Passphrase: Ein Passwort aus Wörtern - gezielt einsetzen

Eine Passphrase ist eine Abfolge zufällig gewählter Wörter, die sich leichter merken lässt als ein klassisches Passwort. Sie ist jedoch nur unter einer strikten Bedingung wirklich sicher: Die Wörter müssen wirklich zufällig sein. Hier erfahren Sie, wie man eine erstellt, wie viele Wörter angestrebt werden sollten und in welchen seltenen Fällen sie die richtige Wahl ist.

Was ist eine Passphrase?

Eine Passphrase ist ein Passwort, das aus mehreren zufällig gewählten ganzen Wörtern besteht, zum Beispiel „Bullauge Kirsche Schwindel Kochtopf Sprung Hocker". Statt einzelne Zeichen zu kombinieren, werden Wörter aneinandergereiht.

Die Referenzmethode heißt Diceware. Dabei werden mehrere Wörter zufällig aus einer öffentlichen Liste von etwa 7.800 Wörtern gezogen - ursprünglich mit Würfeln (daher der Name), heute mit einem Generator. Zwei Punkte machen den Wert dieser Methode aus: Die Wörter werden ausgelost und nicht ausgewählt, und sie haben keinerlei Bezug zueinander - weder grammatikalisch noch thematisch. Was eine Passphrase schwer zu merken macht, ist genau das, was sie sicher macht. Jeder Versuch, sie bequemer zu gestalten, schwächt sie ab.

Ist eine Passphrase sicher, weil sie lang ist?

Nein. Eine Passphrase ist sicher, weil sie zufällig gewählt wurde, nicht weil sie lang ist. Sobald sie eine Geschichte erzählt, bricht ihr Schutz zusammen.

Das ist das grundlegende Missverständnis. Passphrases werden oft als lang, merkbar und sehr sicher beschrieben, als ob diese drei Eigenschaften automatisch zusammengehören würden. In Wirklichkeit erzeugt nur der zufällige Ursprung der Wörter echte Sicherheit. Eine selbst erdachte Phrase und eine zufällig gezogene Passphrase können auf den ersten Blick identisch aussehen - nur die Entstehungsmethode unterscheidet sie.

Was ist Entropie und warum ist sie das Einzige, was zählt?

Entropie misst, wie schwer es ist, ein Geheimnis zu erraten. Sie wird in Bits angegeben, und die Regel lässt sich in einem Satz zusammenfassen: Jedes zusätzliche Bit verdoppelt den Aufwand des Angreifers.

Einige Anhaltspunkte:

Der entscheidende Punkt: Entropie beschreibt nicht das Geheimnis selbst, sondern die Art, wie es gewählt wurde. Ein Zufallsgenerator könnte „Hallo" erzeugen - das wäre ein legitimes Ergebnis. Ein Nutzer, der „Hallo" von sich aus eintippt, hat hingegen keinerlei Schutz. Es kommt nicht auf das Aussehen des Passworts an, sondern auf die Anzahl der Möglichkeiten, aus denen es gezogen wurde. Das ist dieselbe Mechanik, die dafür sorgt, dass die Länge eines Passworts mehr zählt als seine Komplexität: Verlängern vervielfacht die Möglichkeiten, Verzieren bringt kaum etwas.

Wie viele Wörter braucht eine sichere Passphrase?

Mindestens sechs Wörter. Sieben oder acht für ein Geheimnis, das alles andere schützt - wie das Master-Passwort eines Passwortmanagers oder die Festplattenverschlüsselung.

In Rechenzeit ausgedrückt, bei einem Angreifer mit einer Billion Versuche pro Sekunde (pessimistisches Szenario, das einen gestohlenen und serverseitig schlecht geschützten Schlüssel voraussetzt): Vier Wörter fallen in weniger als einer Stunde, fünf Wörter halten einige Monate, sechs Wörter mehrere tausend Jahre, sieben Wörter sind unerreichbar.

Warum sind die Anforderungen an das Master-Passwort oder die Festplattenverschlüsselung höher? Weil sie einem Offline-Angriff ausgesetzt sind. Ein Angreifer, der sich Zugang verschafft, kann uneingeschränkt und ohne jedes Limit angreifen. Kein serverseitiger Schutz kann ihn stoppen - nur die Entropie des Geheimnisses selbst.

