Start / Glossar zur Passwortsicherheit

Glossar zur Passwortsicherheit

Verständliche Definitionen der Begriffe rund um Passwörter, Hashing und Kontosicherheit.

Angriffe

Brute Force: Jeden möglichen Wert durchprobieren, bis einer passt. Die einzigen Grenzen sind die Rate der Versuche und die Zahl der Möglichkeiten – deshalb schlägt Länge die Komplexität.
Wörterbuchangriff: Brute Force, eingegrenzt auf wahrscheinliche Kandidaten – echte Wörter, Namen, geleakte Passwörter, Tastaturmuster. Sehr wirksam gegen selbst ausgedachte Passwörter.
Credential Stuffing: Automatisiertes Ausprobieren eines auf einer Seite geleakten Logins auf vielen anderen. Funktioniert nur, weil Passwörter wiederverwendet werden.
Phishing: Sie dazu bringen, Ihr Passwort auf einer gefälschten Seite oder in einer Nachricht einzugeben. Passwortstärke hilft hier nicht; 2FA und Vorsicht schon.
Keylogger: Schadsoftware oder Hardware, die alles Getippte aufzeichnet und Passwörter bei der Eingabe abfängt, egal wie stark sie sind.

Entropie: Wie unvorhersehbar ein Geheimnis ist, gemessen in Bit – etwa die durchschnittlich nötige Zahl an Versuchen als Zweierpotenz. Jedes zusätzliche Bit verdoppelt den Aufwand.
Hash: Eine Einwegfunktion, die jede Eingabe in einen Fingerabdruck fester Länge verwandelt. Seiten speichern den Hash Ihres Passworts, nicht das Passwort.
Salt (Salting): Ein eindeutiger Zufallswert, der vor dem Hashen zu jedem Passwort gemischt wird. Gleiche Passwörter ergeben so verschiedene Hashes; Rainbow Tables werden nutzlos.
Key Stretching: Absichtlich langsames Hashen (bcrypt, scrypt, Argon2, PBKDF2), das jeden Versuch teuer macht und Offline-Cracking um Größenordnungen verlangsamt.
CSPRNG: Ein kryptografisch sicherer Zufallsgenerator wie crypto.getRandomValues() des Browsers. Seine Ausgabe ist – anders als bei Math.random() – nicht vorhersagbar.

Zwei-Faktor-Authentifizierung (2FA): Ein zweiter Identitätsnachweis neben dem Passwort – ein App-Code, eine Bestätigung oder ein Hardware-Schlüssel. Stoppt einen Angreifer, der nur das Passwort hat.
Passkey (FIDO2): Ein passwortloser Zugang, per Public-Key-Kryptografie an Ihr Gerät gebunden. Es wird nichts Geheimes an die Seite gesendet, also nicht phishbar und nicht leakbar.
Master-Passwort: Das eine Passwort, das den Passwortmanager öffnet. Es ist das einzige, das Sie sich merken – machen Sie es zu einer langen Passphrase und verwenden Sie es nie wieder.

Passphrase: Ein Passwort aus mehreren Zufallswörtern. Leicht zu tippen und zu merken, und stark, wenn Software die Wörter wählt, nicht Sie.
Passwortmanager: Eine App, die hinter einem Master-Passwort für jedes Konto ein eindeutiges Passwort erzeugt, speichert und einfügt – die wirksamste einzelne Gewohnheit für Kontosicherheit.
Datenleck: Ein Vorfall, bei dem Nutzerdaten eines Dienstes – oft samt Passwort-Hashes – gestohlen und meist veröffentlicht werden. Prüfen Sie Ihre Betroffenheit mit dem Leak-Prüfer dieser Seite.