Mein sicheres Passwort: Unterschied zwischen den Versionen

Aktuelle Version vom 29. August 2024, 06:39 Uhr

Sichere Passwörter sind wichtig, um Ihre wertvollen Daten und Konten vor unbefugtem Zugriff zu schützen. Insbesondere als Mitarbeitende sind Sie auch für den Schutz der Ihnen zugänglichen Informationen zu Kolleg*innen oder Studierenden verantwortlich und die Wahl eines sicheren Passworts ist hier die Grundlage.

Bewährte Tipps und Methoden

Längere Passwörter sind schwieriger zu knacken. Ein gutes Passwort sollte mindestens 12 Zeichen haben und aus einer Kombination von Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen bestehen.
Für jedes Konto sollte ein einzigartiges Passwort genutzt werden, um Angriffe durch Wiederverwendung von verlorengegangenen Passworten zu vermeiden.
Auch eine Passwortweitergabe unter Kolleginnen und Kollegen oder an Kommiliton*innen darf nie erfolgen.
Tabu ist die Verwendung von leicht zu erratenden Informationen wie Namen, persönliche Informationen, Geburtsdaten oder gängigen Wörter aus dem Wörterbuch.
Wo immer möglich sollte eine Zwei-Faktor-Authentifizierung (2FA) genutzt werden. Diese zusätzliche Sicherheitsschicht fragt neben dem Passwort eine weitere Information ab wie z. B. einen Code, der vom Smartphone oder einem speziellen Gerät (Token) erzeugt wird.
Ein Master-Passwort für alles: Ein Passwortmanager kann dabei helfen, Passwörter sicher zu erstellen und zu speichern. Dazu sollte ein separater Anbieter wie beispielsweise KeePass oder Bitwarden verwendet werden. Passwortmanager die direkt im Browser integriert sind, sind nicht empfehlenswert.
Besteht der Verdacht, dass ein Zugang gehackt worden ist, muss das Passwort umgehend geändert werden. Zu diesem Thema finden sich unten ein eigener Abschnitt.
Dienste wie "Have I Been Pwned" können dabei unterstützen regelmäßig zu prüfen, ob eigene Zugangsdaten Teil von Datenlecks geworden sind. Findet die Prüfung einen Treffer, sollte das Passwort umgehend geändert werden. Die Seite zur Passwortänderung macht diese Prüfung automatisch, die Passworttestseite ebenfalls.

Tipps um sich Passwörter einfach zu merken

Zeichentypen kombinieren

Es wird empfohlen, ein ausreichend langes Wort zu verwenden und einzelne Buchstaben intelligent durch Zahlen und Sonderzeichen zu ersetzen. Dies könnte zum Beispiel so aussehen: "R0s1n3nbrotb@um". Wichtig ist dabei, sicherzustellen, dass das Wort Großbuchstaben, Kleinbuchstaben, Zahlen und Sonderzeichen enthält. Welche Zeichen verwendet werden können wird direkt in der Seite zur Passwortänderung gezeigt und auch in der Passworttestseite.

„Mnemonik“-Techniken nutzen

Einen Satz bzw. eine kurze Geschichte verwenden, um Passwörter besser im Gedächtnis zu verankern. Dabei wird die erste Stelle jedes Wortes aus dem Satz verwendet.

Beispiel-Satz: "Meine Katze heißt Luna und ist seit gestern 3 Jahre alt!"

Passwort: "MKhLuisg3Ja!"

Passphrasen verwenden:

Eine Passphrase wird als eine Abfolge von zufälligen Wörtern beschrieben, die leicht zu merken, aber schwer zu erraten ist.

Beispiel: "Taube Socke Hammer Pflanze 3"

Um sich die zufälligen Wörter besser zu merken, kann man sich ein bewegtes Bild ausmalen: Die Taube fliegt mit der Socke (über dem Kopf) wie ein Hammer in die Pflanze. Da Passphrasen nur wenige Zeichentypen enthalten sollten sie mindestens 20 Zeichen lang sein. Auch hier müssen Groß- und Kleinbuchstaben und eine Ziffer vorkommen.

Bei weitergehenden Fragen kann die EDV-Betreuung der Fakultät und Einrichtung angesprochen werden.

