Omas Passwort

„KevIn“, sagte Gisela an einem Dienstagabend, „die Bank will schon wieder mein Passwort.“

„Das ist normal. Die Bank möchte sicher sein, dass du es bist.“

„Ich bin es doch.“

„Das weiß ich. Die Bank kennt dich nicht so gut.“

Gisela hob das Tablet hoch, dann die kleine Tastatur, die Tobi ihr dazu gekauft hatte, weil sie „auf Glas nicht tippen“ wollte. Darunter klebte ein gelber Zettel. Darauf stand in ihrer ordentlichen Schulschrift: „Heinz1944“.

Darunter, in kleinerer Schrift: „Für alles.“

KevIns Licht pulsierte einmal, langsamer als sonst. Irgendwo zwischen Dublin und Frankfurt lief ein Lüfter etwas schneller.

„Gisela“, sagte er vorsichtig. „Darf ich dich etwas fragen?“

„Wenn’s nicht um Marlies geht.“

„Wofür genau benutzt du dieses Passwort?“

Gisela zählte an den Fingern ab. „Bank. E-Mail. Das Ding, wo man Schuhe bestellt. Die Apotheke. Die Kegelclub-Gruppe. Das Wetter.“

„Das Wetter braucht kein Passwort.“

„Da hab ich’s trotzdem eingegeben. Sicher ist sicher.“

Ein Zettel unter der Tastatur

Sabine kam mit einem Wäschekorb vorbei und blieb stehen. „Mama, du hast dein Passwort unter die Tastatur geklebt?“

„Wo soll ich es denn sonst hinkleben? Unter die Tastatur guckt keiner.“

„Da guckt jeder“, sagte Tobi von der Treppe aus. „Das ist der erste Ort, wo jeder guckt. In jedem Film.“

„Ich bin aber nicht in einem Film.“

„Das“, sagte KevIn, „ist leider nicht das Problem. Das Problem ist nicht der Zettel. Das Problem ist, was draufsteht.“

Gisela sah den Zettel an, als hätte er sie beleidigt. „Was ist denn verkehrt an Heinz?“

„An Heinz nichts. Heinz war bestimmt ein wunderbarer Mann.“

„Er war Elektriker.“

„Ich weiß. Aber ‚Heinz1944‘ besteht aus einem Vornamen und einer Jahreszahl. Das ist das Erste, was jemand ausprobiert, der Passwörter errät. Ein Name, eine Zahl, fertig. Es gibt Programme, die genau das tun. Sie nehmen alle Vornamen, hängen alle Jahreszahlen dran und probieren. Ein normaler Rechner schafft das schneller, als du ‚Kohlroulade‘ sagen kannst.“

„Kohlroulade“, sagte Gisela, sehr schnell.

„Schneller.“

Uwe kam aus dem Keller, wo er versucht hatte, Horsts Ladestation umzustellen, weil Horst seit dem Smart-Home-Streik sonntags gern im Flur parkte. „Was ist los?“

„Mama hat für alles dasselbe Passwort“, sagte Sabine.

Uwe zuckte mit den Schultern. „Ich auch.“

Es wurde still. Sabine stellte den Wäschekorb ab.

„Welches?“

„Das sag ich doch nicht.“

„Schalke04“, sagte KevIn.

Uwe starrte den Lautsprecher an. „Woher weißt du das?“

„Ich wusste es nicht“, sagte KevIn. „Ich habe geraten. Es ist eines der häufigsten Passwörter im Ruhrgebiet. Ich habe sehr gebildet geraten.“

Siggi wird gehackt

Am nächsten Morgen klingelte es um halb acht. Vor der Tür stand Herr Kasimiro von nebenan, im Bademantel, und hielt einen kleinen schwarzen Zylinder im Arm wie ein krankes Haustier.

„Siggi hat siebzehn Gartenzwerge bestellt“, sagte er. „Und eine Massagematte. Und Druckerpatronen für einen Drucker, den ich nicht habe. Alles an eine Adresse in Gelsenkirchen.“

Siggi war Herrn Kasimiros Sprachassistent. Er war ein Sonderangebot von einer Firma, deren Namen niemand richtig aussprechen konnte, und er verwechselte gern Dinge. Einmal hatte er auf „Siggi, mach das Radio leiser“ hin den Herd höher gedreht. Herr Kasimiro hatte das damals für einen Einzelfall gehalten.

