Microsoft-Konten: Nur kurze Kennwörter

Mit Windows 8 versucht Microsoft, seinem webbasierten Single-Sign-On-System neuen Schwung zu verleihen. Nutzer des neuen Betriebssystems sollen “Microsoft-Konten” verwenden, was nichts anderes ist als die altbekannte “Live ID”, vorher als “Passport” bekannt. Die Anmeldung mit solchen Konten ist optional, es geht also auch problemlos ohne – nur funktioniert dann z.B. der Store nicht richtig, in dem man Apps erhalten kann.

Neben vielen anderen Problemen mit der alten Passport-Technik zeigt sich durch das neue Szenario aber auch ein Sicherheitsproblem mit diesen Konten, das aus meiner Sicht erheblich ist: Microsoft-Konten lassen keine langen Kennwörter zu. Nach maximal 16 Zeichen ist Schluss.

Immerhin weist Microsoft seit einigen Tagen deutlich auf diese Beschränkung hin. Bisher war es so, dass man zwar (scheinbar) längere Kennwörter vergeben konnte, tatsächlich wurden aber nur die ersten 16 Zeichen gespeichert und verglichen.

Ich weiß, dass viele Leute nicht auf die Idee kommen würden, Kennwörter mit mehr als 16 Zeichen zu verwenden. Ebenso ist mir bekannt, dass auch viele Admins Kennwörter mit acht Zeichen schon für “lang” halten und der Ansicht sind, längere Ausdrücke könne man sich nicht merken und schon gar nicht eintippen. Seit vielen Jahren bin ich aber ein überzeugter Anhänger von Kennwortsätzen, wodurch alle “Kennwörter”, die ich mir selbst aussuchen darf, deutlich länger sind als 25 Zeichen. Leider zwingen mich viele Webdienste dazu, kürzere Wörter zu verwenden (wobei diese Dienste meist auch keine Leerzeichen zulassen, es sind dann also tatsächlich Einzelwörter). Schade, dass ausgerechnet Microsoft dazugehört. Noch viel mehr schade, dass Microsoft auf diese Weise (Integration wenig sicherer Anmeldemethoden in das lokale Betriebssystem) das Sicherheitsniveau vieler Umgebungen nicht nur einschränkt, sondern effektiv absenkt!