Wo kann ich mein Passwort ändern

Auf dieser Seite:

https://login.uni-bielefeld.de/kv/password

Beim Setzen eines neuen Passworts wird geprüft, ob es den Anforderungen in den Basisschutzregelungen Informationssicherheit der Universität genügt (Mindestlänge 12 Zeichen). Zugleich erfolgt eine Prüfung gegen eine Liste von gestohlenen Passworten auf Basis der Liste des "have I been pwned" Dienstes. Ein Passwort, welches sich auf dieser Liste befindet, kann ebenfalls nicht verwendet werden.

Wenn Sie vor dem Setzen eines neuen Passworts dieses zuerst auf Zulässigkeit testen wollen, dann können Sie die Passworttestseite verwenden:

https://login.uni-bielefeld.de/kv/pwtest

Wie kann ich erkennen, ob mein Passwort gestohlen wurde oder ob jemand versucht es zu stehlen?

In der Seite 'Mein Account' kann die eigene Loginhistorie abgerufen werden:

https://login.uni-bielefeld.de/kv/

In dieser Seite werden die letzten sieben Tage angezeigt, an denen Logins oder Loginversuche über die Anmeldeseite mit Ihrem Zugang vorgekommen sind. Weitere Hinweise zum Vorgehen finden Sie hier.

Hinweis: Logins über andere Anmeldemasken werden hier nicht dokumentiert.

Nutzung der Zwei-Faktor-Authentifizierung

Ein wirksames Mittel um die Sicherheit des eigenen Zugangs zu erhöhen ist die Nutzung der Zwei-Faktor-Authentifizierung, die sich in wenigen Schritten aktivieren lässt.