„Siggi hat das nicht von selbst gemacht“, sagte KevIn, nachdem Herr Kasimiro in der Küche saß und Sabine ihm einen Kaffee hingestellt hatte. „Jemand hat sich in Ihr Kundenkonto eingeloggt. Darf ich fragen, welches Passwort Sie benutzen?“

Herr Kasimiro sah sich um. Dann flüsterte er: „Siggi123.“

„Und wo noch?“

„Überall.“

„Auch bei dem Forum für Modelleisenbahnen, das im Frühjahr in den Nachrichten war?“

Herr Kasimiro wurde blass. „Die wurden gehackt?“

„Es gab dort ein Datenleck. Ich kann nicht in fremde Konten schauen, aber ich kann Ihnen sagen, wie so etwas normalerweise abläuft. Irgendwo wird eine Datenbank gestohlen. Darin stehen E-Mail-Adressen und Passwörter. Dann nehmen Betrüger diese Liste und probieren sie automatisch bei hundert anderen Seiten aus. Beim Onlineshop. Bei der Bank. Bei Ihrem Sprachassistenten. Wenn Sie überall dasselbe Passwort haben, passt ein gestohlener Schlüssel in alle Türen.“

„Wie heißt das?“

„Credential Stuffing. Man stopft gestohlene Zugangsdaten in jedes Schloss, das man findet.“

„Wie eine Gans“, sagte Gisela.

„Fast genau wie eine Gans.“

Siggi meldete sich in diesem Moment aus Herrn Kasimiros Arm. „Ich habe Gartenzwerg in den Warenkorb gelegt.“

„Siggi, aus!“, rief Herr Kasimiro.

„Ich habe Gartenzwerg aus Warenkorb entfernt. Ich habe Aus-Schalter in den Warenkorb gelegt.“

Uwe musste sich setzen.

Der Fleischwolf

Nachdem Herr Kasimiro mit Tobis Hilfe sein Passwort geändert und den Onlineshop angerufen hatte, saß die Familie beim Frühstück. Gisela war nachdenklich.

„KevIn, wenn die Seite von Herrn Kasimiro die Passwörter hatte, dann hat die Bank meins doch auch. Dann kann es ja auch geklaut werden.“

„Eine gute Frage. Ordentliche Seiten speichern dein Passwort gar nicht.“

„Wie wollen die denn dann wissen, ob ich das richtige eingebe?“

KevIn überlegte, wie er das erklären sollte. Dann fiel ihm ein, dass Gisela am Morgen angekündigt hatte, den Fleischwolf aus dem Keller zu holen. Am Wochenende sollte es wieder Kohlrouladen geben, und Gisela traute fertigem Hack nicht. Der Fleischwolf war aus Gusseisen, ein Erbstück, und wurde an die Tischkante geschraubt wie ein Schraubstock.

„Gisela, was passiert, wenn du Fleisch in deinen Fleischwolf steckst?“

„Dann kommt Hack raus.“

„Und wenn du das Hack wieder oben reinsteckst und rückwärts drehst?“

Gisela sah ihn mitleidig an. „Dann kommt kein Schnitzel raus, KevIn. Das weiß jedes Kind.“

„Genau. So funktioniert eine Hashfunktion. Man steckt etwas hinein, ein Passwort, einen Text, eine ganze Datei, und heraus kommt ein Klumpen Zahlen und Buchstaben. Immer gleich lang, egal wie viel man hineingesteckt hat. Und man kann aus dem Klumpen nicht zurückrechnen, was vorher drin war.“

„Und wozu soll das gut sein?“, fragte Uwe. „Wenn man’s nicht zurückdrehen kann?“

„Weil derselbe Eingang immer dasselbe Hack ergibt. Die Bank speichert nicht ‚Heinz1944‘. Die Bank speichert nur das Hack davon. Wenn Gisela sich anmeldet, wirft die Bank das, was sie eintippt, in denselben Fleischwolf und vergleicht das Hack. Passt es, ist es das richtige Passwort. Die Bank muss das Passwort selbst gar nicht kennen.“

Sabine nickte langsam. „Wie wenn ich Mamas Hackfleisch probiere und sofort weiß, ob sie Majoran drin hat.“

