Lorrie Faith Cranor: What's wrong with your pa$$w0rd?

Übersetzung: Angelika Lueckert Leon Lektorat: Nadine Hennig

I am a computer science and engineering professor here at Carnegie Mellon,

Ich bin Professorin für Technische Informatik

hier an der Carnegie Mellon,

and my research focuses on usable privacy and security,

und meine Forschung konzentriert sich auf nützlichen Datenschutz.

and so my friends like to give me examples

Daher geben meine Freunde mir gerne Beispiele

of their frustrations with computing systems,

für ihren Frust mit Rechnersystemen,

especially frustrations related to

vor allem in Bezug auf unbrauchbaren Datenschutz.

unusable privacy and security.

So passwords are something that I hear a lot about.

Ich höre viel über Passwörter.

A lot of people are frustrated with passwords,

Viele Menschen sind von Passwörtern genervt,

and it's bad enough

und das ist schlimm genug,

when you have to have one really good password

wenn man ein wirklich gutes Passwort braucht,

that you can remember

das man sich merken kann,

but nobody else is going to be able to guess.

aber das niemand anders erraten soll.

But what do you do when you have accounts

Was macht man, wenn man Konten auf hundert verschiedenen Systemen hat

on a hundred different systems

and you're supposed to have a unique password

und ein individuelles Passwort für jedes dieser Systeme haben sollte?

for each of these systems?

It's tough.

Das ist schwer.

At Carnegie Mellon, they used to make it

An der Carnegie Mellon machten sie es uns ziemlich einfach,

actually pretty easy for us

to remember our passwords.

uns unsere Passwörter zu merken.

The password requirement up through 2009

Bis 2009 war die Anforderung an ein Passwort nur,

was just that you had to have a password

dass man ein Passwort brauchte

with at least one character.

mit mindestens einem Zeichen.

Pretty easy. But then they changed things,

Ziemlich einfach.

Aber dann änderten sie es, und Ende 2009 gaben sie bekannt,

and at the end of 2009, they announced

that we were going to have a new policy,

dass sie eine neue Richtlinie bekämen,

and this new policy required

und die neue Richtlinie verlangte,

passwords that were at least eight characters long,

dass Passwörter mindestens 8 Zeichen lang sein mussten.

with an uppercase letter, lowercase letter,

mit einem Groß-, einem Kleinbuchstaben, einer Zahl und einem Symbol.

a digit, a symbol,

you couldn't use the same character more than three times,

Man durfte dieselben Zeichen nicht mehr als 3-mal nutzen,

and it wasn't allowed to be in a dictionary.

und es durfte kein Wort aus dem Wörterbuch sein.

Now, when they implemented this new policy,

Als sie die Richtlinie umsetzten,

a lot of people, my colleagues and friends,

kamen viele Leute, meine Kollegen und Freunde,

came up to me and they said, "Wow,

auf mich zu und sagten:

now that's really unusable.

"Wow, das ist wirklich unnütz.

Why are they doing this to us,

Warum machen sie das mit uns? Warum hast du sie nicht gestoppt?"

and why didn't you stop them?"

And I said, "Well, you know what?

Und ich sagte: "Weißt du was? Sie haben mich nicht gefragt."

They didn't ask me."

But I got curious, and I decided to go talk

Aber ich wurde neugierig und entschied,

mit den Verantwortlichen für unsere Computersysteme zu reden

to the people in charge of our computer systems

and find out what led them to introduce

und herauszufinden, was sie veranlasst hatte,

this new policy,

die neue Richtlinie einzuführen.

and they said that the university

Sie meinten, die Universität

had joined a consortium of universities,

wäre einem Universitäts-- Verbund beigetreten,

and one of the requirements of membership

und eine der Anforderungen an die Mitgliedschaft war,

was that we had to have stronger passwords

dass wir sichere Passwörter brauchten,

that complied with some new requirements,

die den neuen Anforderungen entsprachen.

and these requirements were that our passwords

Die neuen Vorgaben besagten,

unsere Passwörter müssten mehr Entropie haben.

had to have a lot of entropy.