@@ Zeile 1: / Zeile 1: @@
 [[Category:Sicherheit]]
-{{Loginumstellungen2024}}
+[[My secure password|ENGLISH VERSION]]
-Der erste Schritt bei der Einrichtung eines sicheren Anmeldung an den System der Universität besteht in der Wahl eines ''guten'' Passwortes. Darum geht es in dieser Seite. Eng verbunden ist dabei das Thema der [[Nutzung der Zwei-Faktor-Authentifizierung im BIS|Zwei-Faktor-Authentifizierung]], mit der Sie die Sicherheit Ihres Logins noch weiter steigern können.
-== Wo kann ich mein Passwort ändern ==
+Sichere Passwörter sind wichtig, um Ihre wertvollen Daten und Konten vor unbefugtem Zugriff zu schützen. Insbesondere als Mitarbeitende sind Sie auch für den Schutz der Ihnen zugänglichen Informationen zu Kolleg*innen oder Studierenden verantwortlich und die Wahl eines sicheren Passworts ist hier die Grundlage.
-Auf dieser Seite:
+== Bewährte Tipps und Methoden ==
-:https://login.uni-bielefeld.de/kv/password
+* Längere Passwörter sind schwieriger zu knacken. Ein gutes Passwort sollte mindestens 12 Zeichen haben und aus einer Kombination von Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen bestehen.
+* Für jedes Konto sollte ein einzigartiges Passwort genutzt werden, um Angriffe durch Wiederverwendung von verlorengegangenen Passworten zu vermeiden.
+* Auch eine Passwortweitergabe unter Kolleginnen und Kollegen oder an Kommiliton*innen darf nie erfolgen.
+* Tabu ist die Verwendung von leicht zu erratenden Informationen wie Namen, persönliche Informationen, Geburtsdaten oder gängigen Wörter aus dem Wörterbuch.
+* Wo immer möglich sollte eine {{2FA|Zwei-Faktor-Authentifizierung (2FA)}} genutzt werden. Diese zusätzliche Sicherheitsschicht fragt neben dem Passwort eine weitere Information ab wie z. B.  einen Code, der vom Smartphone oder einem speziellen Gerät (Token) erzeugt wird.
+* Ein Master-Passwort für alles: Ein Passwortmanager kann dabei helfen, Passwörter sicher zu erstellen und zu speichern. Dazu sollte ein separater Anbieter wie beispielsweise KeePass oder Bitwarden verwendet werden. Passwortmanager die direkt im Browser integriert sind, sind nicht empfehlenswert.
+* Besteht der Verdacht, dass ein Zugang gehackt worden ist, muss das Passwort umgehend geändert werden. Zu diesem Thema finden sich unten ein eigener Abschnitt.
+* Dienste wie "[https://haveibeenpwned.com/ Have I Been Pwned]" können dabei unterstützen regelmäßig zu prüfen, ob eigene Zugangsdaten Teil von Datenlecks geworden sind. Findet die Prüfung einen Treffer, sollte das Passwort umgehend geändert werden. Die [https://login.uni-bielefeld.de/kv/password Seite zur Passwortänderung] macht diese Prüfung automatisch, [https://login.uni-bielefeld.de/kv/pwtest die Passworttestseite] ebenfalls.
-Hier erhalten Sie auch Informationen über die möglichen Passwortlängen und Zeichen. Falls Sie Ihr Passwort vergessen finden Sie in der Loginseite einen Link zur Anforderung eines neuen Passworts.
+== Tipps um sich Passwörter einfach zu merken ==
-== Warum ist ein sicheres Passwort so wichtig ==
+=== '''Zeichentypen kombinieren''' ===
+Es wird empfohlen, ein ausreichend langes Wort zu verwenden und einzelne Buchstaben intelligent durch Zahlen und Sonderzeichen zu ersetzen. Dies könnte zum Beispiel so aussehen: "R0s1n3nbrotb@um". Wichtig ist dabei, sicherzustellen, dass das Wort Großbuchstaben, Kleinbuchstaben, Zahlen und Sonderzeichen enthält. Welche Zeichen verwendet werden können wird direkt in der [https://login.uni-bielefeld.de/kv/password Seite zur Passwortänderung] gezeigt und auch in [https://login.uni-bielefeld.de/kv/pwtest der Passworttestseite].
-Viele Dienste der Universität sind Webanwendungen, auf die in den meisten Fällen weltweit zugegriffen werden kann. Damit Sie auf das Anmeldesystem zugreifen können und damit das System Sie erkennt und Ihnen die notwendigen Zugriffsrechte geben kann müssen Sie sich mit Ihrem Loginnamen und Ihrem Passwort ausweisen.
+=== „Mnemonik“-Techniken nutzen ===
