Das Ende der Passwort-Ära, aber nicht das Ende der Datensicherheit

Warum Passwörter versagen

Menschen sehnen sich nach Einfachheit. Sich eine lange Kombination aus Buchstaben, Zahlen und Sonderzeichen zu merken, ist mühsam, daher entscheiden sich die meisten für etwas Schnelles und Einfaches. Aber selbst wenn man diszipliniert genug war, ein komplexes Passwort zu erstellen, wird es dennoch in der Datenbank eines Unternehmens gespeichert.

Und Datenbanken werden gehackt.

Regelmäßig.

Passwortlecks: ein paar Beispiele zum Nachdenken

• McDonald’s, 2025: Ein KI-gestützter Chatbot für die Personalbeschaffung lief mit dem Login Admin und dem Passwort 123456. Das Ergebnis? Über 64 Millionen Bewerbungen wurden offengelegt, darunter Telefonnummern, E-Mail-Adressen, Angaben zur Ausbildung und zum beruflichen Werdegang. [1]
• Yahoo, 2013: Das größte Datenleck der Geschichte: Über 3 Milliarden Konten wurden kompromittiert, einschließlich Passwörtern und Sicherheitsfragen. [2]

Diese Geschichten haben eine wichtige Gemeinsamkeit: Selbst Unternehmen mit Cybersicherheitsbudgets in Millionenhöhe sind nicht vor Fehlern gefeit.

Bewährte Verfahren zur Speicherung von Passwörtern

Auch wenn wir uns langsam von Passwörtern verabschieden, sind sie nach wie vor weit verbreitet. Daher lohnt es sich zu verstehen, wie man sie richtig speichert - insbesondere, wenn du eine Plattform oder App betreibst.

Speichere Passwörter niemals als Klartext

Passwörter sollten stets mit starken Algorithmen wie bcrypt oder argon2 gehasht werden. Dadurch wird es rechnerisch aufwendig, sie zurückzurechnen.

Salz hinzufügen

Salting sorgt dafür, dass die Hashes unterschiedlich sind, selbst wenn zwei Nutzer dasselbe Passwort wählen. Dies ist ein entscheidender Schutz gegen Rainbow-Table-Angriffe.

Verwende Key Stretching

Diese Technik verlangsamt Brute-Force-Angriffe erheblich, verschafft dir Zeit und verringert das Risiko bei einem Sicherheitsvorfall.

Doch selbst mit diesen Maßnahmen sind Zugangsdaten schon allein dadurch ein potenzielles Angriffsziel, dass sie auf Servern gespeichert sind. Deshalb sollte das Ziel sein, die Speicherung von Passwörtern ganz zu vermeiden.

Bewährte Verfahren für die Erstellung und Wiederverwendung von Passwörtern

Wenn du Passwörter verwenden musst, geht das so am sichersten:

Verwende lange, zufällige Passwörter

Länge > Komplexität. Ein zufälliges Passwort mit 20 Zeichen ist weitaus sicherer als ein kurzes Passwort mit Sonderzeichen. Beispiel: qH7T#sY9!GmK3*vBxZlP

Verwende Passwörter nicht mehrfach

Ein wiederverwendetes Passwort = Zugriff auf alle Ihre Konten. Durch Datenlecks können Angreifer dieselben Zugangsdaten problemlos auf mehreren Websites ausprobieren (sogenanntes Credential Stuffing).

Verwende einen Passwortmanager

Er hilft dir, für jede Website einzigartige, starke Passwörter zu generieren und zu speichern. Das entlastet dich und erhöht die Sicherheit.

Aber selbst das beste Passwort ist nach wie vor nur … ein Passwort. Es kann erraten, durch Phishing erbeutet, offengelegt oder per Brute-Force-Angriff geknackt werden.

Was ist Multi-Faktor-Authentifizierung und warum ist sie wichtig?

Die Multi-Faktor-Authentifizierung (MFA) fügt eine zweite (oder dritte) Schutzebene hinzu und kombiniert etwas, das du weißt (Passwort), etwas, das du hast (Gerät), oder etwas, das du bist (Biometrie). Beispiel:

• Passwort + SMS-Code
• Passwort + Authentifizierungs-App für Mobilgeräte (TOTP)
• Passwort + Fingerabdruckscan

MFA verringert das Risiko einer Kontoübernahme erheblich, insbesondere in Fällen, in denen Passwörter durchgesickert sind oder gestohlen wurden. Aber es ist nicht perfekt:

• SMS-Codes können durch SIM-Swap-Angriffe abgefangen werden
• Authentifizierungs-Apps sind nur so sicher wie das Gerät, auf dem sie laufen. Dennoch ist MFA ein Muss bei der Nutzung passwortbasierter Systeme. Das ist so, als würde man ein Sicherheitsschloss an die Tür anbringen, anstatt sich auf einen einfachen Riegel zu verlassen.

Der zentrale Schwachpunkt des alten Passwortmodells

Ein Passwort ist ein einzelner Schlüssel. Du gibst es jemand anderem und hoffst, dass er es sicher aufbewahrt. Versagt er aber, bekommt ein Fremder Zugang zu deinem "Zuhause". Die Frage lautet also: Solltest du wirklich jemand anderem deinen einzigen Schlüssel anvertrauen?