Ein hilfreicher Hinweis: Die Wortliste zu vergrößern - also seltenere Wörter zu verwenden - bringt kaum etwas. Von 7.800 auf 20.000 Wörter zu wechseln, ergibt pro Wort nur anderthalb Bits mehr, denn die Liste muss verdoppelt werden, um ein einziges Bit zu gewinnen. Der einzige wirksame Hebel ist die Anzahl der Wörter.

Warum muss eine Passphrase länger sein als ein generiertes Passwort?

Weil ein Wort weniger Sicherheit bietet, als es scheint. Ein zufällig aus 7.800 Wörtern gezogenes Wort entspricht etwa 13 Bit - das ist das Äquivalent von nur zwei Zeichen, kostet aber fünf oder sechs Tastenanschläge.

Anders gesagt: Eine Passphrase liefert pro eingetipptem Zeichen etwa dreimal weniger Sicherheit als ein generiertes Passwort. Das ist der einzige Fall, bei dem angezeigte Länge und tatsächliche Stärke deutlich auseinanderfallen. Eine Passphrase mit fünfunddreißig Zeichen macht optisch Eindruck, entspricht aber einem generierten Passwort von etwa zwölf Zeichen. Das Verhältnis ist bemerkenswert stabil: Ein zufällig gezogenes Wort entspricht ungefähr zwei zufälligen Zeichen.

Kann man eine sinnvolle Phrase verwenden, um sie sich leichter zu merken?

Nein, das ist der häufigste Fehler. In einer zusammenhängenden Phrase schränkt jedes Wort die Auswahl der folgenden Wörter ein, anstatt sie zu vervielfachen - das ist das genaue Gegenteil des gewünschten Mechanismus.

Nehmen wir eine Passphrase, die mit „Ich bin gestern zum …" beginnt. Die ersten Wörter bilden eine häufige Abfolge: Sie tragen kaum etwas bei, ein Angreifer testet sie sofort. Das folgende Wort wird durch Grammatik und Bedeutung auf eine Handvoll plausibler Kandidaten eingeschränkt: Restaurant, Kino, Markt, Büro, Park. Einige Dutzend Möglichkeiten, wo ein Zufallsziehen fast achttausend geboten hätte.

Ein sinnvoller deutscher Satz erzielt höchstens etwa ein Bit pro Zeichen, gegenüber 6,5 bei echtem Zufall. Ein vierzig Zeichen langer Satz kann also weniger wert sein als ein generiertes Passwort mit sieben Zeichen. Das ist keine theoretische Sorge: Aktuelle Cracking-Tools verwenden Sprachmodelle und untersuchen bevorzugt natürliche Wortfolgen. Liedtexte, Sprichwörter, Titel und bekannte Zitate sind seit Langem in Angriffswörterbüchern enthalten. Persönliche Erinnerungen sind kein Ausweg: Der Angreifer braucht die Erinnerung nicht zu kennen - nur die Sprache.

Muss man Großbuchstaben, Zahlen und Sonderzeichen hinzufügen?

Das ist nicht nötig. Bei Passphrases bringen solche Verzierungen wenig, während ein zusätzliches zufällig gezogenes Wort alles verändert.

Was sind die Nachteile einer Passphrase?

Das Auswendiglernen erfordert echten Aufwand, die Eingabe auf dem Smartphone ist mühsam - besonders wenn die Zeichen nicht angezeigt werden. Diese Einschränkungen werden selten erwähnt, bestimmen aber ihren Einsatzbereich.

Sechs bis acht völlig zusammenhanglose Wörter auswendig zu lernen, gelingt nicht auf Anhieb: Es braucht gezieltes Einprägen. Das ist einfacher als ein generiertes Passwort gleicher Stärke, aber nicht mühelos. Vierzig Zeichen mehrmals täglich auf einer Touch-Tastatur einzugeben - während die Autokorrektur dazwischenfunkt - ist ein sehr konkreter Grund, aufzugeben. Schließlich macht ein Zeichenlimit von zwanzig oder zweiunddreißig Zeichen, das noch häufig vorkommt, das Vorhaben unmöglich.