Now entropy is a complicated term,

Entropie ist ein komplizierter Begriff,

but basically it measures the strength of passwords.

aber im Wesentlichen misst er die Stärke von Passwörtern.

But the thing is, there isn't actually

Es ist nur so, dass es tatsächlich kein Richtmaß für Entropie gibt.

a standard measure of entropy.

Now, the National Institute of Standards and Technology

Das Nationale Institut für Standards und Technologie

has a set of guidelines

hat eine Reihe von Richtlinien mit einigen Faustregeln,

which have some rules of thumb

for measuring entropy,

um Entropie zu messen.

but they don't have anything too specific,

Aber es gibt nichts wirklich Konkretes.

and the reason they only have rules of thumb

Der Grund, warum sie nur Faustregeln haben,

is it turns out they don't actually have any good data

liegt an der fehlenden guten Datenlage über Passwörter.

on passwords.

In fact, their report states,

In ihrem Bericht heißt es sogar:

"Unfortunately, we do not have much data

"Leider haben wir kaum Daten

on the passwords users choose under particular rules.

zu den von Nutzern unter bestimmten Bedingungen gewählten Passwörtern.

NIST would like to obtain more data

Das NIST würde gerne mehr Daten gewinnen,

on the passwords users actually choose,

über die von Nutzern gewählten Passwörter,

but system administrators are understandably reluctant

aber Systemadministratoren zögern verständlicherweise,

to reveal password data to others."

anderen die Passwörter offenzulegen."

So this is a problem, but our research group

Das ist also ein Problem,

aber unsere Forschungsgruppe sah es als Chance.

looked at it as an opportunity.

We said, "Well, there's a need for good password data.

Wir sagten: "Es gibt einen Bedarf für gute Passwort-Daten.

Maybe we can collect some good password data

Vielleicht können wir gute Passwort-Daten sammeln

and actually advance the state of the art here.

und den Stand den Technik verbessern."

So the first thing we did is,

Als Erstes besorgten wir uns eine Tüte Schokoriegel,

we got a bag of candy bars

and we walked around campus

liefen über den Campus,

and talked to students, faculty and staff,

sprachen mit Studenten, Dozenten und Mitarbeitern,

and asked them for information

und fragten sie nach Informationen zu ihren Passwörtern.

about their passwords.

Now we didn't say, "Give us your password."

Wir sagten aber nicht: "Geben Sie uns Ihr Passwort."

No, we just asked them about their password.

Nein, wir fragten sie etwas über ihr Passwort.

How long is it? Does it have a digit?

Wie lang ist es?

Hat es eine Zahl, ein Symbol?

Does it have a symbol?

And were you annoyed at having to create

Waren sie verärgert als sie letzte Woche ein neues erstellen mussten?

a new one last week?

So we got results from 470 students,

Wir erhielten Ergebnisse

von 470 Studenten, Dozenten und Mitarbeiter,

faculty and staff,

and indeed we confirmed that the new policy

und wir konnten bestätigen, dass die neue Richtlinie

was very annoying,

wirklich nervig war,

but we also found that people said

aber wir stellten auch fest,

they felt more secure with these new passwords.

dass Leute sich mit den neuen Passwörtern sicherer fühlten.

We found that most people knew

Wir erfuhren, dass die meisten Leute wissen,

they were not supposed to write their password down,

dass sie ihr Passwort nicht aufschreiben sollten,

and only 13 percent of them did,

nur 13 % davon machten das,

but disturbingly, 80 percent of people

aber verstörende 80 % der Menschen sagten,

said they were reusing their password.

dass sie ihr Passwort wieder verwendeten.

Now, this is actually more dangerous

Das ist aber sogar viel gefährlicher als sein Passwort aufzuschreiben,

than writing your password down,

because it makes you much more susceptible to attackers.

denn es macht es für Angreifer viel anfälliger.

So if you have to, write your passwords down,

Wenn Sie müssen,

schreiben Sie Ihr Passwort auf, aber benutzen Sie es nicht wieder.

but don't reuse them.

We also found some interesting things

Wir fanden auch interessante Dinge

about the symbols people use in passwords.

über die in Passwörtern verwendeten Symbole heraus.

