Es hat in den digitalen Nachrichten ein wenig die Runde gemacht: Google Account Passwörter wurden veröffentlicht, ca. 5 Millionen sollen es sein. Laut Google seien nicht einmal 2% der Daten nutzbar – es handle sich um typische „credential dumps“, so Google -, es gibt jedoch auch kritischere Vermutungen.
Update: Nicht nur Google hält diesen Leak für unkritisch, auch andere Erkenntnisse lassen Zweifel entstehen.
Wieviel tatsächliche aktive Logins dabei sind, spielt eigentlich auch keine Rolle. Diese Nachrichten sollten Google Nutzer generell dazu veranlassen, die eigenen Sicherheitsvorkehrungen zu überprüfen.

Hier ein paar Tipps:

Starkes Passwort

Der Tipp ist selbstverständlich. Heutzutage sollten Passwörter zu wichtigen Logins mindestens 12 Zeichen lang (BSI empfiehlt) sein und von jeder Zeichenart (Klein- und Großbuchstaben, Zahlen und Sonderzeichen) mindestens 1 Exemplar beinhalten.
Auf HowSecureIsMyPassword.net könnt ihr euer Passwort eingeben und eine Schätzung erhalten, wie lange das Knacken dieses Passworts dauern würde. Mein aktuelles Google Passwort würde 903 Billiarden Jahre einem durchschnittlichen Angriff standhalten. Das reicht mir 😉

Was viele nicht wissen: Länge geht vor Komplexität. Zwar solltet ihr, wie gesagt, alle 4 Zeichenarten einbauen. Jedoch ist es noch wichtiger, dass euer Passworter mehr als 10 Zeichen hat. Im Notfall kann das Auffüllen eines schlechteren Passwortes die Sicherheit enorm erhöhen. Beispiel:
?Test3 = 1 Minute Angriffszeit!
?Test3…. = 96 Jahre Angriffszeit!
?Test3…….. = 4 Milliarden Jahre Angriffszeit!
Ihr müsst also nicht immer zwangsläufig hochkomplizierte Passwörter basteln, hängt notfalls einfach ein paar leicht zu merkende Zeichen an. Das ist für euch einfach zu merken, vervielfacht jedoch den Angriffsaufwand.

Weitere Tipps für sichere Passwörter findet ihr hier.

Passwort-/Konto-Wiederherstellung vorbereiten

Das Passwort ist super sicher, perfekt. Was nun, wenn man dieses Passwort vergisst? Oder aus anderen Gründen der Zugriff auf das Konto unmöglich ist.
Für diesen Fall kann man bei Google zusätzliche Informationen zur Kontowiederherstellung eintragen. Sowohl die Handynummer als auch eine alternative E-Mail Adresse können hinterlegt werden. Über diese erhält man dann Anweisungen, sollte der Zugriff nicht mehr wie gewohnt funktionieren.

Mehr Informationen

2-Wege-Login

Seit 2011 bietet Google bereits die Möglichkeit den Account Login doppelt abzusichern: Nach der Eingabe des (starken) Passworts wird zusätzlich ein Bestätigungs-Code erwartet, der per SMS, Sprachanruf oder über eine Google Authenticator App mitgeteilt wird. Dies nennt man 2-Wege-Login, oder 2-way-authentication, oder „Bestätigung in zwei Schritten“.

Wer dieses Feature noch nicht aktiviert hat, sollte dies unbedingt in Erwägung ziehen. Die Aktivierung dauert nur wenige Minuten und das Einrichten aller Geräte und Software, die das Google Konto nutzen, ist ebenfalls in weniger als 10 Minuten erledigt. Dafür ist es anschließend für Fremde fast nicht mehr möglich Zugriff auf das Konto zu erhalten; selbst, wenn sie das Google Passwort kennen.

2-Wege-Login Notfall vorbereiten

Die Anmeldung in zwei Schritten ist besonders sicher, benötigt neben dem Passwort aber immer noch den Code, der über ein Handy/Smartphone geliefert wird. Der Zugriff zum Konto kann also unter Umständen versperrt sein, sollte das Telefon mit der registrierten Nummer nicht mehr verfügbar sein (geklaut, neue Nummer, kein Netzempfang usw). Auf diesen Fall sollte man sich rechtzeitig vorbereiten.
So gibt es im Einstellungsbereich des 2-Wege-Logins die Möglichkeit Ersatz-Telefonnummern einzugeben und Ersatzcodes zu erstellen.
Die Sache mit den Ersatznummern ist klar, hier kann man die Telefonnummern von Familienmitgliedern oder anderen Vertrauenspersonen angeben, die im Notfall den Code auf ihr Handy erhalten.
Ersatzcodes, oder auch Einmalcodes, sind 10 für diesen Account festgelegte Codes, die jederzeit funktionieren. Diese sind statisch, können also ausgedruckt und irgendwo verstaut werden. Zu jeder Zeit lässt sich der Account mit dem Passwort und einem dieser festen Codes entriegeln. Die Codes kann man auch bei sich führen, sie sind ohne das Account Passwort schließlich auch nicht sicherheitskritisch.

Externe Zugriffe und Berechtigungen prüfen

Hin und wieder kann ein Blick auf die Kontozugriffe nicht schaden. Auch das Überprüfen und Aussortieren der Berechtigungen sollte mindestens ein Mal jährlich erfolgen. Beides lässt sich Schritt für Schritt im Accountsicherheits-Dialog erledigen. Nach der Bestätigung der Kontowiederherstellungsinformationen (Handynummer und alternative E-Mail) werden die Kontenzugriffe und anschließend die Berechtigungen aufgelistet.

via, via, via