Das Ende der Passwort-Ära, aber nicht das Ende der Datensicherheit

Warum Passwörter immer weniger sicher sind

Menschen sehnen sich nach Einfachheit. Sich eine lange Kombination aus Buchstaben, Zahlen und Sonderzeichen zu merken, ist mühsam, daher entscheiden sich die meisten für etwas Schnelles und Einfaches. Aber selbst wenn du diszipliniert genug warst, ein komplexes Passwort zu erstellen, wird es trotzdem in der Datenbank des Unternehmens gespeichert.

Und Datenbanken werden gehackt.

regelmäßig.

Passwortlecks: Einige Geschichten, über die man nachdenken sollte

• McDonald’s, 2025: Ein KI-gestützter Chatbot für die Personalbeschaffung lief mit dem Login Admin und dem Passwort 123456. Das Ergebnis? Über 64 Millionen Bewerbungen sind durchgesickert, darunter Telefonnummern, E-Mail-Adressen, Angaben zur Ausbildung und zum beruflichen Werdegang. [1]
• Yahoo, 2013: Der größte Datenleck-Vorfall der Geschichte: Über 3 Milliarden Konten waren betroffen, einschließlich Passwörtern und Sicherheitsfragen. [2]

Diese Geschichten haben eines gemeinsam: Selbst Unternehmen mit Cybersicherheitsbudgets in Millionenhöhe sind nicht vor Fehlschlägen gefeit.

Bewährte Verfahren zur Speicherung von Passwörtern

Auch wenn wir uns von Passwörtern abwenden, sind sie nach wie vor weit verbreitet. Es lohnt sich also, zu wissen, wie man sie richtig speichert – vor allem, wenn du eine Plattform oder App betreibst.

Speichere Passwörter niemals als Klartext

Passwörter sollten stets mit starken Algorithmen wie bcrypt oder argon2 gehasht werden. Dies macht es rechnerisch aufwendig, sie zurückzuentwickeln.

Salz hinzufügen

Salting stellt sicher, dass selbst wenn zwei Benutzer dasselbe Passwort wählen, ihre Hashes unterschiedlich sind. Dies ist ein entscheidender Schutz vor Rainbow-Table-Angriffen.

Schlüsseldehnung verwenden

Diese Technik verlangsamt Brute-Force-Angriffe erheblich, verschafft dir so mehr Zeit und verringert das Risiko, falls es doch zu einem Sicherheitsverstoß kommt.

Dennoch sind Benutzerdaten allein schon aufgrund der Tatsache, dass sie auf Servern gespeichert werden, ein potenzielles Ziel – selbst bei diesen Sicherheitsmaßnahmen. Aus diesem Grund sollte das Ziel darin bestehen, die Speicherung von Passwörtern gänzlich zu vermeiden.

Bewährte Verfahren für die Erstellung und Wiederverwendung von Passwörtern

Wenn du Passwörter verwenden musst, gehst du am besten so vor, um sicher zu sein:

Verwende lange, zufällige Passwörter

Länge > Komplexität. Ein zufälliges Passwort mit 20 Zeichen ist weitaus sicherer als ein kurzes Passwort mit Sonderzeichen. Beispiel: qH7T#sY9!GmK3*vBxZlP

Vermeide es, Passwörter wiederzuverwenden

Ein wiederverwendetes Passwort = Zugriff auf alle Ihre Konten. Durch Datenlecks wird es Angreifern leicht gemacht, dieselben Anmeldedaten auf mehreren Websites auszuprobieren (sogenanntes Credential Stuffing).

Nutze einen Passwort-Manager

So kannst du für jede Website einzigartige, sichere Passwörter erstellen und speichern, was dir den Kopf freihält und die Sicherheit erhöht.

Aber selbst das beste Passwort ist immer noch nur… ein Passwort. Es kann erraten, durch Phishing erbeutet, durchgesickert oder per Brute-Force-Angriff geknackt werden.

Was ist Multi-Faktor-Authentifizierung und warum ist sie wichtig?

Die Multi-Faktor-Authentifizierung (MFA) sorgt für eine zweite (oder dritte) Schutzebene, indem sie etwas, das du weißt (Passwort), etwas, das du hast (Gerät), oder etwas, das du bist (biometrische Merkmale), kombiniert. Beispiel:

• Passwort + SMS-Code
• Passwort + mobile Authentifizierungs-App (TOTP)
• Passwort + Fingerabdruckscan

MFA verringert das Risiko einer Kontoübernahme erheblich, insbesondere in Fällen, in denen Passwörter offengelegt oder gestohlen wurden. Aber es ist nicht perfekt:

• SMS-Codes können durch SIM-Swap-Angriffe abgefangen werden
• Authentifikator-Apps sind nur so sicher wie das Gerät, auf dem sie laufen Dennoch ist MFA ein Muss bei der Nutzung passwortbasierter Systeme. Das ist so, als würde man ein Sicherheitsschloss an der Tür anbringen, anstatt sich auf einen einfachen Riegel zu verlassen.

Der zentrale Mangel des alten Passwortmodells

Ein Passwort ist ein einzelner Schlüssel. Man gibt es jemand anderem und hofft, dass dieser es sicher aufbewahrt. Aber wenn sie versagen, bekommt ein Fremder Zugang zu deinem „Zuhause“. Nun stellt sich die Frage: Solltest du wirklich jemand anderem deinen einzigen Schlüssel anvertrauen?

