Nach "Heartbleed"-Entdeckung: Passwörter jetzt wechseln

Potenzielle Angreifer können die OpenSSL-Schwachstelle nutzen, um eigentlich geschützte Informationen abzufangen, darunter auch Zugangsdaten. Der Passwortwechsel ist also erst sinnvoll, wenn eine Webseite die Lücke beseitigt hat. "Namhafte Anbieter sollten ihre Systeme inzwischen aktualisiert haben", glaubt Jan-Peter Stotz vom Fraunhofer-Institut für Sichere Informationstechnologie (SIT) in Darmstadt.

Der richtige Zeitpunkt für den Wechsel gekommen

Der richtige Zeitpunkt für den Wechsel sei daher jetzt gekommen. "Inzwischen weiß ja auch wirklich jeder potenzielle Angreifer über die Lücke Bescheid", so Stotz. Er gehe zwar davon aus, dass die großen Plattformbetreiber ihre Nutzer über den nötigen Passwortwechsel informieren. Unabhängig davon sollten sie aber ruhig jetzt schon aktiv werden.

E-Mail-Konto am wichtigsten

Besondere Aufmerksamkeit verdient dabei das E-Mail-Konto, sagt der Experte: Verschafft sich ein Angreifer Zugriff darauf, kann er über die Passwort-Rücksetzfunktion auch andere Dienste angreifen, bei denen der Nutzer einen Account hat. Das gilt selbst dann, wenn das fehlerhafte OpenSSL dort gar nicht im Einsatz war.

Hinweise zur Vergabe von Passwörtern

Ein gutes Passwort hat nach Angaben des Bundesamts für Sicherheit in der Informationstechnik (BSI) mindestens zwölf Zeichen, darunter neben großen und kleinen Buchstaben auch Zahlen und Sonderzeichen. Namen sind ebenso tabu wie Begriffe aus Wörterbüchern oder Tastaturmuster wie "asdfg". Um den Schaden bei einem erfolgreichen Angriff oder Datendiebstahl möglichst klein zu halten, sollten Nutzer für jeden Dienst ein anderes Passwort verwenden.

Mehrere Passwörter  gut verwalten

Je mehr Nutzerkonten jemand hat, desto schwieriger wird das natürlich. Sicherheitsexperte Stotz empfiehlt daher, sich Hilfe zu besorgen. "Die Faustregel bei Passwörtern ist immer: Besser ein gutes aufgeschriebenes beziehungsweise gespeichertes als ein schlechtes gemerktes", sagt er. Nutzer können ihre Zugangscodes zum Beispiel einem Passwort-Manager überlassen, die es als Browsererweiterung, PC-Programm oder App gibt.

Damit müssen sie sich nur noch ein Master-Passwort merken, der Rest läuft automatisch. Es geht aber durchaus auch analog, erklärt Stotz: "Wichtige Passwörter kann man auch zu Hause auf Papier an einem sicheren Platz abheften." Dort seien sie zwar nicht vor Einbrechern, aber zumindest vor Hackern geschützt.