+Einen Satz bzw. eine kurze Geschichte verwenden, um Passwörter besser im Gedächtnis zu verankern. Dabei wird die erste Stelle jedes Wortes aus dem Satz verwendet.
-Die Loginnamen sind dabei nicht wirklich geheim und lassen sich meist einfach aus dem Namen erraten. '''Das einzig wirklich Geheime an Ihrem Zugang ist damit Ihr Passwort.'''
+Beispiel-Satz: "Meine Katze heißt Luna und ist seit gestern 3 Jahre alt!"
-Kennt jemand Ihr Passwort, so kann er/sie sich in Ihrem Namen an allen Diensten anmelden und alles tun, was Sie selbst tun können. Umgekehrt werden Bearbeitungen von wichtigen Daten wie zum Beispiel Prüfungsleistungen mit dem jeweiligen Loginnamen verknüpft. Für illegitime Arbeiten im System mit einem entwendeten Passwort werden also zunächst die betroffenen Nutzer*innen verantwortlich gemacht.
+Passwort: "MKhLuisg3Ja!"
-Denken Sie auch daran, dass Sie ggf. mit Ihrem Passwort '''für den Schutz sensibler Daten z. B. der Studierenden verantwortlich''' sind. So könnte ein Angreifer mit Ihrem Zugang als Lehrende/Lehrender die Prüfungsleistungen einsehen, die Sie in Ihren Veranstaltungen dokumentiert haben. Dies darf aus Datenschutzgründen nicht passieren.
+=== Passphrasen verwenden: ===
+Eine Passphrase wird als eine Abfolge von zufälligen Wörtern beschrieben, die leicht zu merken, aber schwer zu erraten ist.
-Es ist daher sehr wichtig und auch in Ihrem eigenen Interesse, wenn Sie ein Passwort verwenden, das sicher ist und bei dem das Risiko eines Abhandenkommens gering ist. Auch '''eine Passwortweitergabe unter Kolleginnen und Kollegen oder an Kommiliton*innen darf nie erfolgen'''. Da jede*r einen Zugang mit den benötigten Berechtigungen erhalten kann gibt es dafür auch keine Notwendigkeit. Die Nutzung der [[Nutzung der Zwei-Faktor-Authentifizierung im BIS|Zwei-Faktor-Authentifizierung]] bietet eine einfache Möglichkeit die Sicherheit der eigenen Anmeldung noch einmal deutlich zu verbessern.
+Beispiel: "Taube Socke Hammer Pflanze 3"
-== Wie sieht ein sicheres Passwort aus ==
-Ein sicheres Passwort kann von einem potentiellen Angreifer nicht einfach erraten werden, selbst wenn er viel über Sie weiß<ref>Im Zeitalter von Sozialen Netzwerken können Angreifer*innen ggf. sehr viel über Sie erfahren, ohne Sie jemals getroffen zu haben. Auch sind Fälle bekannt, in denen der Angriff aus dem engeren Umfeld kam, also von Personen, die umfangreiche Kenntnisse haben.</ref> und viel Zeit hat um Hunderte oder Tausende von Passworten auszuprobieren.
+Um sich die zufälligen Wörter besser zu merken, kann man sich ein bewegtes Bild ausmalen: Die '''Taube''' fliegt mit der '''Socke''' (über dem Kopf) wie ein '''Hammer''' in die '''Pflanze'''. Da Passphrasen nur wenige Zeichentypen enthalten sollten sie mindestens 20 Zeichen lang sein. Auch hier müssen Groß- und Kleinbuchstaben und eine Ziffer vorkommen.
-Das BSI<ref>BSI ist die Abkürzung des Bundesamtes für Sicherheit in der Informationstechnik</ref> gibt [https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Informationen-und-Empfehlungen/Cyber-Sicherheitsempfehlungen/Accountschutz/Sichere-Passwoerter-erstellen/sichere-passwoerter-erstellen_node.html in dieser Seite] diese Hinweise zur Zusammensetzung eines sicheren Passworts:
+Bei weitergehenden Fragen kann die [https://ekvv.uni-bielefeld.de/pers_publ/publ/FunktionssucheAnzeige.jsp?einrArtId=12584082 EDV-Betreuung der Fakultät und Einrichtung] angesprochen werden.
-* Es sollte '''mindestens zwölf Zeichen lang''' sein. Die Mindestlänge von 12 Zeichen wird auch durch [https://www.uni-bielefeld.de/verwaltung/informationssicherheit/regelungen/Basischutzregelungen_Informationssicherheit_Beschaftigte.pdf Basisschutzregelungen Informationssicherheit der Universität]  vorgeschrieben. Längere Passworte sind dabei immer besser als kürzere
+== Wo kann ich mein Passwort ändern ==
-* Ein Passwort soll einzigartig sein, also nicht in unterschiedlichen Diensten verwendet werden. Sonst ist es möglich, dass ein in einem anderen Dienst gestohlenes Passwort gleich für einen Einbruch in einen anderen Dienst verwendet werden kann
