Passwortspeicherung

Passwortspeicherung bezeichnet Verfahren und Maßnahmen zur sicheren Aufbewahrung von Passwörtern, damit sie weder im Klartext noch in leicht zugänglicher Form offengelegt werden. In modernen Systemen werden Passwörter nicht gespeichert, sondern deren kryptografisch belastbare Darstellungen, sogenannte Hashwerte, einschließlich zugehöriger Salts, sowie gegebenenfalls weiterer Schutzmaßnahmen.

Grundprinzipien: Ein Salt ist eine zufällige Zeichenfolge, die jedem Passwort vor der Hash-Berechnung beigegeben wird. Das verhindert, dass identische Passwörter zu identischen Hashes führen, und schützt gegen Rainbow-Table-Angriffe. Um die Berechnung weiter zu erschweren, kommen sogenannte Key Derivation Functions (KDF) mit erhöhtem Rechenaufwand zum Einsatz, z.B. Argon2, bcrypt, scrypt oder PBKDF2. Bei der Prüfung eines eingegebenen Passworts wird dessen Hash erneut mit dem gespeicherten Salt berechnet und mit dem gespeicherten Hash verglichen.

Pepper ist ein zusätzlich geheimer Wert, der dem Hashing-Prozess hinzugefügt wird, aber getrennt von der Datenbank verwaltet wird. Pepper erhöht den Schutz, sofern der Angreifer nur die Datenbank kopiert; seine Handhabung erfordert sorgfältige Konfiguration.

Best Practices: Nutzung von einzigartigen Salts, Auswahl einer modernen KDF mit ausreichendem Kostenfaktor, regelmäßige Aktualisierung der Algorithmen und Vorbereitung von Migrationen; keine Klartextspeicherung; keine einfachen Hash-Verfahren wie MD5 oder SHA-1.

Weitere Aspekte: Benutzer sollten sichere Passwörter bevorzugen; Prozesse wie Multi-Faktor-Authentifizierung, Passwort-Manager-Unterstützung, sichere Backups, Zugangskontrollen und eingeschränkte Rechteeinstellungen. Organisationen können sich an OWASP-Richtlinien, NIST SP 800-63 und Datenschutzgesetze halten.

Backward compatibility: Bei Migration von alten Hash-Verfahren sollten Verifizierungen unterstützt werden.