Wenn Konten verschwinden: Der Ansatz von NymVPN

Stell dir einen Dienst vor mit:

• Keine Anmeldungen
• Keine Passwörter
• Keine riesigen Datenbanken mit Zugangsdaten, die gehackt werden könnten

Anstelle herkömmlicher Konten verwendet NymVPN eine Seed-Phrase – eine einzigartige Kombination aus Wörtern, die als dein privater Schlüssel dient. Das heißt, du musst dich nicht registrieren, keinen Benutzernamen oder kein Passwort anlegen und bist bei der Verwaltung deiner Identität nicht auf eine zentrale Stelle angewiesen.

Was ist eine Seed-Phrase?

Eine Seed-Phrase (auch als Wiederherstellungs- oder Geheimphrase bezeichnet) ist eine Folge von in der Regel 12 oder 24 zufällig generierten Wörtern. Es stellt deine kryptografische Identität dar und dient dazu, private Schlüssel sicher zu generieren.

Beispiel (bitte nicht verwenden):

akustische Banane, Flüssigkeit, Schmelze, Virus, schwarze Schildkröte, Geschmack, Zement, berühmte Zwiebel, Schwimmen

Dieser Satz wird nur während der Einrichtung angezeigt. Sie werden niemals auf einem NymVPN-Server gespeichert oder über das Internet übertragen. Du bist der alleinige Eigentümer und Verwalter dieses Ausdrucks.

Warum es sicherer ist

Da nichts auf einem Server gespeichert wird, gibt es für Angreifer nichts zu stehlen, selbst wenn NymVPN gehackt würde:

• Keine Datenbank mit Benutzeranmeldedaten
• Keine mit Identitäten verknüpften Sitzungsprotokolle
• Keine Wiederherstellungs-E-Mails, die gefälscht werden können

Die Seed-Phrase befindet sich nur auf deinem Gerät, und im Idealfall bewahrst du sie offline auf – auf Papier geschrieben oder in einem sicheren Passwort-Manager oder einer Hardware-Wallet gespeichert.

Was sind Zero-Knowledge-Proofs – und warum sind sie wichtig?

Zero-Knowledge-Proofs (ZKPs) sind ein leistungsstarkes Datenschutzinstrument, mit dem du beweisen kannst, dass etwas wahr ist, ohne die tatsächlichen Informationen dahinter preiszugeben.

Stell dir vor, du könntest nachweisen, dass du über 18 bist, ohne dein Geburtsdatum anzugeben, oder beweisen, dass du für eine Dienstleistung bezahlt hast, ohne deine Identität oder Transaktionsdetails preiszugeben. Das ist das Besondere an ZKPs: Sie trennen die Verifizierung von der Offenlegung von Daten.

Im Zusammenhang mit Nym helfen Zero-Knowledge-Proofs in Form von zk-nyms den Nutzern, den Zugriff auf oder die Teilnahme an NymVPN zu überprüfen, ohne dies an ein bestimmtes Konto zu binden oder personenbezogene Daten preiszugeben. Sie sind ein wesentlicher Bestandteil dessen, was eine datenschutzfreundliche Infrastruktur wie Nym erst möglich macht: ein System, in dem du sicher interagieren kannst, ohne identifizierbare Spuren zu hinterlassen.

ZKPs verändern das Internet von einem Modell nach dem Motto „Alles zeigen, um irgendetwas zu beweisen“ hin zu einem intelligenteren Standard, bei dem nur das Nötigste preisgegeben wird – einem Standard, der dein Recht auf Privatsphäre standardmäßig respektiert.

Wie eine Seed-Phrase Zugriff gewährt

Jedes Mal, wenn du NymVPN öffnest, kannst du:

• Gib deine Seed-Phrase ein, um deine Zugangsdaten neu zu generieren
• ODER speichere sie lokal (verschlüsselt), damit du sie nicht jedes Mal eingeben musst

Der Seed wird verwendet, um eine kryptografische Identität abzuleiten, die belegt, wer du bist – ohne dass du dich „anmelden“ oder deine E-Mail-Adresse gegenüber irgendjemandem nachweisen musst.

Diese Methode stellt sicher, dass:

• Nur du hast Zugriff auf deine VPN-Identität
• Mit deiner Seed-Phrase kannst du deinen Zugriff auf jedem Gerät wiederherstellen
• Deine digitale Identität ist übertragbar, dezentralisiert und zensurresistent

Dieser Ansatz ist nicht nur eine clevere Anmeldemethode – er ist ein Paradigmenwechsel in der Art und Weise, wie Identität und Datenschutz online funktionieren.

Was kommt als Nächstes?

Passwörter gehören der Vergangenheit an. Heute sind sie ein Hauptziel für Angreifer. Morgen wird man sich wahrscheinlich nur noch in den Geschichtsbüchern zur Cybersicherheit an sie erinnern.

Die Zukunft liegt in einem Modell, bei dem dein Zugangsschlüssel ausschließlich dir gehört – und du nicht mehr auf die Server anderer angewiesen bist, um ihn zu schützen.

Verweise

[1] Wired

[2] Reuters