Ein Passwort ist die Antwort auf eine sehr alte Frage: Gehörst du zu uns?
Die Informatik hat es nicht erfunden. Polybios beschreibt im zweiten Jahrhundert v. Chr., wie das römische Heer jede Nacht ein Wort auf einem Holztäfelchen — der tessera — von Einheit zu Einheit weitergab und zurück zum Kommando. Wer es kannte, gehörte dazu. Wer nicht, nicht.
Zweitausend Jahre später machen wir genau dasselbe. Geändert hat sich nur, wer fragt — und wie schnell er die Antwort erraten kann.
1961 Das Passwort kommt in den Computer
Im November 1961 führte das MIT CTSS (Compatible Time-Sharing System) vor, geleitet von Fernando Corbató. Eine neue Idee: ein einziger, sehr teurer Computer, den mehrere Menschen gleichzeitig nutzen.
Und da tauchte das Problem auf. Wenn die Maschine allen gehört, müssen die Dateien jedes Einzelnen ihm gehören. Der Computer brauchte eine Möglichkeit zu wissen, wer gerade tippt. Die Lösung war die naheliegendste — und die römischste, die es gab: jeder Nutzer bekommt ein eigenes Wort.
Man sollte es genau sagen: Corbató hat das Passwort nicht erfunden. Er hat das Passwort pro Nutzer auf einem Mehrbenutzer-Computer erfunden, und das ist etwas anderes. Im Alter sagte er selbst, die Sache sei zu „einem Albtraum“ geworden.
1962 Das erste Leck — und es ging um Rechenzeit
Ein Jahr später hatte Allan Scherr, Doktorand an eben diesem MIT, ein sehr banales Problem: Ihm standen vier Stunden Rechenzeit pro Woche zu, und er brauchte mehr für seine Dissertation.
Also bat er das System, die Passwortdatei auszudrucken. Mehr nicht. Sie lag da, im Klartext, und niemand hatte damit gerechnet, dass jemand danach fragt. Mit dem Ausdruck in der Hand nutzte er fremde Konten, um weiterzuarbeiten.
Interessant ist nicht der Trick. Interessant ist das Motiv: das erste Passwort-Leck der Geschichte ging nicht auf einen Kriminellen zurück, sondern auf jemanden, der weiterarbeiten wollte. Sechzig Jahre später entstehen die meisten Sicherheitslücken noch immer so: vernünftige Leute suchen die Abkürzung.
1979 Jemand merkt, dass man sie gar nicht speichern sollte
Fast zwei Jahrzehnte lang speicherten viele Systeme Passwörter im Klartext. Wer die Datei las, hatte alles.
1979 veröffentlichten Robert Morris und Ken Thompson in Communications of the ACM einen Aufsatz mit dem Titel „Password Security: A Case History“ über das, was sie in Unix gemacht hatten. Zwei Ideen, auf denen heute alles ruht:
- Nicht das Passwort speichern, sondern seinen Hash. Das System muss nicht wissen, wie dein Passwort lautet; es muss nur prüfen können, ob das eben Getippte dasselbe Ergebnis liefert.
- Das Salz: jedem Passwort vor dem Hashen einen Zufallswert beimischen, damit zwei Menschen mit demselben Passwort nicht denselben Hash haben — und damit niemand eine Tabelle vorberechnen und alle auf einmal knacken kann.
Wenn wir heute sagen, ein Dienst „sollte dein Passwort nicht kennen“, zitieren wir einen Aufsatz von 1979.
2003 Die Regeln, die wir alle gelernt haben — und woher sie kamen
2003 schrieb Bill Burr beim amerikanischen NIST das Dokument, das bestimmen sollte, wie die halbe Welt nach Passwörtern fragt: SP 800-63. Daraus stammt alles, was du sofort wiedererkennst:
Mindestens ein Großbuchstabe, eine Ziffer und ein Symbol. Alle 90 Tage ändern.
Es klang nach Wissenschaft. War es nicht. Burr hatte keine guten Daten über echte Passwörter — es gab kaum welche — also stützte er sich auf das Vorhandene und schloss auf das, was vernünftig schien: mehr Zeichenvielfalt, mehr Kombinationen, mehr Sicherheit.
Das Problem ist: Menschen sind keine Zufallsgeneratoren. Verlang einen
Großbuchstaben, und er steht vorn. Verlang eine Ziffer, und sie steht hinten.
Verlang ein Symbol, und es ist ein !. Und wenn du alle drei Monate einen
Wechsel erzwingst, wird aus Sommer2024! eben Herbst2024!.
Das Ergebnis war eine ganze Generation von Passwörtern, die komplex aussehen und trivial sind — und erschöpfte Nutzer, die sie überall wiederverwenden, weil sie nicht mehr können.
2017 Das NIST rudert zurück, und Burr auch
2017 veröffentlichte das NIST SP 800-63B und nahm fast alles zurück:
- Länge zählt mehr als Komplexität.
- Kein erzwungener Wechsel, außer bei Hinweisen auf eine Kompromittierung.
- Das Passwort gegen Leak-Listen prüfen, statt Symbole zu verlangen.
Im selben Jahr sagte Burr dem Wall Street Journal, er bereue vieles von dem, was er geschrieben hatte. Es ist eine der ehrlichsten Richtigstellungen, die die IT-Sicherheit hervorgebracht hat — und noch heute verlangen Tausende Formulare ein Symbol wegen eines Dokuments, das sein eigener Autor verworfen hat.
Warum das keine alte Geschichte ist
All das hat eine sehr konkrete Folge, und du kannst sie hier sehen.
Unser eigener Passwort-Checker lief bis vor Kurzem nach
der Logik von 2003: er zählte Großbuchstaben, Ziffern und Symbole. Er gab
Contraseña1! — buchstäblich das spanische Wort für „Passwort“ — 92 % „Sehr
stark“, und einer zufälligen Fünf-Wort-Phrase, die unvergleichlich besser ist,
0 % „Sehr schwach“.
Er belohnte genau das Falsche. Wir haben ihn ersetzt: Er schlägt dein Passwort jetzt in Wörterbüchern aus Wörtern, Namen, Städten und Tastaturmustern nach und sagt dir, wie lange es wirklich standhielte.
Und darum zeigt dir der Generator Entropie-Bits statt eines Prozentwerts. Ein Prozentwert bedeutet nichts. Bits schon: sie sind, wie oft es jemand versuchen müsste, der nichts über dich weiß.
Was zu tun ist, in zwei Zeilen
- Lang schlägt verschachtelt. Vier oder fünf zufällige Wörter schlagen
P@ssw0rdum viele Größenordnungen. - Überall ein anderes, und in einen Manager. Es ist die einzige Regel von 2003, die noch steht — und die, an die wir uns am wenigsten gehalten haben.
Die Frage ist dieselbe wie im Rom des zweiten Jahrhunderts: Gehörst du zu uns? Geändert hat sich, dass der Fragende inzwischen eine Milliarde Antworten pro Sekunde ausprobieren kann. Deine sollte besser nicht im Wörterbuch stehen.
Quellen: F. J. Corbató und CTSS (MIT, 1961) · Allan Scherrs eigene Schilderung von 1962 · R. Morris und K. Thompson, „Password Security: A Case History“, Communications of the ACM, 1979 · NIST SP 800-63 (2003) und SP 800-63B (2017) · Bill Burrs Äußerungen gegenüber dem Wall Street Journal, August 2017.