Hi @Myrddin,
danke für deine unvoreingenommene Stellungnahme.
Ein Teilgedanke hinter dem Erstellen eines weiteres Threads bezüglich der Thematik war auch mit dieser 3. Punkt. Ich wollte ganz einfach nicht, dass das irgendwie in den Antworten eines anderen Threads untergeht.
Zu 2.:
Ich verstehe vollkommen, was du meinst - und hab mir darüber auch schon während meines ersten Posts Gedanken gemacht, aber aufgrund der Länge und Komplexität dann doch verzichtet, darauf einzugehen.
Deswegen an dieser Stelle:
Im Bereich IT-Sicherheit gibt es leider keinen vollständigen Schutz. Den wird und den kann es nie geben. Daher geht es meist darum, die Angriffsvektoren und das Risiko zu minimieren. Man muss also immer zwischen Risikominimierung und Entwicklungsaufwand abwägen.
Im Falle der Beschränkung der Passwortlänge sehe ich allerdings eine mir nicht nachvollziehbare Entscheidung, da ich mir nicht vorstellen kann, dass der Aufwand, längere Passwörter zu speichern den Aufwand, ein System zu entwerfen, das dies explizit verbietet, übersteigt.
In einem sicheren System sollte ein Passwort in einer Datenbank niemals im Klartext gespeichert sein, sondern vorher kryptographisch gehasht worden sein. Dazu verwendet man zudem Pepper und Salt, was gewisse Angriffe nahezu ausschließt. Wichtig ist dabei, dass der Pepper an einer anderen Stelle im System gespeichert ist, als die eigentlichen Passwort-Hashes. Damit erreicht man, dass beide Teile für sich alleine nicht brauchbar für einen Angreifer sind. Was das Beispiel zeigen soll:
Ein sicheres System ist selbst gegen die Entwickler dessen bestmöglichst geschützt.
Das Argument, dass wenn jemand bis zu der Passwortdatenbank vorgedrungen ist, er noch viel mehr machen könnte, ist also eher schwach. In einem sicheren System sollte dies nämlich ausgeschlossen sein.
Da die Consorsbank uns aus sehr verständlichen Gründen wohl kaum ihr gesamtes Sicherheitskonzept erläutern wird, müssen wir in dieser Hinsicht auf die Kompetenz der IT-Abteilung vertrauen, was auch soweit vollkommen in Ordnung ist.
Es gibt allerdings Bereiche, die in der IT-Sicherheit und in der Kryptographie gerne doch der Allgemeinheit anvertraut werden. Das fängt bei der Benutzung von bekannten, öffentlichen kryptographischen Algorithmen an und hört - und das ist jetzt meine Ansicht - bei der Bereitstellung eines adäquaten Passwortwahlmechanismus auf.
Selbst wenn alle Consorsbank-Mitarbeiter vertrauenswürdig sind, muss dies nicht für die Serverbereiber gelten. Möglicherweise sind bestimmte Teile der IT-Infrastruktur ausgelagert. Möglicherweise werden die Server von einem anderen Unternehmen gehostet, die nur als Dienstleister arbeiten. Das ist durchaus gewöhnlich, ich habe selbst bereits in einem derartigen Unternehmen gearbeitet.
Bitte nicht falsch verstehen - ich möchte hier niemandem auf den Schlips treten! Es muss nicht einmal die Schuld eines Mitarbeiters sein. Systemfehler, Bugs, Exploits, ein Hacker, eine andere Schwachstelle. Ein Programm, das eine neue Sicherheitslücke besitzt. Es geht nur um Risikominimierung. Ich hasse diesen Satz selbst, aber: Es geht um's Prinzip. Und ich sehe wirklich kein Argument für die bewusste Einführung (und ich sehe es nicht als Feature es zu entfernen, ich denke die Limitierung des Passworts ist gewollt!) einer begrenzten Passwortlänge, die im Endeffekt keinen Beitrag zur Verbesserung der Sicherheit darstellt.
Mich würde an dieser Stelle einfach auch nur das offizielle Statement dazu interessieren, warum es Sinn macht, die Passwortlänge zu begrenzen. Und nochmal: Ich denke, dass diese Designentscheidung so getroffen wurde und es nicht andersherum ist - nämlich dass es aufwändiger gewesen wäre ein längeres Passwort zuzulassen.
An dieser Stelle auch nochmal der Hinweis auf diesen Artikel, der das in noch ausführlicherer Weise beschreibt: https://www.troyhunt.com/the-cobra-effect-that-is-disabling/
Zumindest mir sind keine in Deutschland oder sonstwo auf der Welt bekannten anerkannten Regulatorien oder Standards in Erinnerung, die eine Beschränkung der Passwortlänge als gutes Sicherheitsmerkmal einstufen. Falls doch, lass ich mich gerne überraschen.
TL;DR: Mir würde also tatsächlich eine offizielle Antwort ala "wir haben das damals so gemacht, es ist aber vielleicht wirklich nicht so gut - es ist für uns aber aktuell zu aufwändig, das zu ändern" mehr zufriedenstellen als die Aussage "das ist sicher, Ende".
Denn dass wir hier eine große Sicherheitslücke haben, habe ich nie behauptet. Es geht mir nur um die Transparenz, die man in diesem Punkt umsetzen sollte.
Anders für den 2FA-Vorschlag: Das ist wirklich etwas, das mir wirklich am Herzen liegen würde.
In Zeiten, in denen ohne 2FA nicht mal die Accounts von Mark Zuckerberg vor feindlicher Übernahme sicher sind, sollte man vielleicht auf diesen Zug aufspringen.
Passwort-Dumps/Leaks sind heutzutage keine Seltenheit mehr. Mit 2FA wäre das nicht passiert.
Und ich bin mir durchaus bewusst, dass gerade stark regulierte Bereiche wie der Bankensektor bei sowas immer noch hinterherhinken. Also wieso nicht als positives Beispiel vorangehen mit vollständiger (!) 2FA? (Quelle: https://twofactorauth.org/)
Tut mir Leid für die Länge meiner Posts, aber vielleicht interessiert es ja tatsächlich irgendwen. 🙂
