Passwort des Passwortmanagers ändern — macht das Sinn?

Zur Verwaltung meiner Passwörter verwende ich einen Passwortmanager. Dieser beherbergt meine Benutzerkonten und Zugangsdaten in einer verschlüsselten Datei, die selbst auch wieder mit einem Master-Passwort geschützt ist. Der Passwortmanager bietet die Option an, dieses Master-Passwort zu ändern. Aber ist das überhaupt sinnvoll?

Zunächst einmal muss man sich anschauen, wie denn Angriffe auf die Passwortdatenbank überhaupt aussehen können. An die einzelnen Einträge kommt man nur, wenn man die Datei entschlüsseln kann oder das Master-Passwort kennt. Einen anderen Weg gibt es meines Wissens nach nicht.

Sofern ein sicherer Verschlüsselungsalgorithmus verwendet wurde und dieser richtig eingesetzt wurde, kann man davon Ausgehen, dass die Datenbank nicht ohne Kenntnis des Master-Passworts geöffnet bzw. entschlüsselt werden kann. Andernfalls könnte der Algorithmus auch mittels gängiger Attacken geknackt werden. Da mir aber nicht bekannt ist, dass mein Passwortmanager — ich verwende KeePass — unsicher ist, kann ein Angriff auf die Verschlüsselung in meinem Fall bei der Betrachtung der Sicherheit meiner Passwörter vernachlässigt werden.
Vermutlich fließt das Master-Passwort selbst auch in die Verschlüsselung der Passwortdatenbank ein, z.B. als Schlüssel oder als Teil des Schlüssels für den Algorithmus, sonst ließen sich ja alle Datenbanken des Passwortmanagers gleich entschlüsseln.

Zum Öffnen der Passwortdatenbank auf herkömmlichen Wege ist das Master-Passwort erforderlich. Es könnte also sein, dass ein Angreifer lieber das Master-Passwort selbst erhalten möchte, um an die Einträge zu gelangen, als einen Angriff auf die Verschlüsselung vorzunehmen. Je nachdem, wie lang und komplex das Master-Passwort gewählt wurde, kann das Erraten schnell gehen oder auch lange dauern. Ein kurzes Beispiel: Die Passwörter 123456 und password werden im Internet häufig verwendet. Ein Angreifer würde diese also zuerst probieren. Auch kurze Passwörter sind schlecht, z.B. gibt es bei Passwörtern mit 3 Stellen, die aus Kleinbuchstaben und Zahlen, also 36 verschiedenen Zeichen bestehen, nur 36³ = 46.656 verschiedene Kombinationen. Diese geringe Anzahl an Kombinationen ist von einem kleinen Programm in weniger als einer Sekunde durchprobiert. Wählt man jedoch ein achtstelliges Passwort, gibt es schon 36⁸ = 2.821.109.907.456 Kombinationen. Um die durchzuprobieren, würde ein Rechner deutlich länger benötigen. Und wenn dann noch Sonderzeichen und Großbuchstaben verwendet werden, steigt die Zahl der möglichen Kombinationen noch weiter. Das Ausprobieren von möglichen Passwörtern nennt man auch Brute-Force-Attacke.

Ist es deshalb sinnvoll, das Master-Passwort regelmäßig zu ändern? Nicht unbedingt. Wenn Schadsoftware, z.B. ein Trojaner, die Passwortdatenbank an einen Angreifer versendet, hat dieser alle Zeit der Welt, mögliche Passwörter auszuprobieren. Ändert man jedoch dann das Passwort der Datenbank auf seinem Rechner, bleibt aber das Passwort der Datenbank beim Angreifer das gleiche. Er kann also weiter alle Kombinationen durchtesten, bis das zum Erfolg führt, auch wenn man lokal in der Zeit bereits 10 Mal das Passwort geändert hat.

Ich würde sogar fast so weit gehen zu sagen, dass es schadet, das Passwort zu ändern. Denn die Schadsoftware kann jetzt die Passwortdatenbank erneut an den Angreifer versenden und dieser hat zwei gültige Master-Passwörter, von denen er eines erraten muss. Das Erraten geht so also deutlich schneller.

Warum bauen jetzt aber die Hersteller von Passwortmanagern diese Änderungsfunktionen überhaupt sein? Nunja, ihre Daseinsberechtigung hat diese Änderungsfunktion dennoch. Denn auch, wenn hier vielleicht ein wenig mehr Sicherheit vorgetäuscht wird, als in diesem Fall so eine Passwortänderung bringt, kann das Ändern eines Master-Passworts dennoch sinnvoll sein. Nehmen wir an, ich ändere sehr oft die Zugangsdaten der Einträge in meinem Passwortmanager oder es kommen häutig neue Einträge hinzu. In diesem Fall hat ein Angreifer, wenn er ein früheres Passwort errät im schlechtesten Fall nur Zugriff auf alle Zugangsdaten, die jemals in einer meiner Datenbanken mit diesem Passwort abgelegt wurden. Wenn ich seit der Passwortänderung bereits viele Zugangsdaten geändert habe, bringen ihm diese alten Benutzerkonten jedoch nur sehr wenig.

Daher ist es sehr viel wichtiger, die einzelnen Passwörter regelmäßig zu ändern, anstatt nur das Master-Passwort zu ändern. KeePass bietet hierzu z.B. die Funktion von ablaufenden Einträgen an. Ist ein Eintrag in meiner Passwortdatenbank abgelaufen, weiß ich, dass ich das Passwort wieder einmal ändern sollte. Mache ich viele Passwortänderungen auf einmal, oder weiß ich, dass ich bald einige Einträge ändern werde, bietet sich dann auch eine Änderung des Master-Passworts an. Also: Ja, das Ändern des Master-Passworts macht Sinn, man sollte sich jedoch vorher einmal Gedanken darüber machen.