So CMU allows 32 possible symbols,

Die CMU erlaubt 32 mögliche Symbole,

but as you can see, there's only a small number

aber wie man sieht, wird nur ein kleiner Anteil

that most people are using,

von den Menschen genutzt.

so we're not actually getting very much strength

Daher tragen die Symbole in unseren Passwörtern

from the symbols in our passwords.

nicht viel zur Stärke bei.

So this was a really interesting study,

Das war also eine wirklich interessante Studie,

and now we had data from 470 people,

und jetzt hatten wir Daten von 470 Personen,

but in the scheme of things,

aber im Großen und Ganzen, sind das nicht viele Passwort-Daten.

that's really not very much password data,

and so we looked around to see

Daher sahen wir uns danach um,

where could we find additional password data?

wo wir weitere Passwort- Daten finden konnten.

So it turns out there are a lot of people

Es zeigt sich, dass viele Leute Passwörter stehlen,

going around stealing passwords,

and they often go and post these passwords

und sie stellen diese Passwörter dann oft ins Internet.

on the Internet.

So we were able to get access

Wir erlangten Zugang

to some of these stolen password sets.

zu einigen der gestohlenen Passworteinstellungen.

This is still not really ideal for research, though,

Das ist immer noch nicht ideal für die Erforschung,

because it's not entirely clear

denn es ist nicht völlig klar, woher all die Passwörter kamen

where all of these passwords came from,

or exactly what policies were in effect

oder welche Richtlinien galten, als die Leute diese Passwörter erstellten.

when people created these passwords.

So we wanted to find some better source of data.

Wir wollten daher eine bessere Datenquelle finden.

So we decided that one thing we could do

Wir entschieden eine Studie zu machen

is we could do a study and have people

und Menschen für unsere Studie Passwörter erstellen zu lassen.

actually create passwords for our study.

So we used a service called Amazon Mechanical Turk,

Wir nutzten einen Service namens "Amazon Mechanical Turk".

and this is a service where you can post

Bei diesem Service kann man eine kleine Aufgabe online einstellen,

a small job online that takes a minute,

für die man ca. 1 Minute, einige Minuten, eine Stunde braucht,

a few minutes, an hour,

and pay people, a penny, ten cents, a few dollars,

und Leuten Cents oder ein paar Dollar zahlt,

to do a task for you,

damit sie eine Aufgabe für einen zu erledigen.

and then you pay them through Amazon.com.

Man bezahlt über Amazon.com.

So we paid people about 50 cents

Wir zahlten Leuten etwa 50 Cents,

to create a password following our rules

um ein Passwort nach unseren Regeln zu erstellen

and answering a survey,

und eine Umfrage zu beantworten.

and then we paid them again to come back

Dann bezahlten wir sie erneut, um sich 2 Tage später wieder einzuloggen,

two days later and log in

using their password and answering another survey.

mit ihrem Passwort, und eine andere Umfrage zu beantworten.

So we did this, and we collected 5,000 passwords,

Wir machten das und sammelten 5000 Passwörter.

and we gave people a bunch of different policies

Wir gaben den Leuten eine Menge verschiedener Richtlinien,

to create passwords with.

um Passwörter zu erstellen.

So some people had a pretty easy policy,

Manche hatten eine recht leichte Richtlinie,

we call it Basic8,

wir nennen sie "Basic8".

and here the only rule was that your password

Die einzige Regel war hier,

had to have at least eight characters.

dass das Passwort mindestens 8 Zeichen haben muss.

Then some people had a much harder policy,

Einige bekamen eine viel strengere Richtlinie,

and this was very similar to the CMU policy,

ganz ähnlich wie die CMU-Richtlinie,

that it had to have eight characters

bei der man 8 Zeichen brauchte,

including uppercase, lowercase, digit, symbol,

die Groß-, Kleinbuchstabe, Zahl, Symbol beinhalten,

and pass a dictionary check.

und einen Wörterbuch-Test bestehen mussten.

And one of the other policies we tried,

Eine andere getestete Richtlinie,

and there were a whole bunch more,

und es gab noch jede Menge, war eine namens "Basic16".

but one of the ones we tried was called Basic16,

and the only requirement here

Die einzige Anforderung hier war,

was that your password had to have at least 16 characters.

dass das Passwort mindestens 16 Zeichen haben musste.

