Der Informatik-Professor Albrecht Schmidt fordert, die Unternehmen gesetzlich zu mehr Sicherheit im Umgang mit Nutzerdaten zu verpflichten.Der Informatiker Albrecht Schmidt Foto: StZ

Bei den Konzepten für mehr Datensicherheit kommt der Mensch leider oft viel zu kurz, beobachtet der Informatiker Albrecht Schmidt. Die Hersteller müssten nachbessern.

Stuttgart - Die Nutzer allein sind nicht schuld, dass die Passwörter für Logins nicht sicher genug sind. Die Anbieter sollten sie aktiv darauf hinweisen, wenn der Schutz ihrer Daten nicht gewährleistet ist, meint der Informatik-Professor Albrecht Schmidt. Ein einfacher Ansatz sei es auch, die Geschwindigkeit zu reduzieren und beispielsweise nur alle zehn Sekunden einen Einloggversuch zulassen: „Das macht es langwieriger für Angreifer, Tausende von Passwörtern zu testen.“

Herr Schmidt, der aktuelle Hack zeigt, dass es offenbar nicht einfach ist, sich im Internet sicher zu bewegen. Viele der Daten waren offenbar durch schlechte Passwörter nur unzureichend abgesichert. Ist der Nutzer einfach zu dumm?

Ich finde es falsch, jetzt auf den Nutzer zu zeigen und zu sagen: selbst schuld. Es gibt schon seit vielen Jahren Forschungen dazu, wie Sicherheit besser gestaltet werden kann als mittels eines Log-ins via Passwort. Die Forderung, Nutzer sollten einfach gute Passwörter vergeben, greift zu kurz. Ein gutes Passwort ist per se schlecht zu merken. Menschen schreiben es sich dann auf und kleben es mit einem Post-it an den Bildschirm. Oder sie verwenden das gleiche Passwort für viele verschiedene Dienste. Es liegt nun an den Unternehmen, sich bessere Konzepte zu überlegen und diese auch einzusetzen. Notfalls müssen Unternehmen gesetzlich dazu verpflichtet werden.

Sie forschen seit Jahren zur Frage, wie Internetsicherheit so gestaltet werden kann, dass sie für Menschen einfach zu handhaben ist. Wieso finden Ihre Erkenntnisse so wenig Niederschlag in der Praxis?

Benutzername und Passwort ist seit den Anfängen der Informatik bekannt und aus theoretischer Sicht auch sicher. Häufig wird beim Design von Systemen nicht darüber nachgedacht, wie man sich anmeldet, und das Thema wird nicht sonderlich ernst genommen. Wenn Leute Anwendungen oder Systeme implementieren, wird häufig einfach eine Komponente für das Log-in verwendet, die eben mit Benutzername und Passwort arbeitet. Sichere Verfahren sind etwas aufwendiger in der Umsetzung und damit teuer für den Hersteller.

Wie sicher sind biometrische Verfahren wie der Fingerabdruck beim iPhone?

Sie sind auch nicht absolut sicher. Es gab in der Vergangenheit Beispiele, wo Fingerabdrücke kopiert wurden. Zudem haben nicht alle Geräte die Sensorik für biometrische Verfahren. Wenn wir also zusätzlich dann doch noch ein Passwort brauchen, damit wir im Webbrowser auf einem PC auf unsere Mail zugreifen können, ist nichts gewonnen. Bei Sicherheit ist immer die schwächste Komponente entscheidend.

Welche einfachen Möglichkeiten gibt es, das Log-in sicherer zu gestalten?

Ein einfacher Ansatz ist die Geschwindigkeit zu reduzieren und beispielsweise nur alle zehn Sekunden einen Einloggversuch zulassen. Das macht es langwieriger für Angreifer, Tausende von Passwörtern zu testen. Beim Einloggen kann man den Benutzer dann auch darauf hinweisen, dass seit dem letzten Log-in 1000 Fehlversuche getätigt wurden. Dann ist vermutlich die Motivation höher, ein besseres Passwort zu wählen. Auch die sogenannte Zwei-Faktor-Authentifizierung bringt schon viel Gewinn und ist relativ einfach. Also ein Log-in im Netz und eine zusätzliche SMS mit einem Freigabecode etwa. Oder was Google macht: Wenn ich mich von ungewöhnlichen Orten aus einlogge, bekomme ich eine Mail mit der Frage, ob das wirklich ich bin. Das könnte man noch ausbauen, indem man beispielsweise Nutzern mit schwachen Passwörtern nach einer bestimmten Anzahl an Fehlversuchen beim Log-in eine Mail schickt mit einem Link, den sie anklicken müssen, um wieder Zugang zu ihrem Konto zu bekommen. So eine Art Zwei-Faktor-Authentifizierung für Arme.

Experten kritisieren aber, dass auch diese Zwei-Faktor-Authentifizierung nicht absolut sicher ist. Der Angreifer muss ja nur Zugriff auf die Mails haben . . .

Es wäre jedenfalls um ein Vielfaches sicherer als die jetzige Praxis vieler Dienste, die einfach nur ein Passwort verlangen. Man muss den Menschen mit einbeziehen. Wenn man Sicherheit zu kompliziert macht, wird sie schlechter nutzbar. Sie mag dann theoretisch sicher sein, praktisch aber nicht.