Nach dem Datenleck beim Sportshop
AFB I–IIBei einem Online-Sportshop wurde die Datei mit den Passwort-Hashwerten aller Kundenkonten gestohlen. Der Angreifer probiert die Passwörter offline mit einer Grafikkarte durch, die 10 Milliarden (1010) Versuche pro Sekunde schafft. Zwei Kunden haben rein zufällig erzeugte Passwörter benutzt:
Finn: Lx7#qP2! — 8 Zeichen aus allen 95 Zeichen (26 Klein-, 26 Großbuchstaben, 10 Ziffern, 33 Sonderzeichen).
Selin: qmvtrzkeyahdwpbn — 16 Zeichen, nur Kleinbuchstaben.
- Berechnen Sie für beide Passwörter die Anzahl der möglichen Passwörter und die Zeit, die der Angreifer höchstens zum Durchprobieren braucht. Geben Sie die Zeit in einer sinnvollen Einheit an.
- Deuten Sie Ihr Ergebnis im Hinblick darauf, ob eher die Länge oder die Vielfalt der Zeichen ein Passwort sicher macht.
- Schätzen Sie ab, wie viele Stellen ein zufälliges reines Ziffern-Passwort mindestens haben müsste, um so lange zu halten wie Selins Passwort.
Hinweise
Hinweis zu Aufgabe a)
Hinweis zu Aufgabe b)
Hinweis zu Aufgabe c)
Erwartungshorizont
Erwartungshorizont zu Aufgabe a)
Finn: \(95^8 \approx 6{,}6\cdot10^{15}\) Möglichkeiten; \(6{,}6\cdot10^{15} : 10^{10}\,\tfrac{1}{\text{s}} \approx 6{,}6\cdot10^{5}\text{ s} \approx 7{,}7\) Tage.
Selin: \(26^{16} \approx 4{,}4\cdot10^{22}\) Möglichkeiten; \(4{,}4\cdot10^{22} : 10^{10}\,\tfrac{1}{\text{s}} \approx 4{,}4\cdot10^{12}\text{ s} \approx 1{,}4\cdot10^{5}\) Jahre, also rund 140 000 Jahre.
Finns Passwort fällt spätestens nach gut einer Woche, Selins hält praktisch unbegrenzt.
Erwartungshorizont zu Aufgabe b)
Obwohl Finns Passwort kompliziert aussieht und den größeren Zeichenraum hat, ist Selins rund 6,6 Millionen Mal so schwer zu knacken. Grund: Die Länge steht im Exponenten. Jedes zusätzliche Zeichen multipliziert die Anzahl mit N, während ein größerer Zeichenraum nur die Basis vergrößert. Das Ergebnis bestätigt die Regel „Länge schlägt Kompliziertheit“. Einschränkung: Das gilt nur für zufällig erzeugte Passwörter — ein langes, aber vorhersagbares Passwort fällt einem Wörterbuchangriff trotzdem zum Opfer.
Erwartungshorizont zu Aufgabe c)
\(26^{16} \approx 4{,}4\cdot10^{22}\). Es gilt \(10^{22} < 4{,}4\cdot10^{22} < 10^{23}\). Ein Ziffern-Passwort braucht also mindestens 23 Stellen, um mindestens so viele Möglichkeiten zu bieten.
Die Lauf-App „RunTrack“
AFB II–IIIEmre möchte seine Joggingrunden aufzeichnen. Die kostenlose App „RunTrack“ verspricht, Strecke, Dauer und Tempo jeder Runde zu speichern und daraus eine Wochenstatistik zu erstellen. Vor der ersten Nutzung verlangt sie die Registrierung mit dem abgebildeten Formular; alle mit * markierten Felder sind Pflicht. In den Nutzungsbedingungen steht, dass Daten „zur Verbesserung des Angebots an Partnerunternehmen weitergegeben werden können“.
Emres Freund meint dazu: „Ist doch egal, was die App sammelt. Ich habe nichts zu verbergen.“
- Werten Sie das Formular und die Berechtigungen im Hinblick auf den Grundsatz der Datenminimierung aus. Unterscheiden Sie, was für den Zweck der App nötig ist und was nicht.
- Emre hat sich schon registriert und will das inzwischen rückgängig machen. Formulieren Sie eine kurze Nachricht an RunTrack, in der er zwei passende Rechte aus der DSGVO in Anspruch nimmt.
- Nehmen Sie Stellung zur Aussage „Ich habe nichts zu verbergen“.
Hinweise
Hinweis zu Aufgabe a)
Hinweis zu Aufgabe b)
Hinweis zu Aufgabe c)
Erwartungshorizont
Erwartungshorizont zu Aufgabe a)
Nötig: E-Mail-Adresse und Passwort (Konto), ggf. Vorname oder ein Spitzname; Standort während der aufgezeichneten Runde (Strecke). Freiwillig vertretbar: Größe/Gewicht, etwa für eine Kalorienschätzung — richtigerweise optional. Nicht nötig: Geburtsdatum, Handynummer und Wohnadresse als Pflichtfelder; Standort „immer, auch im Hintergrund“ (er verrät den ganzen Alltag, auch Wohnort und Schule); Zugriff auf Kontakte und Fotos haben mit Laufstatistik nichts zu tun. Fazit: Das Formular verstößt deutlich gegen die Datenminimierung; zusammen mit der Weitergabeklausel deutet das auf ein Geschäftsmodell mit Nutzerdaten hin.
Erwartungshorizont zu Aufgabe b)
Beispiel: „Sehr geehrte Damen und Herren, gemäß DSGVO bitte ich um Auskunft, welche personenbezogenen Daten Sie über mich gespeichert und an welche Partnerunternehmen Sie sie weitergegeben haben. Anschließend fordere ich die Löschung aller meiner Daten und meines Kontos. Meine Einwilligung zur Datenverarbeitung und -weitergabe widerrufe ich hiermit. Mit freundlichen Grüßen, Emre …“ Vollständig: mindestens zwei Rechte korrekt benannt (Auskunft, Löschung, Widerruf der Einwilligung), sachlich und eindeutig formuliert.
Erwartungshorizont zu Aufgabe c)
Mögliche Argumente gegen die Aussage: Auch harmlose Daten ergeben zusammen ein genaues Profil (Tagesablauf, Wohnort, Kontakte, Gesundheit); aus Standort- und Metadaten lässt sich viel mehr ablesen, als man denkt. Man weiß nicht, was Partnerunternehmen damit tun oder wer bei einem Datenleck Zugriff bekommt. Datenschutz schützt nicht nur „Verbotenes“, sondern Privatsphäre — auch die der Kontakte, deren Daten ungefragt mitgeteilt werden. Für die Aussage lässt sich anführen, dass die App kostenlos ist und viele Menschen den Tausch bewusst eingehen. Erwartet wird eine eigene, begründete Position, z. B.: „Die Aussage greift zu kurz — man kann nicht überblicken, was man verbergen würde, wenn man wüsste, was aus den Daten ablesbar ist.“ Vollständig mit mindestens zwei Argumenten, Abwägung und Fazit.