Mein sicheres Passwort

Alle Mitarbeiterinnen und Mitarbeiter der Universität Bielefeld können ein BIS Login erhalten und so das Diensteangebot des BIS nutzen. Der erste Schritt nach der Einrichtung besteht dabei in der Wahl eines sicheren Passwortes. Darum geht es in dieser Seite.

Warum ist ein sicheres Passwort so wichtig

Alle Dienste des BIS sind Webanwendungen, auf die in den meisten Fällen weltweit zugegriffen werden kann. Damit Sie auf das System zugreifen können und damit das System Sie erkennt und Ihnen die notwendigen Zugriffsrechte geben kann müssen Sie sich mit Ihrem Benutzernamen und Ihrem Passwort ausweisen.

Die Benutzernamen sind dabei nicht wirklich geheim und lassen sich meist einfach aus dem Namen erraten. Das einzig wirklich Geheime an Ihrem Zugang ist damit Ihr BIS Passwort.

Kennt jemand Ihr Passwort, so kann er/sie sich in Ihrem Namen an den BIS Diensten anmelden und alles tun, was Sie selbst tun können. Umgekehrt werden Bearbeitungen von wichtigen Daten wie Prüfungsleistungen mit dem jeweiligen Benutzer verknüpft. Für illegitime Arbeiten im System mit einem entwendeten Passwort werden also zunächst die betroffenen Benutzer verantwortlich gemacht.

Denken Sie auch daran, dass Sie ggf. mit Ihrem BIS Passwort für den Schutz sensibler Daten z. B. der Studierenden verantwortlich sind. So könnte ein Angreifer mit Ihrem Zugang als Lehrende/Lehrender die Prüfungsleistungen einsehen, die Sie in Ihren Veranstaltungen dokumentiert haben. Dies darf aus Datenschutzgründen nicht passieren.

Es ist daher sehr wichtig und auch in Ihrem eigenen Interesse, wenn Sie ein BIS Passwort verwenden, das sicher ist und bei dem das Risiko eines Abhandenkommens gering ist. Auch eine Passwortweitergabe unter Kolleginnen und Kollegen darf nie erfolgen. Da jede Mitarbeiterin und jeder Mitarbeiter einen eigenen BIS Zugang mit den benötigten Berechtigungen erhalten kann gibt es dafür auch keine Notwendigkeit.

Wie sieht ein sicheres Passwort aus

Ein sicheres Passwort kann von einem potentiellen Angreifer nicht einfach erraten werden, selbst wenn er viel über Sie weiß und viel Zeit hat um Hunderte oder Tausende von Passworten auszuprobieren.

Das BSI gibt in seiner Seite zur Passwortsicherheit diese Hinweise zur Zusammensetzung eines sicheren Passworts:

• Es sollte mindestens zwölf Zeichen lang sein.
• Es sollte aus Groß- und Kleinbuchstaben sowie Sonderzeichen und Ziffern (?!%+…) bestehen.
• Tabu sind Namen von Familienmitgliedern, des Haustieres, des besten Freundes, des Lieblingsstars oder deren Geburtsdaten usw.
• Wenn möglich sollte es nicht in Wörterbüchern vorkommen.
• Es soll nicht aus gängigen Varianten und Wiederholungs- oder Tastaturmusternmustern bestehen, also nicht asdfgh oder 1234abcd usw.
• Einfache Ziffern am Ende des Passwortes anzuhängen oder eines der üblichen Sonderzeichen $ ! ? #, am Anfang oder Ende eines ansonsten simplen Passwortes zu ergänzen ist auch nicht empfehlenswert.

Tipps zur Erzeugung von und zur Handhabung von sicheren Passworten

Aus der vorherigen Beschreibung wird klar: Ein sicheres Passwort ist nicht so einfach zu wählen und zu merken. In der BSI Seite findet man Hinweise auf mögliche Eselsbrücken und Werkzeuge wie Passwortmanager, die es einem möglich machen in sicherer Weise viele komplizierte Passworte zu handhaben.

Passwortmanager haben meist auch eine Funktion um zufällige Passworte zu erzeugen, die sehr sicher sind, aber auf der anderen Seite ohne Passwortmanager auch kaum nutzbar.

Eine Technik, um auch ohne Passwortmanager lange und damit sicherere Passworte zu verwenden, kann so aussehen:

1. Man denkt sich zuerst ein 'Kernpasswort' aus. Dies sollte schon eine gewisse Mindestlänge haben, z. B. 8 Zeichen, und die zuvor genannten Kriterien erfüllen.
2. Für jeden Dienst, der ein Passwort erfordert, ergänzt man das Kernpasswort am Anfang und am Ende um einfach zu merkende Bestandteile, die für sich genommen nicht so kompliziert sein müssen.

Bei dieser Technik muss man sich nur das Kernpasswort merken und pro Dienst die Zeichen, die man ergänzt hat.

Eine andere Lösung kann es sein sich mindestens vier 'normale' Worte auszusuchen, die man dann zu einem sehr langen Passwort (mehr als 20 Zeichen) zusammenfügt und durch flexible Groß- und Kleinschreibung komplexer macht. Diese Technik wird in diesen beiden (englischen) Quellen beschrieben: XKCD Comic 'Password Strength' und Passwort Regeln der Standford University

Wie schütze ich mein BIS Passwort

Leider kann auch das beste Passwort abhanden kommen bzw. missbraucht werden, wenn der Umgang mit dem Passwort nicht sorgfältig ist. Auch hier gibt es einige Tipps des BSI:

• Passwörter regelmäßig ändern: Je länger ein Passwort verwendet wird, desto größer wird das Risiko, dass es abhanden kommmt. Durch die regelmäßige Änderung - z. B. jedes halbe Jahr - wird auch der Schaden begrenzt, den ein Angreifer mit einem einmal gestohlenen Passwort anrichten kann.

• Passwörter nicht mehrfach verwenden: Leider kommt es heute fast jede Woche vor, dass irgendeinen Internetdienst eingestehen muss, dass Angreifer die Daten seiner Benutzer gestohlen haben. Oft werden dabei auch gleich die Passwörter mit entwendet. Wenn man nun in allen genutzten Diensten das gleiche Passwort verwendet, dann haben die Angreifer gleich auch auf alle anderen Dienste Zugriff. Das BIS Passwort sollte daher in keinem Fall bei Diensten außerhalb der Hochschule genutzt werden, im besten Fall einzigartig sein.

• Voreingestellte Passwörter ändern: Wenn Ihr BIS Account angelegt wird erhält er ein Startpasswort, welches Ihnen zur Verfügung gestellt wird. Dieses Passwort sollten Sie sofort ändern.

• Bildschirmschoner mit Kennwort sichern: Viele Webbrowser können heute Passworte speichern und so den Zugriff auf verschiedene Dienste bequemer und die Verwendung komplizierter, sicherer Passwörter einfacher machen. Der Nachteil dieser Funktionen ist es, dass jede Person mit Zugang zu Ihrem Rechner - sei es in der Universität oder auch Privat - dann ohne Ihr Passwort zu kennen auf die entsprechenden Dienste zugreifen kann. Ist Ihr Rechner hingegen mit einem sich automatisch einschaltenden Bildschirmschoner geschützt, der zur Freigabe des Rechners ein Passwort abfragt, ist dieser Weg für einen Angreifer versperrt.