Im Nachfolgenden ein geschw\u00e4rzter Auszug einer Email, die ich k\u00fcrzlich als Anregung an einen Auftraggeber gesendet habe. Ich wollte gerne meine Gedanken zum Passworthandling f\u00fcr die Nachwelt festhalten.
— <\/p>\n
Zum [Zeitpunkt X] trage ich [Daten X] in die [Website von Firma X] ein. Seit beinahe 10 Jahren klappt das, indem ich meinen Benutzernamen und das Passwort auf der Seite in die daf\u00fcr vorgesehenen Felder eintrage. Letzte Woche war das anders und die Seite verweigerte mir die Anmeldung mit der Behauptung, ich h\u00e4tte ein falsches Passwort eingegeben.<\/p>\n
Ich war zun\u00e4chst erstaunt, da ich ein Passwort-Manager-Programm verwende, und ich solche Anmeldeformulare quasi \u00fcber Kopieren-Einf\u00fcgen ausf\u00fclle. Tippfehler passieren da nicht. Daher dachte ich, das Passwort wurde vielleicht anderweitig zur\u00fcckgesetzt. Auf der Login-Seite begab ich mich auf die Suche nach einem “Passwort zur\u00fccksetzen”-Link: Fehlanzeige. Dieser durchaus \u00fcbliche Mechanismus h\u00e4tte mir eventuell erlaubt, \u00fcber eine Emailadresse, die mit meinem Benutzernamen im [Backend-System von Firma X] hinterlegt ist\/w\u00e4re, ein neues Passwort generieren zu k\u00f6nnen. Nach einiger vergeblicher Suche auf den Seiten der [Firma X] wurde mir klar, dass ich in der [IT von Firma X] w\u00fcrde vorstellig werden m\u00fcssen.<\/p>\n
Als ich in der [IT von Firma X] meinen Fall schildere, wird mir der Vorschlag unterbreitet, ein neues Passwort f\u00fcr meinen Benutzernamen festzulegen. Ich nehme an, dass man damit typischerweise 90% der F\u00e4lle “Ich kann mich nicht anmelden” l\u00f6sen kann, weil Leute wirklich ihr Passwort vergessen haben. In meinem Fall glaubte ich nicht daran, weil mein Passwort wie gesagt schriftlich festgehalten ist.<\/p>\n
Die Person in [IT von Firma X] l\u00e4sst mich also \u00fcber eine Eingabemaske an ihrem Rechner ein neues Passwort f\u00fcr meinen Account eintragen. Ich werde \u00fcber die Anforderungen unterrichtet: Sonderzeichen, Zahlen, Gro\u00df- und Kleinbuchstaben \u2013 alle erforderlich. Wer denkt sich denn on-the-spot ein solches Passwort aus und merkt es sich? Und dann kommt es: Mindestl\u00e4nge 5 Zeichen. Wie bitte? Wie geht das denn zusammen? Auf der einen Seite bem\u00fcht man sich, vermeintlich “sichere” Passw\u00f6rter erstellen zu lassen, auf der anderen Seite beginnt man schon mit viel zu kurzen Strings! Ein Passwort von 5 Zeichen zu knacken dauert 2017 gerade mal anderthalb Minuten, wenn man der Website glauben darf: https:\/\/www.betterbuys.com\/estimating-password-cracking-times\/<\/a> F\u00fcr den Versuch, meinen Account zu reparieren, war das alles nicht so wichtig. Ich liess mein Programm ein zuf\u00e4lliges Passwort mit 5 Stellen generieren und die Person in [IT von Firma X] liess mich einen neuen Versuch machen, mich auf der Website einzuloggen. Wieder Fehlanzeige. Sichtlich verbl\u00fcfft, verliess sie den Raum, um mit den Leuten zu sprechen, die anscheinend f\u00fcr den technischen Unterbau verantwortlich sind. Es gebe wirklich ein Problem mit meinem Benutzerkonto, hiess es wenige Minuten sp\u00e4ter. In der Zwischenzeit war im Zimmer eine zweite Person eingetroffen, die offenkundig das selbe Problem hatte wie ich. Es lag nahe, dass der Fehler bei [IT von Firma X] lag.<\/p>\n In der Tat kam wiederum ein paar Minuten sp\u00e4ter der Hinweis, wir sollten es noch einmal versuchen. Die Vermutung war, dass es ein Problem in der Access-Datenbank gegeben habe und unter Umst\u00e4nden die Tabellenspalte der Passw\u00f6rter per Autkorrektur ver\u00e4ndert wurde (Erster Buchstabe Gro\u00dfschreibung?), was nat\u00fcrlich Logins unm\u00f6glich machte. Aber dar\u00fcber weiss ich nicht viel. Warum das genau jetzt passiert ist, bleibt f\u00fcr mich wohl immer ein R\u00e4tsel.<\/p>\n Wir versuchen also erneut, ein neues Passwort anzulegen und mich damit einzuloggen \u2013 ich kenne ja mittlerweile den Drill. Resultat: Erfolg! Der Fehler ist also behoben. Allerdings m\u00f6chte ich nicht “Ab12.” als mein permanentes Passwort behalten und bitte darum, ob ich mein Passwort nochmals \u00e4ndern d\u00fcrfe.<\/p>\n
\nM\u00f6chte man, dass Leute sichere Passw\u00f6rter herstellen, k\u00f6nnte man also die Mindestl\u00e4nge erh\u00f6hen.<\/p>\n