-* Es sollte aus '''Groß- und Kleinbuchstaben''' sowie '''Sonderzeichen und Ziffern (?!%+…)''' bestehen.
-* Tabu sind Namen von Familienmitgliedern, des Haustieres, des besten Freundes, des Lieblingsstars oder deren Geburtsdaten usw.
-* Wenn möglich sollte es nicht in Wörterbüchern vorkommen.
-* Es soll nicht aus gängigen Varianten und Wiederholungs- oder Tastaturmustern bestehen, also nicht ''asdfgh'' oder ''1234abcd'' usw.
-* Einfache Ziffern am Ende des Passwortes anzuhängen oder eines der üblichen Sonderzeichen $ ! ? #, am Anfang oder Ende eines ansonsten simplen Passwortes zu ergänzen ist auch nicht empfehlenswert.
-== Tipps zur Erzeugung von und zur Handhabung von sicheren Passworten ==
+Auf dieser Seite:
-Aus der vorherigen Beschreibung wird klar: Ein sicheres Passwort ist nicht so einfach zu wählen und zu merken. '''Passwortmanager''' sind hier ein wichtiges Mittel um komplexe und vor allem für jeden Dienst unterschiedliche Passworte verwenden zu können. Sie haben üblicherweise auch eine Funktion um sehr sichere, zufällige Passworte zu erzeugen.
+:https://login.uni-bielefeld.de/kv/password
-Eine Technik, um auch ohne Passwortmanager lange und damit sicherere Passworte zu verwenden, kann so aussehen:
-# Man denkt sich zuerst ein 'Kernpasswort' aus. Dies sollte schon eine gewisse Mindestlänge haben, z. B. bereits 12 Zeichen, und die zuvor genannten Kriterien erfüllen.
-# Für jeden Dienst, der ein Passwort erfordert, ergänzt man das Kernpasswort am Anfang und am Ende um einfach zu merkende Bestandteile, die für sich genommen nicht so kompliziert sein müssen.
-Bei dieser Technik muss man sich nur das Kernpasswort merken und pro Dienst die Zeichen, die man ergänzt hat.
-Eine andere Lösung kann es sein sich mindestens vier 'normale' Worte auszusuchen, die man dann zu einem sehr langen Passwort (mehr als 20 Zeichen) zusammenfügt und durch flexible Groß- und Kleinschreibung komplexer macht. Diese Technik wird in diesen beiden (englischen) Quellen beschrieben: [http://xkcd.com/936/ XKCD Comic 'Password Strength'] und [http://itservices.stanford.edu/service/accounts/passwords Passwort Regeln der Standford University]. (beide Seite sind in englischer Sprache).
-== Wie schütze ich mein Passwort ==
-Leider kann auch das beste Passwort abhanden kommen bzw. missbraucht werden, wenn der Umgang mit dem Passwort nicht sorgfältig ist. Auch hier gibt es einige Tipps des BSI:
-* '''Passwörter nicht mehrfach verwenden:''' Leider kommt es heute fast jede Woche vor, dass irgendein Internetdienst eingestehen muss, dass Angreifer die Daten seiner Benutzer gestohlen haben. Oft werden dabei auch gleich die Passwörter mit entwendet. Wenn man nun in allen genutzten Diensten das gleiche Passwort verwendet, dann haben die Angreifer gleich auch auf alle anderen Dienste Zugriff. Das  Passwort sollte daher in keinem Fall bei Diensten außerhalb der Hochschule genutzt werden, im besten Fall einzigartig sein.
+Beim Setzen eines neuen Passworts wird geprüft, ob es den Anforderungen in den [https://www.uni-bielefeld.de/verwaltung/informationssicherheit/regelungen/Basischutzregelungen_Informationssicherheit_Beschaftigte.pdf Basisschutzregelungen Informationssicherheit der Universität]  genügt (Mindestlänge 12 Zeichen). Zugleich erfolgt eine Prüfung gegen eine Liste von gestohlenen Passworten auf Basis der Liste des "[https://blogs.uni-bielefeld.de/blog/bisnews/entry/mein-passwort-stand-auf-der#mainSection have I been pwned]" Dienstes. Ein Passwort, welches sich auf dieser Liste befindet, kann ebenfalls nicht verwendet werden.
-* '''Voreingestellte Passwörter ändern:''' Wenn Ihr BIS Account angelegt wird oder falls Sie Ihr Passwort vergessen haben und {{BISKontakt|wir}} es zurücksetzen ist Ihr Zugang zunächst mit einem Startpasswort geschützt, welches Ihnen zur Verfügung gestellt wird. Dieses Passwort sollten Sie sofort in ein individuelles Passwort ändern. Die Seite zur Passwortänderung zeigt Ihnen in diesem Fall auch einen entsprechenden Warnhinweis an, der nach der Änderung des Passworts verschwindet.
