Vorbeugende und korrigierende Maßnahmen

Ordne diese drei Passwörter von der geringsten zur höchsten Sicherheit und erkläre das Kriterium, nach dem du vorgegangen bist: „luna2024", „Tr3s!TristesTigres", „123456".

Welche persönlichen Daten sollten niemals in einem Passwort vorkommen (dein Geburtsjahr, der Name deines Haustiers, dein Fußballverein)? Erkläre, warum genau diese die Ersten sind, die ein Angreifer ausprobiert, der dich kennt oder dich in sozialen Netzwerken ausforscht.

Erkläre, was die Sperre nach Fehlversuchen bei einem Smartphone oder einem Geldautomaten ist und wie sie eine nur vierstellige PIN zu einem vernünftigen Schutz macht, obwohl es nur wenige mögliche Kombinationen gibt.

Die Abbildung vergleicht die geschätzte Stärke zweier Passwörter.

Gib an, welches der beiden Passwörter sicherer ist, erkläre, welche Eigenschaften es stark machen, und begründe, welche Knackzeit im Vergleich dazu die mit ? markierte Lücke einnehmen würde.

Eine vierstellige PIN lässt $10^4$ mögliche Kombinationen zu. Berechne, wie viele Kombinationen eine sechsstellige PIN zulässt, und schätze, wie lange ein Programm höchstens bräuchte, um jede zu knacken, wenn es $1.000$ Kombinationen pro Sekunde ausprobiert. Welche Schlussfolgerung ziehst du daraus, wenn man einem Passwort weitere Zeichen hinzufügt?

Vergleiche diese beiden Passwörter: „X7#k9" mit fünf sehr ungewöhnlichen Zeichen und „casa verde luna rio", ein langer Satz aus gewöhnlichen Wörtern. Erkläre, was bei der Widerstandsfähigkeit eines Passworts mehr zählt, die Länge oder die Seltenheit der Zeichen, welches du dir besser merken könntest und welcher Angriffsart jedes ausgesetzt ist.

Ein Passwort mit acht Zeichen verwendet nur Kleinbuchstaben, also ein Alphabet aus $26$ Symbolen; ein anderes gleicher Länge verwendet Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen, ein Alphabet von etwa $70$ Symbolen. Schreibe die möglichen Kombinationen beider als Potenzen, $26^8$ und $70^8$, und begründe, ohne den genauen Wert zu berechnen, mit Zehnerpotenzen, wie viel mal widerstandsfähiger das zweite ist. Was schützt mehr: das Passwort zu verlängern oder das Alphabet zu erweitern?

Die Abbildung erklärt, wie ein Passwortmanager funktioniert.

Erkläre, was der mit ? markierte Tresor darstellt, welchen Vorteil es hat, sich nur ein einziges Master-Passwort zu merken, statt überall dasselbe Passwort zu verwenden, und welche besondere Vorsichtsmaßnahme dieses Master-Passwort erfordert.

Warum sagt man, dass das E-Mail-Konto das wichtigste Konto ist, das du schützen musst? Erkläre mit Blick auf die Schaltfläche „Passwort vergessen", was ein Angreifer, der deine E-Mails kontrolliert, mit all deinen anderen Konten machen kann.

Kommentiere diese Praxis: „Ich schreibe das Passwort auf einen Zettel, den ich unter die Tastatur klebe; ist ja nicht digital." Bewerte das tatsächliche Risiko und schlage zwei sicherere Alternativen vor, um wichtige Passwörter nicht zu vergessen.

Erkläre, was Sicherheitsfragen sind („Name deines ersten Haustiers?"), warum sie ein schwaches Glied darstellen, wenn man die Antworten in deinen sozialen Netzwerken finden kann, und welche Strategie du beim Beantworten nutzen kannst, ohne die Antworten später zu vergessen.

Ein Mitschüler speichert alle seine Passwörter in einer unverschlüsselten Textnotiz auf seinem Smartphone, die automatisch in der Cloud synchronisiert wird, und argumentiert: „Wenn ich einen Passwortmanager benutze und dessen Firma gehackt wird, werden mir alle auf einmal gestohlen; bei meiner Notiz auf dem Handy kann sie nur sehen, wer mir das Telefon physisch stiehlt."

1. a) Widerlege sein Argument, indem du zwei reale Situationen erklärst, in denen seine Passwörter offenliegen würden, ohne dass jemand ihm das Telefon physisch stiehlt oder seinen Entsperrcode kennt.
2. b) Begründe technisch, wie ein Passwortmanager die Informationen bei einem Datenabfluss auf seinen eigenen Servern schützt (Konzept der Ende-zu-Ende-Verschlüsselung) und welchen Vorteil er gegenüber der Textnotiz bietet.

