Ein richtig schlechtes Beispiel für Passwort-Richtlinien für
Endkunden gibt es bei den Packstationen. Und die deuten auf
Sicherheitsprobleme im Hintergrund hin und behindern
Sicherheitsbewusste.
Ja, Passwort-Richtlinien solle dafür sorgen, dass die Passwörter sicher
sind. Und ja, es ist gut, wenn ein Unternehmen nur "sichere" Passwörter
zulässt.
Ein Beispiel, wie man es nicht machen soll, liefert dagegen die
Deutsche Post mit ihrer Marke DHL und der Packstation. Wer sich unter
paket.de anmelden will, wird mit folgender Passwort-Richtlinie
drangsaliert (siehe Bild):
Mindestens 8 Zeichen
Maximal 13 Zeichen
Gültige Zeichen (Buchstaben, Zahlen, !§&/()=?*+-_)
Mindestens einen Groß und Kleinbuchstaben
Mindestens eine Zahl (nicht am Anfang)
Das klingt erst einmal gut, treibt aber diejenigen in den Wahnsinn, die
einen
Passwort-Manager
verwenden und sich damit Passwörter erzeugen lassen:
Weshalb maximal 13 Zeichen? Längere Passwörter sind
bekanntermaßen sicherer. Und wenn das Passwort als
Hash
gespeichert wird – wie es Stand der Technik ist –, dann ist die
Eingabelänge ziemlich egal. Bei mir entsteht so der Eindruck, dass
das Passwort womöglich nicht als Hash gespeichert wird, sondern nur
verschleiert oder gar im Klartext. das wäre peinlich!
Weshalb sind so wenige Sonderzeichen zulässig? Wenn nur Umlaute
verboten währen, könnten ich das noch einigermaßen verstehen (aber
auch nicht wirklich), denn damit könnte es Encoding-Probleme geben.
Aber dass noch nicht einmal der Zeichenvorrat von ASCII erlaubt ist,
ist eine unnötige Einschränkung. Hier habe ich den Eindruck, dass die
Entwickler ihrer Software nicht trauen.
Weshalb darf die Zahl nicht an Anfang stehen? Das verhindert zwar
simple Passwörter wie "7Zwerge", aber nicht das ebenso simple
"Zwerge7". Meine Einschätzung dazu: ziemlich unsinnig.
Fazit: Sicherheitsvorgaben sind sinnvoll, keine Frage. Allerdings dürfen
sie den Benutzern nicht über Gebühr im Wege stehen. Wenn man sich – wie
bei dieser DHL-Seite – wegen der schrägen Passwortvorgaben zig-mal ein
neues Passwort überlegen muss, bis es endlich akzeptiert wird, verlieren
Viele die Lust und wählen dann halt eine simplere und unsicherere
Variante. "Zwerge7x" wäre eine.
P.S.: keepass kommt bei dieser Passwort-Regel
auf gerade mal 81 Bit Entropie.