Wann sollte man wirklich eine Passphrase verwenden?

Nur für die seltenen Geheimnisse, die man auswendig kennen muss, weil kein Tool sie abrufen kann. Überall sonst ist ein generiertes Passwort die bessere Wahl.

Die sinnvollen Anwendungsfälle sind wenige:

• Das Master-Passwort eines Passwortmanagers
• Die Verschlüsselung einer Festplatte oder eines Backups
• Eine Wiederherstellungsphrase, die nirgendwo gespeichert werden kann
• Ein Geheimnis, das mündlich oder telefonisch weitergegeben wird

Dieser letzte Fall ist ein selten genannter Vorteil: Eine Wortfolge lässt sich diktieren, von Hand schreiben und fehlerfrei abtippen, während ein generiertes Passwort aus jedem 0/O und jedem l/1 eine Fehlerquelle macht. Für alles andere - die Dutzenden von Alltagskonten - ist ein generiertes, einmaliges und nie auswendig gelerntes Passwort in jeder Hinsicht überlegen. Die eigentliche Frage lautet daher nicht „Passphrase oder generiertes Passwort?", sondern „Muss ich dieses Geheimnis auswendig kennen?". Die Antwort sollte im digitalen Alltag nur selten Ja lauten - zumal Passkeys die Zahl der zu merkenden Geheimnisse weiter reduzieren. Der integrierte Generator im Passwortmanager von Octopussian erstellt übrigens eine Passphrase mit derselben kryptografischen Zufälligkeit wie ein klassisches Passwort.

Wie erstellt man eine Passphrase richtig?

Indem man eine Maschine die Wörter auslosen lässt und jeden Impuls unterdrückt, sie zu arrangieren. Die Entropie steckt im Ziehungsvorgang, nicht darin, wie man sich das Ergebnis merkt.

• Die Wörter nicht selbst auswählen. Entgegen unserer Intuition wählen wir nur schwer wirklich zufällig: Würfel oder einen kryptografischen Generator verwenden, nicht das Bauchgefühl.
• Ein unbeliebtes Wort nicht neu auslosen. Einen Treffer abzulehnen, weil er nicht gefällt, verkleinert die Liste. Ist das Ergebnis wirklich nicht handhabbar, wird die gesamte Passphrase neu gezogen, nicht nur ein einzelnes Wort.
• Die Liste nicht verkürzen. Mit einer kurzen Liste (ca. 1.300 Wörter) braucht man etwa acht Wörter, um das zu erreichen, was sechs Wörter mit der langen Liste ergeben.
• Eine Gedächtnisstütze schadet nicht. Sich ein absurdes Bild auszudenken, um einen zufälligen Treffer zu behalten, schwächt das Geheimnis nicht ab. Verboten ist es, die Phrase aus einer Geschichte heraus zu komponieren.
• Die Phrase während der Lernphase auf Papier aufzuschreiben, ist ein vertretbarer Kompromiss - vorausgesetzt, das Papier wird vernichtet, sobald die Passphrase auswendig sitzt.
• Eine Passphrase wird nicht wiederverwendet, genau wie ein Passwort. Und sie ersetzt nicht den zweiten Faktor: Sie schützt davor, erraten zu werden, nicht vor Phishing, einem Keylogger oder einem serverseitigen Datenleck.

Das Wichtigste auf einen Blick

• Eine Passphrase ist sicher, weil sie zufällig gezogen wurde, nicht weil sie lang ist.
• Mindestens sechs Wörter, sieben oder acht für ein Master-Passwort oder eine Festplattenverschlüsselung.
• Niemals eine sinnvolle Phrase verwenden: Jedes vorhersehbare Wort verringert die Sicherheit.
• Ein zusätzliches zufälliges Wort ist mehr wert als alle Großbuchstaben, Zahlen und Sonderzeichen zusammen.
• Die Passphrase eignet sich nur für Geheimnisse, die auswendig gelernt werden müssen; für alles andere ist ein Generator die bessere Wahl.