+Wenn Sie vor dem Setzen eines neuen Passworts dieses zuerst auf Zulässigkeit testen wollen, dann können Sie die Passworttestseite verwenden:
-* '''Passwörter regelmäßig ändern:''' Je länger ein Passwort verwendet wird, desto größer wird das Risiko, dass es abhanden kommt. Durch die regelmäßige Änderung - z. B. jedes halbe Jahr - wird auch der Schaden begrenzt, den ein Angreifer mit einem einmal gestohlenen Passwort anrichten kann.
+:https://login.uni-bielefeld.de/kv/pwtest
-* '''Bildschirmschoner mit Kennwort sichern:''' Viele Webbrowser können heute Passworte speichern und so den Zugriff auf verschiedene Dienste bequemer und die Verwendung komplizierter, sicherer Passwörter einfacher machen. Der Nachteil dieser Funktionen ist es, dass jede Person mit Zugang zu Ihrem Rechner - sei es in der Universität oder auch Privat - dann ohne Ihr Passwort zu kennen auf die entsprechenden Dienste zugreifen kann. Ist Ihr Rechner hingegen mit einem sich automatisch einschaltenden Bildschirmschoner geschützt, der zur Freigabe des Rechners ein Passwort abfragt, ist dieser Weg für einen Angreifer versperrt.
-Wenn Sie zusätzlich die [[Nutzung der Zwei-Faktor-Authentifizierung im BIS|Zwei-Faktor-Authentifizierung]] nutzen ist der Diebstahl Ihres Passworts für einen Angreifer nicht genug um Ihr Konto zu übernehmen. Hier gewinnen Sie erheblich an Sicherheit.
 == Wie kann ich erkennen, ob mein Passwort gestohlen wurde oder ob jemand versucht es zu stehlen? ==
@@ Zeile 68: / Zeile 54: @@
 :https://login.uni-bielefeld.de/kv/
-In dieser Seite werden die letzten sieben Tage angezeigt, an denen Logins oder Loginversuche über die Anmeldeseite mit Ihrem Zugang vorgekommen sind. Entsprechende Seiten findet man heute in vielen großen Onlinediensten, ihr Zweck ist es, Sie selbst in die Lage zu versetzen, eventuelle Passwortdiebstähle oder Versuche Ihr Passwort zu stehlen erkennen zu können. [[Mein Account|Weitere Hinweise finden Sie hier]].
+In dieser Seite werden die letzten sieben Tage angezeigt, an denen Logins oder Loginversuche über die Anmeldeseite mit Ihrem Zugang vorgekommen sind. [[Mein Account|Weitere Hinweise zum Vorgehen finden Sie hier]].
+Hinweis: Logins über andere Anmeldemasken werden hier nicht dokumentiert.
 == Nutzung der Zwei-Faktor-Authentifizierung ==
-Ein wirksames Mittel um die Sicherheit des eigenen BIS Zugangs zu erhöhen ist die [[Nutzung der Zwei-Faktor-Authentifizierung im BIS|Nutzung der Zwei-Faktor-Authentifizierung]], die sich [[Quickstart 2-Faktor|in wenigen Schritten]] aktivieren lässt.
+Ein wirksames Mittel um die Sicherheit des eigenen Zugangs zu erhöhen ist die {{2FA|Nutzung der Zwei-Faktor-Authentifizierung}}, die sich in wenigen Schritten aktivieren lässt.
-== Das Zusatzpasswort ==
-Das sogn. ''Zusatzpasswort'' ist ein zusätzliches Passwort für einige spezielle BIS Anwendungen. Diese Funktion ist nur für Personen relevant, die entsprechende Hinweise vom BIS Support bekommen haben.
-Der Sinn des Zusatzpasswortes ist es eine sicheres Passwort an Stellen verwenden zu können, an denen die sonstigen Sicherheitsfunktionen des Logins nicht greifen können. Das Passwort wird daher nicht von Ihnen selbst eingetragen, sondern vom System als Zufallswert generiert.
-Sie können sich ein Zusatzpasswort auf der Seite '[https://login.uni-bielefeld.de/kv/ Mein Account]' geben, die entsprechende Option ist im rechten Seitenmenü vorhanden. Das Zusatzpasswort wird direkt nach der Generierung in der Seite angezeigt, hier können Sie es herauskopieren und z. B. in einem Passwortmanager abspeichern.
-Wenn Sie das Zusatzpasswort nicht mehr kennen, so können Sie es einfach löschen und ein neues generieren, welches von da an gültig ist.
-== Fußnoten ==
-<references />
-[[Category:Sicherheit]]