Passwort.

Passwörter sind die älteste und nach wie vor am weitesten verbreitete Form der Authentifizierung: Der Nutzer übermittelt ein bekanntes Geheimnis und der Server vergleicht es — richtigerweise dessen gesalzenen Hash — mit einem gespeicherten Wert. Der Reiz liegt in der Einfachheit, doch ein tippbares gemeinsames Geheimnis kann ebenso gephisht, erraten, wiederverwendet oder geleakt werden.

Warum Klartext-Speicherung fatal ist

Server dürfen Passwörter niemals im Klartext speichern. Der RockYou-Leak (2009) legte rund 32 Millionen Passwörter im Klartext offen, und diese Liste speist bis heute Rate-Wörterbücher. Korrekt ist die Speicherung eines pro Nutzer gesalzenen Hashes mit einer langsamen, speicherintensiven Funktion — bcrypt, scrypt oder Argon2id —, sodass eine gestohlene Datenbank nicht billig umkehrbar ist und identische Passwörter keine identischen Hashes erzeugen. Ein zusätzliches Geheimnis („Pepper") und adaptive Arbeitsfaktoren erhöhen die Kosten des Offline-Crackings mit Werkzeugen wie Hashcat.

Angriffe

Übliche Angriffe sind Credential Stuffing (Wiedereinspielen von Nutzer/Passwort-Paaren aus anderen Leaks), Password Spraying (wenige gängige Passwörter gegen viele Konten testen, um Sperren zu umgehen), Brute Force und Keylogging. Da das Geheimnis wiederverwendbar ist, kann ein einziges Phishing dauerhaften Zugriff gewähren.

Was das NIST jetzt empfiehlt

NIST SP 800-63B (Revision 4, 2024–2025) setzt ein Minimum von 8 Zeichen — 15, wenn das Passwort der einzige Faktor ist —, erlaubt bis zu 64 und verlangt den Abgleich eingereichter Passwörter gegen Leak- und Häufigkeitslisten. Es stellt ausdrücklich fest, dass Organisationen keine willkürlichen Kompositionsregeln (erzwungene Sonderzeichen/Groß-Kleinschreibung) oder periodische Rotation ohne Kompromittierungsnachweis verlangen dürfen. Die dauerhaften Lösungen sind Rate Limiting, MFA und die Migration zu phishing-resistenten Passkeys (FIDO2/WebAuthn).

flowchart TD
  A[Nutzer gibt Benutzername + Passwort ein] --> B[Server ruft gespeicherten Datensatz ab<br/>Salt + Hash]
  B --> C["Argon2id / bcrypt berechnen<br/>hash(Passwort + Salt)"]
  C --> D{Stimmt mit dem<br/>gespeicherten Wert überein?}
  D -->|nein| E[Ablehnen und Rate-Limit-<br/>Zähler erhöhen]
  D -->|ja| F{MFA / Passkey<br/>erforderlich?}
  F -->|ja| G[Zweiten Faktor prüfen]
  F -->|nein| H[Sitzung gewähren]
  G --> H
  B --> I[Beim Setzen/Ändern gegen<br/>Leak-Sperrliste abgleichen]