IT-Sicherheit: Marie hat Körbchengröße 75B!

Wie sich das Bundesministerium des Innern IT-Sicherheit vorstellt. Das schmerzt.

Eben war ich noch in der Wohnung irgendwas am einräumen, den Fernseher so nebenbei laufen, da sehe ich aus dem Augenwinkel (glaube es war ZDF) einen Werbespot, bei dem es mir wirklich die Socken ausgezogen hat.

Da sitzt ein Typ im Wohnzimmer mit dem Notebook und fragt seine Freundin, die so in ein Handtuch gewickelt im Badezimmer steht “Marie, welche Körbchengröße hast Du eigentlich?” (Diese Form der Unwissenheit wäre für die meisten Frauen ein Grund, den Typen zu verlassen…) Sie sagt ihm die Körbchengröße und er gibt in seinem Computer als Passwort MhKg75B! ein während der dazu murmelt Marie hat Körbchengröße 75B!.

Und dann die Einblendung des Auftraggebers: Deutschland sicher im Netz, im Auftrag des Bundesministeriums des Innern. Man solle doch sichere Passwörter wählen.

Wie kann man denn so einen Schwachsinn produzieren?

Von der chauvinistischen Tendenz auf Stammtisch-Niveau mal ganz abgesehen, das ist sicherheitstechnisch unvertretbar. Da stecken jede Menge Informationen drin, die nicht geheim sind. Den Vornamen der Freundin in ein Passwort zu verarbeiten gehört zu den schlechtesten Dingen, die man tun kann. Die Körbengröße ist auch ziemlich schlecht, denn da gibt es nicht so wahnsinnig viele, der Suchraum ist gering. Insbesondere dann, wenn man die Zielperson kennt (oder zumindest weiß wie sie aussieht) kann das geübte Auge des Mannes durchaus die Größe abschätzen. Und wenn nicht, sucht man halt die paar in Deutschland gängigen Körbchengrößen durch. Wieviel Prozent der Frauen haben eigentlich 75B ?

Und weil dieser Werbespot wahrscheinlich einen großen Teil der männlichen Zuschauer anspricht, dürften erstaunlich viele auf die Idee kommen, ihr Passwort nach Körbchengrößen auszurichten.

Also dürften in nächster Zeit erstaunlich viele Passworte nach diesem dümmlichen Schema gewählt werden.

• Macht so ca. 26 Buchstaben auf der ersten Stelle des Passwortes als Anfangsbuchstabe des Namens. Mit Wahrscheinlichkeitsverteilung. Wer kennt Frauennamen, die mit Ü, Ö, Q, X, Y anfangen? Wieviele Leute sind mit einer Xanthippe verheiratet? (Eine böse Nebenbemerkung zu einem neuen einmaligen Frauennamen mit Z verkneife ich mir hier).
• Dazu die Körbchengrößen nach DIN EN 13402, die übrigens auch nicht gleichverteilt sind.
• Der Rest des Schemas _hKg___! ist konstant.

Nimmt man mal so die 5 häufigsten Anfangsbuchstaben von Frauennamen im Kreuzprodukt mit den fünf häufigsten Körbchengrößen, oder macht man mal überhaupt aus der Wahrscheinlichkeitsverteilung eine Wahrscheinlichkeitsliste für dieses Passwortschema und nimmt die Top 20, kann man bestimmt gut Passworte knacken.

Laut dieser Tabelle ist der häufigste Frauenname Maria. Googelt man danach, findet man mal 75B als häufigste europäische oder 80B nach Angaben eines BH-Herstellers als häufigste (deutsche?) Körbchengröße.

Damit hat das Beispiel aus der Fernsehwerbung (Marie hat 75B) ausgerechnet die Variante erwischt, die am häufigsten vorkommen dürfte (Marie ist zwar nicht Maria, aber es kommt ja nur auf den ersten Buchstaben an). Von denen, die diesem dusseligen Schema folgen, dürften in der Tat die meisten genau auf das Passwort aus der Werbung kommen: MhKg75B!

Und sowas nennen die Passwortsicherheit? Liebe Güte.

Kleine Anmerkung: Nur weil Maria der häufigste Frauenname ist, heißt das nicht auch, daß M der häufigste Anfangsbuchstabe ist, denn es könnten ja weniger häufige Namen mit einem anderen Buchstaben in der Summe häufiger als die mit M sein. Müßte man halt mal auswerten. Ändert aber am Prinzip nichts.

Nachtrag: Der Werbespot zeigt nur einen Mann, der ein Passwort eingibt und an der Körbchengröße seiner Frau/Freundin ausrichtet. Die Frage wäre wirklich, ob Frauen, die sich ein Passwort ausdenken sollen, das dann nach Auffassung des Innenministeriums an der Länge seines … festmachen sollen.