Erkläre, was die Zwei-Faktor-Authentifizierung ist und warum sie dein Konto schützt, selbst wenn jemand dein Passwort stiehlt.

Eine Banking-App schlägt vor, alle geschriebenen Passwörter vollständig durch Gesichtserkennung oder Fingerabdruck zu ersetzen, mit dem Argument: „Dein Gesicht und dein Finger sind einzigartig und können weder vergessen noch falsch eingetippt werden."

1. a) Widerlege den Vorschlag der Bank, indem du technisch begründest, warum ein biometrisches Merkmal nicht das einzige Authentifizierungsgeheimnis sein sollte, und gegenüberstellst, was passiert, wenn ein Passwort abfließt, und was, wenn eine biometrische Vorlage abfließt.
2. b) Entwirf ein Multifaktor-Authentifizierungsverfahren (MFA) zur Freigabe hoher Banküberweisungen, das mindestens zwei Faktoren unterschiedlicher Art kombiniert (etwas, das du weißt, etwas, das du besitzt, oder etwas, das du bist), und begründe, warum es auch dem physischen Diebstahl des Smartphones standhält.

Priorisiere diese Liste von Konten für die Aktivierung der Zwei-Faktor-Authentifizierung, von unverzichtbar bis verzichtbar, und begründe dein Kriterium: E-Mail-Konto, Bank, Lieblingsvideospiel, soziales Netzwerk, Plattform der Schule. Schließe mit der Überlegung ab, ob es sinnvoll ist, überall die höchste Sicherheit einzusetzen.

Dein Smartphone weist dich seit Monaten auf ein Systemupdate hin und du tippst immer auf „Später". Erkläre, welches konkrete Risiko du in Kauf nimmst und welcher Zusammenhang zwischen Updates und bereits öffentlich bekannten Sicherheitslücken besteht.

Du bist mit dem kostenlosen WLAN eines Cafés verbunden und musst auf dein Bankkonto zugreifen. Erkläre, welche Risiken ein öffentliches WLAN hat, welche technischen Vorkehrungen es sicherer machen (HTTPS, VPN, mobile Daten nutzen) und welche Vorgänge man besser nie darüber ausführt.

Ein Bekannter behauptet: „Ich habe ein sehr leistungsfähiges kostenpflichtiges Antivirenprogramm installiert, also ist es mir egal, ein einfaches Passwort für alle meine Konten zu benutzen, und ich muss auch keine Zeit mit den Updates des Betriebssystems verschwenden."

1. a) Sage detailliert ein Angriffsszenario voraus, in dem ein Cyberkrimineller die Kontrolle über seinen Rechner oder seine persönlichen Konten übernimmt, ohne dass das Antivirenprogramm irgendeinen Alarm auslöst (z. B. durch eine ungepatchte Sicherheitslücke im System oder durch Brute-Force und Social Engineering).
2. b) Begründe anhand des Prinzips der gestaffelten Verteidigung (Defense in Depth), warum ein einzelner Sicherheitsmechanismus nie ausreicht, und erkläre, wie sich drei verschiedene Schutzebenen (Systemupdates, Authentifizierung und aktiver Schutz) ergänzen müssen, um die Bedrohung abzuwehren, wenn eine davon versagt.

Bei der Registrierung in einer kostenlosen Web-App zur Bildbearbeitung bietet dir die Plattform an, auf „Mit Google anmelden" zu klicken. Bevor du eintrittst, fragt ein Fenster die Erlaubnis für den Zugriff auf deinen Namen und deine E-Mail-Adresse ab, verlangt aber zusätzlich Berechtigungen, um „deine Google-Drive-Dateien anzusehen, zu bearbeiten und zu löschen".

1. a) Interpretiere die angeforderten Berechtigungen und begründe, warum ihre Gewährung in diesem konkreten Fall einen Verstoß gegen das Prinzip der minimalen Rechte (Least Privilege) darstellt.
2. b) Analysiere das Risiko des „Single Point of Failure" für einen Nutzer, der sein Google-Konto als Zugangsschlüssel für mehr als zwanzig verschiedene Internetdienste verwendet. Sage die unmittelbaren Folgen voraus, wenn das Hauptkonto gestohlen wird, und entwirf ein Verfahren in drei Schritten, um Zugriffe regelmäßig zu überprüfen und zu widerrufen.