All right, so now we had 5,000 passwords,

Gut, wir hatten jetzt 5000 Passwörter

and so we had much more detailed information.

und damit hatten wir viel genauere Informationen.

Again we see that there's only a small number

Wieder sahen wir, dass nur eine kleine Anzahl von Symbolen

of symbols that people are actually using

für die Passwörter genutzt wurde.

in their passwords.

We also wanted to get an idea of how strong

Wir wollten eine Vorstellung von der Stärke der Passwörter bekommen,

the passwords were that people were creating,

die die Leuten erstellten.

but as you may recall, there isn't a good measure

Aber wie Sie vielleicht erinnern,

of password strength.

gibt es keine gute Maßeinheit für Passwort-Stärke.

So what we decided to do was to see

Wir beschlossen zu schauen, wie lange es dauert,

how long it would take to crack these passwords

bis wir die Passwörter knacken würden,

using the best cracking tools

unter Verwendung der besten Knack-Tools, die die bösen Jungs nutzen,

that the bad guys are using,

or that we could find information about

oder über die wir Informationen in der Forschungsliteratur fanden.

in the research literature.

So to give you an idea of how bad guys

Hier zeige ich Ihnen, wie böse Jungs Passwörter knacken.

go about cracking passwords,

they will steal a password file

Sie klauen eine Passwort-Datei,

that will have all of the passwords

mit allen Passwörter in verschlüsselter Form,

in kind of a scrambled form, called a hash,

"Hash" genannt.

and so what they'll do is they'll make a guess

Sie raten dann, was ein Passwort sein könnte,

as to what a password is,

run it through a hashing function,

lassen es durch eine Hash-Funktion laufen

and see whether it matches

und schauen, ob es zu den Passwörtern

the passwords they have on their stolen password list.

auf der Liste gestohlener Passwörter passt.

So a dumb attacker will try every password in order.

Ein dummer Angreifer wird jedes Passwort nacheinander versuchen.

They'll start with AAAAA and move on to AAAAB,

Sie fangen mit "AAAAA" an und machen mit "AAAAB" weiter,

and this is going to take a really long time

und es dauert ziemlich lange, bis sie irgendein Passwort finden,

before they get any passwords

that people are really likely to actually have.

dass Leute wirklich benutzen.

A smart attacker, on the other hand,

Ein schlauer Angreifer andererseits macht etwas viel Klügeres.

does something much more clever.

They look at the passwords

Sie schauen sich die Passwörter an, die bekanntermaßen beliebt sind,

that are known to be popular

from these stolen password sets,

aus den gestohlenen Passwörtern,

and they guess those first.

und erraten diese zuerst.

So they're going to start by guessing "password,"

Sie tippen also erst auf "Passwort",

and then they'll guess "I love you," and "monkey,"

dann tippen sie auf "Ich liebe dich" und "Affe"

and "12345678,"

und "12345678",

because these are the passwords

denn diese Passwörter nutzen die meisten Leute.

that are most likely for people to have.

In fact, some of you probably have these passwords.

Wahrscheinlich haben einige von Ihnen diese Passwörter.

Wir fanden also heraus,

So what we found

by running all of these 5,000 passwords we collected

indem wir all diese 5000 Passwörter sammelten

through these tests to see how strong they were,

und testeten, wie stark sie waren,

erkannten wir, dass lange Passwörter ziemlich stark waren.

we found that the long passwords

were actually pretty strong,

and the complex passwords were pretty strong too.

Komplexe Passwörter waren auch ziemlich stark.

However, when we looked at the survey data,

Aber wenn wir uns die Umfrage-Daten ansahen,

we saw that people were really frustrated

sahen wir, dass viele wirklich frustriert waren

by the very complex passwords,

von den sehr komplexen Passwörtern.

and the long passwords were a lot more usable,

Lange Passwörter waren viel brauchbarer

and in some cases, they were actually

und manchmal waren sie sogar stärker als komplexe Passwörter.

even stronger than the complex passwords.

