigen keine genaue Aufstellung aller Systeme Ihres Netzwerks. Zum Erstellen einer geeigneten Kennwortrichtlinie müssen Sie lediglich wissen, ob ältere Systeme vorhanden sind. Windows 95, Windows 98 oder Windows Millennium Edition sind ältere Betriebssysteme, auf die Sie am Wahrscheinlichsten in Ihrem Netzwerk stossen.

Verstehen des möglichen Einschränkungen bezüglich dieser Betriebssysteme

Wie bereits erwähnt, unterstützen Computer unter Windows NT 4.0, Windows 2000, Windows XP und Windows Server 2003 lange und sichere Kennwörter. Bei Computern unter Windows 95, Windows 98 und Windows Millennium Edition ist dies nicht der Fall. Wenn eine dieser Windows-Versionen auf Computern Ihres Netzwerks installiert ist, müssen diese in der Kennwortrichtlinie berücksichtigt werden.

Bei Organisationen mit Computern, auf denen Windows 95, Windows 98 oder Windows Millennium Edition installiert ist, können die Benutzerkennwörter nicht länger als 14 Zeichen sein und keine Zeichen enthalten, die mit ALT-Tastenkombinationen erstellt werden.

Wenn auf allen Computern Ihrer Organisation Windows NT 4.0, Windows 2000, Windows XP oder Windows Server 2003 installiert ist, können Benutzerkennwörter bis zu 128 Zeichen lang sein und Zeichen enthalten, die mit ALT-Tastenkombinationen erstellt werden.

Festlegen der technischen Anforderungen für Kennwörter

Für Computer, auf denen Windows 2000, Windows XP und Windows Server 2003 installiert ist, können Sie bis zu fünf Einstellungen in Bezug auf Kennwortcharakteristika festlegen.

Bei diesem Schritt werden die Definitionen der Einstellungen erläutert, einschliesslich einiger Empfehlungen. Sie erhalten dadurch die Möglichkeit, zu entscheiden, welche Werte für Ihre Organisation erforderlich sind.

Technische Anforderungen an Kennwörter

Dokumentieren der Kennwortrichtlinie für Ihr Unternehmen

Im nächsten Schritt sollten Sie entscheiden, wie formal Sie die Dokumentation der Kennwortrichtlinie für Ihr Unternehmen gestalten möchten.

Dokumentieren Sie zumindest, welche Einstellungen auf den Computern im Netzwerk Ihrer Organisation vorgenommen werden.

Einige Organisationen bevorzugen es, die Richtlinie in einer formalen Erklärung festzuhalten. Wenn Ihnen dieses Mass an Formalität für Ihr Unternehmen angemessen erscheint, dann sollten Sie auch die Links mit Beispielen für Richtlinien beachten, die Sie in diesem Dokument unter "Verwandte Informationen" finden.

Einige Unternehmen haben möglicherweise festgelegte Vorgaben für Unternehmensrichtlinien dieser Art. Wenn Sie glauben, dass Ihr Unternehmen solche festgelegten Vorgaben hat, sollten Sie die Richtlinien mit der Rechtsabteilung Ihres Unternehmens besprechen, bevor Sie sie implementieren und für die Benutzer veröffentlichen.

Veröffentlichen der Kennwortrichtlinie für die Benutzer

Jede wichtige Änderung von Richtlinien sollte den Mitarbeitern Ihres Unternehmens ausführlich vermittelt werden. Beim Ändern oder Implementieren von Kennwortrichtlinien ist es besonders wichtig, den Benutzern die Verfahren und deren Begründung genau zu erläutern.

Beispiel für eine Kennwortrichtlinie

Der folgende Text ist zur Vervielfältigung und Verbreitung unter Ihren Mitarbeitern gedacht. Obwohl er in dieser Form verwendet werden kann, möchten Sie vielleicht einzelne Abschnitte ändern, um Sie Ihren eigenen Bedürfnissen oder speziellen Anforderungen anzupassen.

Dieser Beispieltext erläutert nicht die Verwendung von ALT-Tastenkombinationen, da dies für viele Benutzer eine zu hohe Anforderung darstellen könnte. ALT-Tastenkombinationen eignen sich für technisch fortgeschrittene Benutzer, die über wichtige Konten verfügen, wie zum Beispiel Administratoren.

An die Mitglieder des Unternehmens:

Unsichere oder leere Kennwörter sind für Angreifer der einfachste Weg, in Ihren Computer oder das Netzwerk unseres Unternehmens zu gelangen. Kennwörter, die über Jahre hinweg verwendet oder häufig wiederverwendet werden, sind für Angreifer ebenfalls leicht zu entschlüsseln.

