So gehts richtig

Es wäre so einfach, es besser zu machen.

Erlauben Sie Passwörter von bis zu 64 Zeichen. Damit können die User sogar einen kurzen Satz eingeben, anstelle eines Passworts.

Weisen Sie Ihre User darauf hin, dass sie für jeden Dienst ein separates Passwort benutzen sollen. Dieses darf keinen Aufschluss darüber geben, wie die Kennwörter desselben Users bei anderen Diensten heissen könnten.

Bieten Sie Ihren Usern eine einfache und kostenlose Zwei-Faktor-Authentisierung (2FA) an. Der Google Authenticator ist auf vielen Smartphones schon installiert. Nutzen Sie diesen Umstand. Wie das beispielsweise bei einem Microsoft-Account verwendet wird, beschreiben wir hier.

Für die Passwort-Wiederherstellung gibts weitaus bessere Methoden als die Abfrage von hochgradig unsicheren «Sicherheitsfragen». Bieten Sie den Usern Wiederherstellungscodes an, die diese aus ihrem Account herunterladen und lokal an einem sicheren Ort speichern können. Sogar ein Ausdrucken dieser Codes ist heutzutage sinnvoll, solange die Codes nicht offen am Bildschirm kleben, sondern in einem verschlossenen Schrank oder gar Tresor verwahrt sind.

Mit einer 2FA und Wiederherstellungscodes mildern Sie auch die Gefahren für jene Ihrer User, die sich ausgerechnet für eins der 10 häufigsten und damit schlechtesten Passwörter entschieden haben, siehe nachfolgende Bildstrecke.