Wie sollten Passwörter sicher gespeichert und verwaltet werden?

Question

Accepted Answer

Passwörter müssen sicher gespeichert werden — **niemals im Klartext**, sondern **gehasht** mit einem starken, langsamen, salted Password-Hashing-Algorithmus (bcrypt, Argon2, scrypt). Eine ordnungsgemäße Passwortbehandlung ist kritisch, da Passwort-Sicherheitsverletzungen äußerst schädlich und häufig sind.

## Niemals Klartext speichern; ordnungsgemäß hashen

```text
❌ NEVER store passwords in plaintext (a breach exposes all passwords directly)
❌ Don't use fast/general hashes (MD5, SHA-256) alone — too fast → easily brute-forced
✅ HASH with a dedicated PASSWORD HASHING algorithm: BCRYPT, ARGON2, or scrypt:
  → SLOW by design (resistant to brute-force/GPU cracking)
  → SALTED (a unique random salt per password) → prevents rainbow-table attacks and
    identical passwords hashing the same
```

```js
// hashing with bcrypt (handles salting automatically)
const hash = await bcrypt.hash(password, 12);   // store the hash (with salt + cost)
// verifying at login
const valid = await bcrypt.compare(inputPassword, storedHash);   // compare securely
```

## Warum diese Algorithmen

```text
SALT → unique random value per password → identical passwords get DIFFERENT hashes;
  defeats precomputed (rainbow table) attacks
SLOW (work factor) → deliberately expensive to compute → brute-forcing millions of
  guesses becomes impractical (tunable cost factor as hardware improves)
→ bcrypt/Argon2/scrypt are designed for passwords; general hashes (SHA) are NOT.
```

## Andere Passwortpraktiken

```text
✓ Enforce reasonable strength (length over complexity); check against breached-password lists
✓ MULTI-FACTOR authentication (MFA) → strong protection even if a password leaks
✓ HTTPS for transmission; rate-limit / lock out brute-force login attempts
✓ Secure password RESET (time-limited tokens); never email passwords; never log them
```

## Warum es wichtig ist

Das Verständnis für sichere Passwortspeicherung und -verwaltung ist essentiell, da **Passwort-Sicherheitsverletzungen äußerst häufig und schädlich sind** und unsachgemäße Passwortspeicherung eine schwerwiegende, häufige Sicherheitslücke darstellt, daher ist es ein Muss-Know-Sicherheitswissen.

Die grundlegenden Regeln sind kritisch: **Passwörter niemals im Klartext speichern** (ein Sicherheitsverlust würde jedes Passwort jedes Benutzers direkt offenlegen — katastrophal), und **nicht auf schnelle allgemeine Hashes verlassen** (MD5, SHA-256), die zu schnell sind und leicht gebrochen werden.

Stattdessen **mit dedizierten Password-Hashing-Algorithmen hashen** (bcrypt, Argon2, scrypt), die **absichtlich langsam sind** (resistent gegen Brute-Force und GPU-Cracking) und **gesalzen** (ein eindeutiger zufälliger Salt pro Passwort, das Rainbow-Table-Attacken verhindert und sicherstellt, dass identische Passwörter unterschiedliche Hashes erhalten).

Das Verständnis **warum diese Algorithmen** — Salting (Precomputed-Attacken verhindern, identische Passwörter unterschiedlich hashen lassen) und Langsamkeit/Work Factor (Massenbrute-Forcing unpraktisch machen, mit einer anpassbaren Kosten als Hardware sich verbessert) — erklärt den korrekten Ansatz versus die häufigen Fehler (Klartext, schnelle Hashes, kein Salt).

Das Verständnis **anderer Praktiken** — Durchsetzung angemessener Stärke (Länge über Komplexität, Überprüfung kompromittierter Passwortlisten), **MFA** (starker Schutz auch wenn ein Passwort ausläuft), HTTPS für Übertragung, Rate-Limiting bei Login-Versuchen, sichere Passwort-Zurückstellung (zeitlich begrenzte Tokens) und niemals Passwörter protokollieren oder per E-Mail senden — reflektiert umfassende Passwort-Sicherheit.

Passwortbehandlung ist ein hochriskanter Bereich, in dem Fehler (Klartext-Speicherung, schwaches Hashing) direkt zu großen Sicherheitsverletzungen führen, während ordnungsgemäße Behandlung (starkes gesalzenes langsames Hashing mit bcrypt/Argon2) Benutzer erheblich schützt.

Da Passwort-Sicherheitsverletzungen häufig und schädlich sind und unsachgemäße Speicherung eine schwerwiegende, häufige Sicherheitslücke darstellt, und da das Verständnis für sichere Speicherung (niemals Klartext, starkes gesalzenes langsames Hashing mit bcrypt/Argon2) und gute Praktiken (MFA, Rate-Limiting) essentiell für den Schutz von Benutzern ist, ist das Verständnis für sichere Passwortspeicherung und -verwaltung essentiell, Muss-Know-Sicherheitswissen — ein kritischer, hochriskanter Bereich, in dem der korrekte Ansatz (dedizierte Password-Hashing, Salting, MFA) die katastrophalen Passwort-Sicherheitsverletzungen verhindert, die unsachgemäße Behandlung verursacht, fundamentales Wissen für jeden Entwickler, der Authentifizierung verwaltet.