Wer ein Elektroauto fährt, sammelt Zugänge. Zuerst kommt die Ladekarte des Stromanbieters, dann die App des Herstellers, und irgendwann eine dritte, weil die Raststätte nur darüber abrechnet. Nach einem Jahr stehen fünf Logins auf dem Handy, und hinter fast jedem hängt eine Zahlungsmethode. Das Problem betrifft aber längst nicht nur Fahrer von E-Autos. Es beginnt bei der Frage, wie ein Passwort überhaupt aussehen sollte bzw. worauf man dringend achten sollte.
Warum ausgedachte Passwörter schwächer sind, als sie sich anfühlen
Menschen sind schlecht im Zufall. Wir nehmen den Namen der Katze, hängen das Geburtsjahr an und setzen ein Ausrufezeichen ans Ende. Angreifer kennen diese Muster und probieren sie zuerst. Ein Passwortgenerator umgeht das Problem, weil er Zeichen tatsächlich zufällig auswählt. Man stellt die Länge ein, entscheidet über Sonderzeichen und bekommt eine Folge, hinter der kein Muster steckt. Sechzehn Zeichen sind ein sinnvoller Mindestwert, mehr schadet nicht.
Und merken muss man sich das Ergebnis nicht, denn dafür gibt es Passwortmanager. Wichtiger als ein exotisches Sonderzeichen ist ohnehin die Länge, denn jedes zusätzliche Zeichen macht das Durchprobieren deutlich aufwendiger.
Das eigentliche Risiko heißt Wiederverwendung
Gehackt werden muss dafür selten jemand direkt. Häufiger verliert ein Onlineshop Kundendaten, bei dem man sich vor Jahren mit der üblichen E-Mail-Adresse und dem üblichen Passwort angemeldet hat. Die Daten landen in Listen, und Programme testen die Kombination automatisch bei hunderten anderen Diensten. Fachleute nennen das Credential Stuffing. Das Prinzip ist banal, die Trefferquote leider nicht.
Es funktioniert nur, weil Passwörter mehrfach benutzt werden. Hat jedes Konto sein eigenes, läuft der Angriff ins Leere, selbst wenn irgendwo ein Anbieter ein Leck hat. Der Schaden bleibt dann auf einen Dienst begrenzt und greift nicht auf Mail-Konto, Onlinebanking und Ladeapp gleichzeitig über.
Was ein Generator allein nicht erledigt
Das beste Passwort nützt wenig, wenn der Tresor dahinter schlecht gesichert ist. Das Master-Passwort des Managers sollte deshalb lang sein und nirgends sonst vorkommen. Viele nehmen dafür einen Satz aus mehreren zufälligen Wörtern, der sich gut merken lässt.
Wo ein zweiter Faktor angeboten wird, etwa ein Code aus einer Authentifizierungs-App, sollte er eingeschaltet sein. Er hilft auch dann, wenn ein Passwort doch einmal in falsche Hände gerät. Dazu kommt Misstrauen gegenüber Nachrichten mit Link. Eine SMS, die vor einer angeblich gesperrten Karte warnt und den Login gleich mitliefert, wirkt auf jemanden, der gerade tatsächlich eine Karte nutzt, ziemlich plausibel. Wer die App direkt öffnet, statt auf den Link zu tippen, spart sich den Ärger.
Zurück zur Ladesäule: Was auf dem Spiel steht
Ladekonten zeigen ganz gut, warum das alles kein Selbstzweck ist. Wer Zugriff hat, kann auf fremde Kosten laden oder ein Prepaid-Guthaben leeren. Viele Karten funktionieren im Roaming bei zahlreichen Betreibern, ein gestohlener Zugang gilt also an vielen Säulen. Weniger Beachtung findet die Ladehistorie. Sie zeigt, wo das Auto wie lange stand und zu welchen Uhrzeiten regelmäßig geladen wird. Aus wenigen Wochen Daten lässt sich also sogar ablesen, wann jemand zu Hause ist und wann nicht.
Gleiches gilt für Hersteller-Apps, die Konto, Fahrzeug und Standort verknüpfen. Das sind Daten, die man ungern in fremden Händen weiß.
Ein Nachmittag Arbeit
Der Aufwand ist überschaubar. Zuerst werden alle Konten gesammelt: Mail, Banking, Shops, Streaming, dazu Ladekarte, Lade-App und Herstellerportal. Dann bekommt jedes ein neues, erzeugtes Passwort, das direkt im Manager landet. Mit den Konten, an denen Geld oder persönliche Daten hängen, fängt man an, der Rest folgt nach und nach.
Geteilte Zugänge verdienen einen zweiten Blick. Wenn zwei Personen eine Ladekarte nutzen oder im Betrieb ein ganzer Fuhrpark, wandert das Passwort oft per Messenger von Hand zu Hand und bleibt monatelang gleich. Besser ist ein eigener Zugang pro Person, sofern der Anbieter das anbietet. Dann lässt sich im Zweifel nachvollziehen, wer wann geladen hat, und ein Austausch betrifft nicht alle.
Danach reicht ein Blick pro Monat auf die Abrechnung, denn kleine Beträge fallen sonst nicht auf. Wer die Passwörter einmal sauber aufgesetzt hat, muss sich auf Jahre kaum noch darum kümmern.