Ein soziales Netzwerk erlebt einen Datenabfluss und deine E-Mail-Adresse steht auf der Liste der betroffenen Konten. Beschreibe Schritt für Schritt und der Reihe nach, was du ab diesem Moment tun würdest: welche Passwörter du änderst, was du bei anderen Konten überprüfst und welchen zusätzlichen Schutz du aktivierst.

Ein Dienst warnt dich: „Es wurde eine Anmeldung aus einem anderen Land erkannt." Beschreibe Schritt für Schritt und der Reihe nach, was du ab dieser Meldung tun würdest: wie du bestätigst, ob du es warst, welche Zugangsdaten du änderst, wo du die geöffneten Sitzungen überprüfst und welchen Schutz du anschließend aktivierst.

Nachdem die Datenbank mit E-Mail-Adressen und Passwörtern eines Online-Modeshops abgeflossen ist, erleben mehrere Kunden unbefugte Zugriffe auf ihre Bank- und E-Mail-Konten, obwohl diese Anbieter keine Sicherheitspanne hatten.

1. a) Begründe das automatisierte technische Verfahren, mit dem Angreifer anhand der abgeflossenen Daten in die anderen Konten eindringen, und erkläre, warum ein langes und komplexes Passwort nicht mehr sicher ist, sobald es mehrfach verwendet wird.
2. b) Ein betroffener Nutzer behauptet: „Wenn ich das Passwort des gehackten Modeshops ändere, bin ich schon sicher." Widerlege seine Aussage, indem du die tatsächlichen Risiken vorhersagst, denen er weiterhin ausgesetzt ist, und entwirf ein Sofortmaßnahmen-Protokoll in drei Schritten, um seine digitale Identität zu schützen.

Eine Familie speichert auf ihrem Desktop-PC 400 GB an Fotos und amtlichen Dokumenten, die unersetzlich sind. Als Vorsichtsmaßnahme legen sie wöchentlich eine Kopie auf einer externen USB-Festplatte an, die immer am Rechner angeschlossen bleibt.

1. a) Begründe, warum diese Maßnahme gegenüber zwei konkreten Bedrohungen nicht ausreicht: einem Ransomware-Angriff und einer Überspannung im Stromnetz der Wohnung.
2. b) Entwirf eine wirksame Backup-Strategie nach der 3-2-1-Regel, die auf diese Familie zugeschnitten ist: Lege fest, welche Datenträger verwendet werden, wo die Kopien physisch aufbewahrt werden sollen und in welchen Abständen sie aktualisiert werden müssen, und begründe jede technische Entscheidung.

Entwirf die Passwortrichtlinie für die Website eines Sportvereins, der Daten von Minderjährigen speichert: Mindestlänge, Zwei-Faktor-Authentifizierung für Trainer und Vorstand, wie mit dem gemeinsamen Mannschaftskonto umzugehen ist und wie man weniger erfahrenen Familien helfen kann, die Richtlinie einzuhalten.

Herausforderung zum Thema. Werde IT-Sicherheitsauditor und entwirf einen „Digitalen Schutzplan für die Familie", um dein Umfeld gegen die Risiken des Netzes abzusichern.

Gehe in diesen Phasen vor:

1. Erhebung realer Daten: Befrage $4$ oder $5$ Personen aus deinem Umfeld zu ihren digitalen Gewohnheiten (Passwortverwaltung, Backups, Klicks auf unbekannte Links). Vergleiche deine Ergebnisse mit Daten des BSI oder des Statistischen Bundesamts, bei denen Online-Betrug mehr als $85,0$ % der angezeigten Cyberstraftaten ausmacht.

2. Diagnose der Schwachstellen: Klassifiziere die beobachteten Risiken, indem du sie mit konkreten Bedrohungen verknüpfst: Schadsoftware (Trojaner, Ransomware, Viren) und Social Engineering (Phishing, Smishing oder Identitätsdiebstahl).

3. Handlungsleitfaden mit LibreOffice: Erstelle mit LibreOffice Writer einen kurzen Bericht oder Flyer (1-2 Seiten), der zehn vorbeugende Maßnahmen (Virenschutz, Passwortmanager, Zwei-Faktor-Authentifizierung) und ein korrigierendes Vorgehen für den Fall eines Angriffs oder einer Datenverschlüsselung durch Erpresser enthält.

Bewertet wird:

• Datenerhebung im Umfeld und sorgfältiger Abgleich mit offiziellen Quellen.

• Treffende Klassifizierung der erkannten Malware-Arten und Täuschungstechniken.

• Klarheit und tatsächlicher Nutzen der vorgeschlagenen vorbeugenden und korrigierenden Maßnahmen.