Sicherheit: Sollte man sein Passwort noch regelmäßig ändern, wenn 2FA nicht verfügbar ist?

[[ChAoZ]]

Darf ich auf SAP Software tippen? duck und weg

Nope, aber eine regulierte Versicherung...

@[ChAoZ]: Ich war früher auch Fan von "generischen" Kennwörten, die abhängig vom Dienst waren. Ich will da auch gar nichts dagegen sagen, aber man darf nicht vergessen, dass nicht alle Seiten die gleichen "Anforderungen" an ein Kennwort haben. In meinem generischen Kennwort war früher das Sonderzeichen Ausrufezeichen ! - aber es gab tatsächlich Seiten, die genau dieses Sonderzeichen oder gar kein Sonderzeichen erlaubten.
Klar, dann passt man das Kennwort dafür entsprechend an. Aber weiß man das beim nächsten Anmelden noch?

Deshalb ist ein Passwortmanager aus meiner Sicht ein deutlich größerer Segen.

Will mein Bitwarden nicht mehr missen, da gebe ich dir vollkommen Recht.
Und ja, auch bei mir klappt das nicht auf allen Seiten, aber zu 95% schon....

 

[Maviba]

wenn man ein starkes, eindeutiges Passwort und nicht den Verdacht hat, es sei kompromittiert, sollte man dies dennoch regelmäßig ändern?

Auf jeden Fall. Besonders die der Email und shopping Seiten.
2FA kann auch ausgehebelt werden, deswegen ist es kein 100% Schutz.
Ich würde es nur nicht alle paar Wochen ändern, das ist auch Mist. Aber einmal im Jahr schon.
Und vor allem mit "Briefkasten-Email-adressen" arbeiten.
Also eine Email-Adresse, die eigentlich keine andere Aufgabe hat, als alle Emails an die echte Adresse weiterzuleiten.

Sollte sie also mal geleaked oder gehackt werden, kann man die ganz schnell austauschen, ohne das es den echten Email Account betrifft.
Spart viel Arbeit und ärger

Vor ein paar Monaten ist das Email Konto meiner Mutter "gehackt" worden, bzw sie hat ihr Passwort ein paar Jahre nicht geändert, bis es irgendwo geleaked wurde.

Das ganze passierte auch noch ausgerechnet in der Zeit, in der wir wegen eines Unfalls ein paar Monate im Krankenhaus verbracht haben.

In der Zeit haben die idioten:

• mehrere Passwörter beantragt und geändert
• Das Email-Konto für massenspam benutzt
• Bei Otto und ebay Waren gekauft
• ... und in diversen anderen Shops.
• Bei DB mehrer Fahrkarten (und vermutlich weiterverkauft)
• versucht, mehrere Deutschland-Tickets zu kaufen
• Ein zweites amazon-Konto mit den Daten meiner Mutter erstellt und mindestens einen testeinkauf gemacht

Und das ist nur das, was ich entdeckt habe.
Ihr Provider, sowie ein paar andere Anbieter haben das bemerkt, und u.a. ihr Email-kto für ausgehende Mails gesperrt, oder gleich den ganzen Account.
Ich habe fast 2 Wochen daran gesessen, bis alles wieder freigeschaltet war

Sowas braucht man nicht ein zweites mal.

 

[BeBur]

Vor ein paar Monaten ist das Email Konto meiner Mutter "gehackt" worden, bzw sie hat ihr Passwort ein paar Jahre nicht geändert, bis es irgendwo geleaked wurde.

Das ist passiert, weil sie das Passwort noch woanders verwendet hatte. Das sollte man sowieso keinesfalls machen und dann muss man das Passwort auch nicht regelmäßig ändern.

Und vor allem mit "Briefkasten-Email-adressen" arbeiten.
Also eine Email-Adresse, die eigentlich keine andere Aufgabe hat, als alle Emails an die echte Adresse weiterzuleiten.

Sollte sie also mal geleaked oder gehackt werden, kann man die ganz schnell austauschen, ohne das es den echten Email Account betrifft.

Das ist auch quatsch, schließlich ist die "Briefkasten" Adresse dann überall hinterlegt online und wenn jemand darauf Zugriff erhält bringt es gar nichts, dass Emails weitergeleitet wurden.

 

[CyborgBeta]

Btw ... Bitwarden bietet ziemlich "mächtige" Tools an, um zu überprüfen, ob man unsichere oder kompromittierte oder doppelte Passwörter hat. (Ein Teil dieser Funktionalität erfordert allerdings ein Abo.) Das einzige kurze Passwort, das ich dort gespeichert habe, ist die Zahlenkombination von meinem Fahrradschloss. Aber, wer etwas klauen möchte, hat es hierbei wahrscheinlich mit einem Bolzenschneider ohnehin einfacher...

 

[Pummeluff]

Die bessere Passwortanleitung.

 

[WulfmanGER]

Mittlerweile rät ja auch der BSI vom regelmäßigen ändern ab. Gerade auf Arbeit ist das ein riesiges Thema. Single-Sign-On klappt halt nicht immer. Also min. 10 Anwendungen - alle mit eigenen Login. Alle müssen zwischen 4 und 12 Wochen geändert werden. Nicht mal einheitlich. Dann darf das eine max. 8, das andere min. 8 Zeichen haben etc. Mit der Zeit blickt man da nicht mehr durch. Ich hab einen Notizzettel aufm Laptop kleben - nein da stehen nicht die PWs drauf - aber die "Generation" mit der ich mir mein aktuelles PW für Anwendung 1,2,3,4,... ausrechnen kann. Diesen ständigen wechsel kann ich mir nicht mehr merken. Und wer jetzt mit Passwortsafe kommt - da muss man erstmal dran kommen................ mit wechselnden PWs.....

Wir können uns vermehrt mit Karten einloggen. Komischerweise müssen wir das PW dafür nie ändern obwohl einige ihre Karte quasi in den Laptop "verbaut" haben..... Aber 8 Ziffern reicht ja als Security....

Wer ständig ändert, wird sich seine PWs irgendwann irgendwo notieren und da ist dann die Gefahr und davor warnt halt der BSI - zurrecht - ich sehe es hier auf arbeit. Passwortlisten landen wieder vermehrt auf Papier.........

Privat hab ich zwar auch für (fast) jede Anwendung ein anderes PW - aber lang genug, komplex genug. Wörterbuchattacken sollten die Aushalten. Zudem kann ich hier etwas anderes mit PW-Safe agieren. Warum soll ich also alle 12 Monat oder so mein PW ändern. "f90sdk#*39f9sx9f,d9#!103" <- warum soll man sowas ändern........

 

[cyberpirate]

Moin,

das wäre eher contra sein PW regelmäßig zu ändern:

Kennwörter regelmäßig zu wechseln, kann schnell zu leichter knackbaren Passwörtern führen. Sicherheitsexperten sind der Ansicht, dass die früher übliche Regel eher schadet als nützt. "Ein gutes Passwort kann man bedenkenlos über Jahre hinweg nutzen", schreibt etwa Heise Security

 

[r0b0t]

Ich würde den Thread mal verschieben lassen. Das hat alles gar nichts mit Programmieren zu tun.

 

[CyborgBeta]

Ich bin da anderer Ansicht. Letztendlich ist es Sache der Programmierer, sichere Logins anzubieten. Und auch der Anwender.

 

[r0b0t]

Ja mei. Is scho recht.