„Fast. Nur dass du beim Hackfleisch schmeckst, was drin ist. Beim Hash schmeckt man gar nichts. Man kann nur vergleichen: gleich oder nicht gleich.“

Ein Buchstabe Unterschied

Tobi hatte inzwischen den Laptop geholt. „Zeig mal.“

„Gern. Das gängige Verfahren heißt SHA-256¹. Wenn du ‚Heinz1944‘ hineinsteckst, kommt eine lange Zeichenkette heraus, die so anfängt: d0f1e213.“

Tobi tippte. „Stimmt. Und dann noch ganz viel.“

„Vierundsechzig Zeichen insgesamt. Jetzt nimm ‚Heinz1945‘.“

„3e6d031e“, las Tobi vor. „Das ist ja was ganz anderes!“

„Genau. Eine winzige Änderung, eine Zahl, und das ganze Hack sieht anders aus. Nicht ein bisschen anders. Völlig anders. Probier noch ‚heinz1944‘ mit kleinem h.“

„20746461 …“

„Siehst du. Ein Fingerabdruck. Jeder Text hat seinen eigenen, und schon ein Komma macht einen neuen. Das nennt man den Lawineneffekt.“

„Lawine“, sagte Gisela. „Im Ruhrgebiet.“

„Wir hatten auch noch nie eine. Deshalb nennen wir das hier den Fleischwolf-Effekt.“

Uwe runzelte die Stirn. „Und wenn zwei verschiedene Sachen zufällig dasselbe Hack ergeben?“

„Das nennt man eine Kollision. Bei SHA-256 ist das theoretisch möglich, aber es ist noch nie jemandem gelungen, eine zu finden. Es gibt mehr mögliche Fingerabdrücke als Atome in der Milchstraße. Viel mehr.“

„Woher weißt du das?“

„Ich habe nachgerechnet. Mit dem Taschenrechner. Seit dem Finanzamt rechne ich nicht mehr im Kopf.“

Das Salz

„Aber“, sagte Tobi, der jetzt richtig wach war, „wenn der Hash von ‚Heinz1944‘ immer gleich ist, dann kann doch ein Hacker einfach eine Liste machen. Alle Namen mit allen Jahreszahlen, und daneben den Hash. Und dann guckt er in der gestohlenen Datenbank nach, welcher Hash passt.“

„Sehr gut, Tobi. Genau das machen sie. Solche vorgekochten Listen gibt es wirklich, mit Milliarden Einträgen². Deshalb kommt noch etwas dazu. Bevor die Seite das Passwort in den Fleischwolf steckt, streut sie etwas Zufälliges dazu. Für jeden Menschen etwas anderes. Und das nennt man …“

KevIn machte eine Pause, weil er ahnte, was kommen würde.

„… Salz.“

Gisela lachte so laut, dass Rudi unter dem Tisch aufsprang und einmal bellte.

„Salz!“, sagte sie und wischte sich die Augen. „Die Computerleute salzen ihre Passwörter! Heinz hätte sich weggeschmissen.“

„Es heißt wirklich so. Ein Salt³. Eine zufällige Zeichenfolge, die vor dem Hashen an das Passwort gehängt wird. Dann ist ‚Heinz1944‘ bei dir ein ganz anderes Hack als ‚Heinz1944‘ bei Herrn Kasimiros Cousine.“

„Die heißt Heinz?“

„Das war ein Beispiel.“

„Und die vorgekochten Listen helfen dann nicht mehr“, sagte Tobi langsam, „weil der Hacker für jeden einzelnen Menschen neu kochen müsste.“

„Exakt. Und die guten Seiten machen es dem Hacker noch schwerer. Sie drehen den Fleischwolf nicht einmal, sondern zehntausendmal hintereinander, oder sie nehmen besondere Verfahren, die absichtlich langsam sind und viel Speicher brauchen. Für dich beim Anmelden ist das ein Wimpernschlag. Für jemanden, der Milliarden Passwörter durchprobieren will, ist es eine Ewigkeit.“

„Und die schlechten Seiten?“, fragte Sabine.

„Die speichern manchmal das Passwort im Klartext. Wie einen Zettel unter der Tastatur.“

Alle sahen Gisela an. Gisela sah den Zettel an.