Um den Schutz Ihres Kontos im Netzwerk zu erhöhen, wird die Verwendung sicherer Kennwörter für den Zugriff auf Computersysteme dieses Unternehmens dringend empfohlen. Sie werden aufgefordert, Ihr Kennwort regelmässig zu ändern. Dabei darf das neue Kennwort nicht mit einem der vorherigen übereinstimmen.

Ein sicheres Kennwort besteht aus mindestens acht Zeichen, und enthält Zeichen aus drei der fünf folgenden Gruppen:

Ausserdem darf Ihr Kennwort nicht mehr als zwei aufeinander folgende Buchstaben Ihres Kontonamens beinhalten. Sie werden alle 42 Tage dazu aufgefordert, Ihr Kennwort zu ändern. Eine erneute Verwendung alter Kennwörter ist nicht möglich.

Bei der Änderung Ihres Kennworts wird Ihr neues Kennwort automatisch auf seine Komplexität überprüft und mit Ihren vorherigen Kennwörtern verglichen. Dies klingt zunächst vielleicht etwas frustrierend, und Sie könnten versucht sein, eine Notiz mit Ihrem Kennwort an einer leicht zugänglichen Stelle an Ihrem Arbeitsplatz zu verwahren. Dadurch setzen Sie jedoch Ihren Computer und unser gesamtes Unternehmen einem gewaltigen Risiko aus, da jede beliebige Person sich mithilfe Ihrer Anmeldedaten Zugriff auf das Netzwerk verschaffen kann. Schreiben Sie daher niemals Ihre Kennwörter auf. Erstellen Sie stattdessen Kennwörter, die leicht zu merken sind.

Im Folgenden finden Sie ausführliche Informationen über Kennwortsicherheit, sowie Ratschläge zur Auswahl sicherer Kennwörter, die leicht zu merken sind.

Verwenden Sie "Kennsätze"

Der Begriff "Kennsatz" erleichtert eventuell den Umgang mit Kennwörtern. Wenn auf Ihrem Computer Windows NT 4.0 oder eine frühere Version, Windows 2000, Windows XP oder Windows Server 2003 installiert ist, werden Kennwörter mit bis zu 15 oder mehr Zeichen einschliesslich Leerzeichen unterstützt. Daher ist "Daran kannst du knacken bis dir die Zähne ausfallen!" ein perfekter und gültiger Kennsatz, der für einen Angreifer äusserst schwer zu entschlüsseln ist, selbst wenn er über das beste Entschlüsselungsprogramm verfügt. Wenn Ihr Computer über eines der oben genannten Betriebssysteme verfügt, verwenden Sie am besten einen sehr langen Kennsatz aus Gross- und Kleinbuchstaben, Zahlen und Symbolen.

Achten Sie darauf, dass Sie in keinem Fall Beispielkennwörter aus diesem Text verwenden. Obwohl das Kennwort "Daran kannst du knacken bis dir die Zähne ausfallen!" sehr lang ist, könnten Angreifer dieses und andere Beispielkennwörter aus diesem Text ihren Angriffstools hinzufügen. Es handelt sich nur um Beispiele. Sie sollten immer Ihr eigenes, einzigartiges Kennwort erzeugen.

Weitere Tipps zu Kennwörtern

Im folgenden Abschnitt finden Sie Tipps und Tricks für die Wahl leicht zu merkender Kennwörter und Kennsätze.

Was Sie tun sollten:

"Gute Nacht" = "GuteN8" oder "Gut€N8"

"Katze + * + Maus" = "Katze*Maus" oder "Katze*Mau$"

"Angriff + 3 + Buch" = "Angriff3bucH" or "@ngriff3bucH"

Was Sie nicht tun sollten:

Implementieren der Kennwortrichtlinie in Ihrem Unternehmen

Sobald Sie die neue Kennwortrichtlinie festgelegt und den Benutzern erläutert haben, können Sie mit der Implementierung im Netzwerk fortfahren. Informationen zur Festlegung der Kennwortregelungen finden Sie im "Microsoft Windows Server 2003 Sicherheitshandbuch" unter http://go.microsoft.com/fwlink/?LinkId=14845

Zum Seitenanfang

Verwandte Informationen

Weitere Informationen zum Erstellen von Kennwortrichtlinien finden Sie hier:

Weitere Informationen zu Kennwortrichtlinien finden Sie unter:

Zum Seitenanfang