Katalog
concept#Sicherheit#Softwareentwicklung#Integration#Zuverlässigkeit

Passwortbasierte Authentifizierung

Ein einfaches Authentifizierungsverfahren, bei dem Benutzer:innen ein geheimes Passwort bereitstellen. Es ist weit verbreitet, benötigt jedoch sichere Speicherung, starke Passwortrichtlinien und Schutzmechanismen gegen Angriffe.

Passwortbasierte Authentifizierung prüft die Identität von Benutzer:innen durch Vergleich eines geheimen Zeichensatzes beim Anmelden mit einem gespeicherten Verifier.
Etabliert
Mittel

Klassifikation

  • Mittel
  • Technisch
  • Architektur
  • Fortgeschritten

Technischer Kontext

Identity-Management-Systeme (z. B. LDAP, Active Directory)Monitoring- und SIEM-Systeme zur Erkennung von AuffälligkeitenE-Mail-Provider oder OTP-Dienste für Passwort‑Recovery

Prinzipien & Ziele

Passwörter niemals im Klartext speichern; nur geprüfte Hashfunktionen verwenden.Minimale Passwortlänge und Komplexitätsregeln mit Usability-Abwägung definieren.Angriffe durch Rate‑Limiting, Monitoring und Account‑Protection reduzieren.
Umsetzung
Unternehmen, Domäne, Team

Use Cases & Szenarien

Kompromisse

  • Kompro-mittierung großer Nutzergruppen bei Datenlecks.
  • Brute‑Force- und Credential‑Stuffing-Angriffe ohne Schutzmaßnahmen.
  • Schwache Implementierung (z. B. unsicheres Hashing) führt zu leichtem Missbrauch.
  • Verwenden adaptiver Hashfunktionen (Argon2, bcrypt) mit Salt
  • Ermöglichen von Passwort-Managern und Vermeidung unnötiger Komplexität
  • Implementieren von Monitoring, Alerting und regelmäßigen Penetrationstests

I/O & Ressourcen

  • Benutzeridentifikator (z. B. Benutzername oder E-Mail)
  • Passwort in Eingabeform
  • Aktuelle Passwort-Hash-Parameter und Salt
  • Authentifizierungs-Token oder Session
  • Audit-Log-Einträge
  • Fehlercodes und Feedback an Nutzer

Beschreibung

Passwortbasierte Authentifizierung prüft die Identität von Benutzer:innen durch Vergleich eines geheimen Zeichensatzes beim Anmelden mit einem gespeicherten Verifier. Sie ist einfach und verbreitet, verlangt jedoch sichere Speicherung, Passwortstärke‑ und Wiederherstellungsprozesse sowie Maßnahmen gegen Brute‑Force und Phishing. Organisationen müssen Richtlinien für Passwortlänge, Hashing‑Algorithmen und Monitoring implementieren.

✔

  • Einfachheit und breite Unterstützung in Anwendungen und Bibliotheken.
  • Geringe Einstiegshürde für Benutzer:innen und Entwickler:innen.
  • Direkte Kontrolle über Authentifizierungsprozesse ohne externe Abhängigkeiten.

✖

  • Passwörter sind anfällig für Diebstahl und Wiederverwendung.
  • Erfordert sichere Speicherung und regelmäßige Updates von Hashalgorithmen.
  • Benutzerfreundlichkeit sinkt bei zu strikten Richtlinien oder häufigen Änderungen.

  • Anzahl der erfolgreichen/fehlgeschlagenen Logins

    Verhältnis erfolgreicher zu fehlgeschlagenen Versuchen als Indikator für Missbrauch oder Benutzerprobleme.

  • Zeit bis zur Wiederherstellung nach Kompromittierung

    Messzeit vom Erkennen eines Vorfalls bis zur Wiederherstellung sicherer Zustände.

  • Anteil der Nutzer mit schwachen Passwörtern

    Prozentsatz an Konten, die definierte Mindestanforderungen nicht erfüllen.

Klassische Webplattform mit bcrypt

Server speichert bcrypt-Hashes, verlangt Mindestlänge und ermöglicht optional 2FA.

Unternehmensportal mit SSO-Fallback

Passwortauthentifizierung dient als Fallback, primär wird SSO verwendet; Passwortrichtlinien gelten streng.

IoT-Geräte mit lokalem Passwortschutz

Einfacher Passwortschutz auf Geräten, kombiniert mit Hardware-Backups und regelmäßigen Firmware-Updates.

1

Anforderungen definieren (Länge, Rotation, Recovery)

2

Hashing-Algorithmus wählen (z. B. Argon2) und parametrisieren

3

Schutzmechanismen hinzufügen: Rate‑Limiting, 2FA, Monitoring

4

Regelmäßige Sicherheitsüberprüfungen und Migrationspläne einplanen

⚠️ Technische Schulden & Engpässe

  • Alte Hashes in der Datenbank, die auf sichere Weise migriert werden müssen
  • Unzureichende Monitoring‑ und Alerting‑Regeln für Authentifizierungsfehler
  • Fehlende Dokumentation zu Passwort-Richtlinien und Ausnahmen
Rate‑Limiting bei hoher LastHashing‑Performance auf Ressourcenbegrenzten SystemenPasswort‑Reset‑Workflow und Supportaufwand
  • Einfaches MD5-Hashing ohne Salt in einer Legacy-Datenbank
  • E-Mail-basiertes Reset-Token ohne Ablaufzeit
  • Keine Begrenzung der Login-Versuche und keine Überwachung
  • Vergessen, Hash‑Parameter bei Algorithmuswechsel zu migrieren
  • Blindes Vertrauen auf Komplexitätsregeln statt auf Passwortmanager
  • Fehlende Überprüfung auf bekannte geleakte Passwörter
Sicherheitsbewusstes Software-DesignKenntnis sicherer Hashalgorithmen und Salt‑StrategienMonitoring und Incident‑Response‑Grundlagen
Schutz sensibler NutzerdatenRegulatorische Vorgaben (z. B. Datenschutz, Compliance)Benutzerfreundlichkeit und Akzeptanz
  • • Rechtliche Vorgaben zur Datenaufbewahrung und Meldung von Vorfällen
  • • Performance-Limits bei kostenspieligen Hashfunktionen
  • • Abhängigkeit von sekundären Kanälen (E-Mail/OTP) für Recovery