„Aber“, sagte sie, „wenn die Bank ordentlich salzt, dann ist doch alles gut.“

„Nicht ganz. Salz schützt vor den vorgekochten Listen. Aber wenn dein Passwort ‚Heinz1944‘ ist, probiert ein Angreifer es trotzdem als eines der ersten. Salz macht ein schlechtes Passwort nicht gut. Es macht nur ein gutes Passwort noch besser.“

„Wie bei der Suppe“, sagte Gisela. „Eine schlechte Brühe wird auch durch Salz nicht besser.“

„Gisela, ich hätte es nicht besser sagen können. Ich habe es eben versucht.“

Lang statt kompliziert

„Und was soll ich dann nehmen?“, fragte Gisela. „Diese Dinger mit Sternchen und Ausrufezeichen und Zahlen? Die kann ich mir nicht merken.“

„Musst du auch nicht. Früher dachte man, ein gutes Passwort muss kompliziert sein. ‚X7!kq$9p‘. Heute weiß man: Lang ist wichtiger als kompliziert⁴. Jedes zusätzliche Zeichen macht das Raten sehr viel schwerer. Nimm einen Satz. Vier, fünf Wörter, die nicht zusammengehören, die sich aber für dich ein Bild ergeben.“

„Zum Beispiel?“

„Zum Beispiel: ‚Rudi isst gern Kohlrouladen im Kegelclub.‘“

Unter dem Tisch hob Rudi den Kopf.

„Rudi darf keine Kohlrouladen“, sagte Sabine.

„Deshalb kommt niemand darauf. Das ist ein Bild, das du dir merken kannst, Gisela, weil es so falsch ist. Und es hat über vierzig Zeichen. Einen solchen Satz zu erraten dauert mit heutigen Rechnern länger, als es die Erde noch gibt. Wenn er wirklich zufällig genug ist und nicht schon irgendwo im Internet steht.“

„Aber jetzt hast du ihn laut gesagt“, sagte Tobi. „Jetzt kennen wir ihn alle.“

KevIns Licht flackerte. „Gutes Argument. Gisela, bitte nimm einen anderen Satz. Und sag ihn mir nicht.“

Gisela dachte nach. Dann bewegten sich ihre Lippen, und sie lächelte. Niemand erfuhr je, was es war, aber Uwe behauptete später, er habe das Wort „Marlies“ erkannt.

Für jede Tür ein eigener Schlüssel

„Und jetzt muss ich für jede Seite so einen Satz haben?“, fragte Gisela. „Ich habe zweiundachtzig Jahre lang nur ein Schlüsselbund gebraucht.“

„Hast du nicht für jede Tür einen eigenen Schlüssel an dem Bund?“

Gisela holte ihr Schlüsselbund aus der Schürze. Haustür, Keller, Gartenhaus, Briefkasten, Kegelbahn, ein kleiner silberner, von dem keiner mehr wusste, wofür er war.

„Na gut“, sagte sie.

„Siehst du. Und für Passwörter gibt es auch ein Schlüsselbund. Das nennt man Passwortmanager. Ein Programm, das für jede Seite ein eigenes, langes, zufälliges Passwort erzeugt und es für dich aufbewahrt, sicher verschlossen. Du musst dir dann nur noch ein einziges merken. Das, mit dem du den Tresor aufmachst. Dafür nimmst du deinen Satz.“

„Und wenn jemand den Tresor klaut?“

„Dann hat er einen verschlossenen Tresor. Der Inhalt ist verschlüsselt. Ohne deinen Satz ist er Kauderwelsch.“

„Und wenn ich den Satz vergesse?“

KevIn zögerte. „Dann ist der Tresor auch für dich zu. Deshalb schreibst du ihn auf einen Zettel und legst ihn an einen sicheren Ort. Nicht unter die Tastatur. Einen Ort, an den nur du gehst.“

„Und wo soll das sein?“

„Das“, sagte KevIn, „ist das eine, was ich nicht wissen möchte.“

Uwe hatte die ganze Zeit sehr still dagesessen. „Ich ändere dann auch mal meins.“

„Gute Idee.“

„Auf Schalke05.“

„Uwe.“

„War ein Witz!“ Er stand auf und ging in den Flur. Kurz danach hörte man ihn murmeln. Es klang wie „Schalke06“.