Wenn Konten verschwinden: der NymVPN-Ansatz

Stell dir einen Dienst vor mit:

• Keine Anmeldungen
• Keine Passwörter
• Keine riesigen Datenbanken mit Anmeldedaten, die gehackt werden können

Anstelle herkömmlicher Konten verwendet NymVPN eine Seed-Phrase - eine einzigartige Kombination aus Wörtern, die als dein privater Schlüssel dient. Das bedeutet: Du registrierst dich nicht, du erstellst keinen Nutzernamen und kein Passwort und bist bei der Verwaltung deiner Identität nicht auf eine zentrale Instanz angewiesen.

Was ist eine Seed-Phrase?

Eine Seed-Phrase (auch Wiederherstellungs- oder Geheimphrase genannt) ist eine Folge von meist 12 oder 24 zufällig generierten Wörtern. Sie steht für deine kryptografische Identität und dient dazu, private Schlüssel sicher zu erzeugen.

Beispiel (bitte nicht verwenden):

acoustic banana fluid melt virus black turtle flavor cement famous onion swim

Diese Phrase wird dir nur bei der Einrichtung angezeigt. Sie werden niemals auf einem NymVPN-Server gespeichert oder über das Internet übertragen. Du bist der alleinige Eigentümer und Verwahrer dieser Phrase.

Warum es sicherer ist

Weil nichts auf einem Server gespeichert wird, gibt es für Angreifer nichts zu stehlen, selbst wenn NymVPN gehackt würde:

• Keine Datenbank mit Nutzer-Zugangsdaten
• Keine mit Identitäten verknüpften Sitzungs-Logs
• Keine Wiederherstellungs-E-Mails, die gefälscht werden können

Die Seed-Phrase existiert nur auf deinem Gerät, und idealerweise speicherst du sie offline - auf Papier geschrieben oder in einem sicheren Passwortmanager oder einer Hardware-Wallet.

Was sind Zero-Knowledge-Proofs – und warum sind sie wichtig?

Zero-Knowledge-Proofs (ZKPs) sind ein wirkungsvolles Werkzeug für die Privatsphäre - mit ihnen kannst du beweisen, dass etwas stimmt, ohne die zugrunde liegenden Informationen preiszugeben.

Stell dir vor, du könntest nachweisen, dass du über 18 bist, ohne dein Geburtsdatum zu zeigen, oder belegen, dass du für einen Dienst bezahlt hast, ohne deine Identität oder Transaktionsdetails preiszugeben. Das ist das Besondere an ZKPs: Sie trennen die Überprüfung von der Offenlegung von Daten.

Bei Nym helfen Zero-Knowledge-Proofs in Form von zk-nyms Nutzern dabei, Zugriff oder Teilnahme an NymVPN zu verifizieren, ohne dies an ein bestimmtes Konto zu binden oder personenbezogene Daten preiszugeben. Sie sind Teil dessen, was eine Privatsphäre-Infrastruktur wie Nym erst möglich macht: ein System, in dem du sicher interagieren kannst, ohne identifizierbare Spuren zu hinterlassen.

ZKPs verlagern das Web von einem Modell nach dem Motto "Alles zeigen, um irgendetwas zu beweisen" hin zu einem intelligenteren "Need-to-know-only"-Standard - einem Standard, der dein Recht auf Privatsphäre standardmäßig respektiert.

Wie eine Seed-Phrase Zugriff gewährt

Jedes Mal, wenn du NymVPN öffnest, kannst du:

• Deine Seed-Phrase eingeben, um deine Zugangsdaten neu zu generieren
• Oder sie lokal speichern (verschlüsselt), damit du sie nicht jedes Mal eingeben musst

Die Seed-Phrase dient dazu, eine kryptografische Identität abzuleiten, die belegt, wer du bist - ohne dass du dich „anmelden“ oder gegenüber irgendjemandem deine E-Mail-Adresse nachweisen musst.

Diese Methode stellt sicher, dass:

• Nur du hast Zugriff auf deine VPN-Identität
• Du kannst deinen Zugriff auf jedem Gerät mithilfe deiner Seed-Phrase wiederherstellen
• Deine digitale Identität ist übertragbar, dezentral und zensurresistent

Dieser Ansatz ist nicht nur eine clevere Anmeldemethode - er ist ein Paradigmenwechsel dafür, wie Identität und Privatsphäre online funktionieren.

Was kommt als Nächstes?

Passwörter gehören der Vergangenheit an. Heute sind sie ein Hauptziel für Angreifer. Morgen werden sie wahrscheinlich nur noch in Geschichtsbüchern zur Cybersicherheit erwähnt.

Die Zukunft liegt in einem Modell, bei dem dein Zugangsschlüssel ausschließlich dir gehört - und du nicht mehr auf die Server anderer angewiesen bist, um ihn zu schützen.

Quellen

[1] Wired

[2] Reuters