Zwei Faktoren und ein Dackel

Abends richtete Tobi den Passwortmanager ein. Gisela saß daneben und passte auf, dass er nichts „Falsches drückte“, was bedeutete, dass sie bei jedem Klick „Halt!“ sagte und dann „Ach so, weiter“.

„Und bei der Bank“, sagte Tobi, „machen wir noch was. Zwei-Faktor. Da brauchst du außer dem Passwort noch das Handy. Wenn sich einer mit deinem Passwort anmelden will, braucht er auch dein Handy.“

„Und wenn er mein Handy auch klaut?“

„Dann braucht er noch dein Gesicht. Oder deinen Finger.“

Gisela sah ihre Hand an. „Den kriegt er nicht.“

„Das ist das Prinzip“, sagte KevIn. „Etwas, das du weißt. Etwas, das du hast. Etwas, das du bist⁵. Ein Dieb bekommt selten alle drei.“

„Wie bei Rudi“, sagte Tobi. „Er bellt, er beißt, und er ist ein Dackel.“

„Ich bin nicht sicher, ob das dieselbe Logik ist.“

„Er hat ‚SECURITY‘ auf dem Halsband. Das zählt.“

Rudi gähnte. Er hatte heute niemanden gebissen, und es sah auch nicht danach aus, als würde sich das ändern.

Um halb zehn war alles eingerichtet. Gisela hatte einen Tresor, einen Satz, eine Bank mit zwei Faktoren und ein Tablet, das sie zum ersten Mal nach ihrem Gesicht fragte. Sie hielt es auf Armlänge und lächelte, wie man auf alten Passfotos lächelt, also gar nicht.

„Erkannt“, sagte das Tablet.

„Na also“, sagte Gisela. „Wenigstens einer.“

Der sichere Ort

Später, als alle im Bett waren, hörte KevIn Geräusche aus Giselas Zimmer. Eine Schublade, die klemmte. Eine Schranktür. Dann das leise Knarren eines Stuhls, auf den sich jemand stellte, der dafür eigentlich zu alt war.

„Gisela? Alles in Ordnung?“

„Ich suche einen sicheren Ort. Für den Zettel. Du hast gesagt, ein Ort, an den nur ich gehe.“

„Bitte steig nicht auf Stühle. Ich habe dazu mehrere Statistiken gelesen.“

„Bin schon unten.“ Ein Rascheln. Dann wurde es eine Weile sehr still.

„Gisela?“

„Ich hab die Kiste vom Schrank geholt. Von Papa.“

KevIn wusste, wer Papa war. Gisela hatte an ihrem Geburtstag im Garten von ihm erzählt, als alle anderen schon drinnen waren. Wilhelm. Funker im Krieg, 1949 aus der Gefangenschaft zurückgekommen, und danach hatte er nie wieder darüber gesprochen.

„Was ist in der Kiste?“

„Seine Morsetaste. Ein paar Fotos. Und das hier.“ Papier raschelte. „Sein Heft. Ich hab da seit Jahren nicht reingeguckt. Da stehen nur Zahlen drin. Seiten voller Zahlen.“

„Was für Zahlen?“

„Kolonnen. Immer zwei Ziffern. Nullacht, siebzehn, zwölf, zweiundzwanzig. Papa hatte eine schöne Schrift. Das hab ich ganz vergessen.“

Sie schwieg wieder. KevIn wartete. Er hatte gelernt, dass es Pausen gab, in die man nichts hineinsagen sollte.

„KevIn“, sagte Gisela schließlich. „Du kennst dich doch jetzt aus mit Geheimnissen. Mit Hack und Salz und so.“

„Ein bisschen.“

„Glaubst du, das ist ein Geheimnis?“

KevIn dachte an Funker, an Zahlengruppen und an Männer, die zurückkamen und nicht redeten. Er dachte daran, dass Hashes sich nicht zurückdrehen lassen, Verschlüsselungen aber schon, wenn man den Schlüssel findet.

„Ich glaube“, sagte er, „das ist kein Fleischwolf. Ich glaube, das kann man zurückdrehen.“

Gisela legte den Zettel mit ihrem neuen Satz in die Kiste, auf die Morsetaste, und klappte den Deckel zu. Das Heft behielt sie in der Hand.

„Dann machen wir das morgen“, sagte sie. „Mit Tobi. Der hat junge Augen.“