So this suggests that,

Das legt also nahe,

instead of telling people that they need

dass es statt den Leuten zu sagen, sie sollten Symbole, Zahlen

to put all these symbols and numbers

and crazy things into their passwords,

und anderes Zeug in ihren Passwörtern verwenden,

we might be better off just telling people

wohlmöglich besser wäre zu sagen,

to have long passwords.

man sollte lange Passwörter haben.

Now here's the problem, though:

Es gibt aber ein Problem:

Some people had long passwords

Einige Leute hatten lange Passwörter, die nicht wirklich stark waren.

that actually weren't very strong.

You can make long passwords

Man kann lange Passwörter erstellen, die trotzdem von der Art sind,

that are still the sort of thing

that an attacker could easily guess.

die ein Angreifer leicht erraten kann.

So we need to do more than just say long passwords.

Wir müssen also mehr tun als nur "lange Passwörter" zu sagen.

There has to be some additional requirements,

Es gibt weitere Anforderungen,

and some of our ongoing research is looking at

und ein Teil unserer laufenden Forschung untersucht,

welche weiteren Anforderungen wir hinzufügen sollten,

what additional requirements we should add

to make for stronger passwords

um für sichere Passwörter zu sorgen,

that also are going to be easy for people

die für die Menschen auch einfach zu merken und zu tippen sind.

to remember and type.

Another approach to getting people to have

Um Leute zu stärkeren Passwörtern zu bewegen,

stronger passwords is to use a password meter.

könnte man als weiteren Ansatz ein Passwort-Messgerät nutzen.

Here are some examples.

Hier ein paar Beispiele.

You may have seen these on the Internet

Vielleicht kennen Sie sie aus dem Internet,

when you were creating passwords.

wenn Sie Passwörter erstellt haben.

We decided to do a study to find out

Wir entschieden mit einer Studie herauszufinden,

whether these password meters actually work.

ob diese Passwort-Messgeräte wirklich funktionieren.

Do they actually help people

Helfen Sie Menschen wirklich, stärkere Passwörter zu finden,

have stronger passwords,

and if so, which ones are better?

und wenn ja, welche sind besser?

So we tested password meters that were

Also testeten wir Passwort-Checker,

different sizes, shapes, colors,

die verschiedene Größen, Formen, Farben hatten,

different words next to them,

mit verschiedenen Worten daneben.

and we even tested one that was a dancing bunny.

Wir testeten sogar einen, der ein tanzender Hase war.

Wenn man ein besseres Passwort eintippt,

As you type a better password,

the bunny dances faster and faster.

tanzt der Hase immer schneller.

So this was pretty fun.

Das war sehr lustig.

What we found

Wir fanden heraus,

was that password meters do work.

dass Passwortstärke- Anzeiger funktionieren.

(Laughter)

(Gelächter)

Most of the password meters were actually effective,

Die meisten Passwort-Messer waren tatsächlich effektiv.

and the dancing bunny was very effective too,

Auch der tanzende Hase war sehr effektiv.

but the password meters that were the most effective

Aber die effektivsten Passwort-Messer waren die,

were the ones that made you work harder

die einen härter arbeiten ließen,

before they gave you that thumbs up and said

bis sie zustimmten und sagten, dass man es gut gemacht hatte.

you were doing a good job,

and in fact we found that most

Wir stellten aber fest,

of the password meters on the Internet today

die meisten heute im Internet verfügbaren Passwort-Messer sind zu leicht.

are too soft.

They tell you you're doing a good job too early,

Sie sagen einem zu früh, dass man es gut macht.

and if they would just wait a little bit

Würden sie nur ein bisschen mehr warten, bevor sie eine positive Rückmeldung geben,

before giving you that positive feedback,

you probably would have better passwords.

hätte man vermutlich bessere Passwörter.

Now another approach to better passwords, perhaps,

Eine andere Methode für bessere Passwörter ist vielleicht,

is to use pass phrases instead of passwords.

Merksätze statt Passwörter zu nutzen.

So this was an xkcd cartoon from a couple of years ago,

Das war ein xkcd-Comic von vor einigen Jahren,

and the cartoonist suggests

und der Zeichner schlägt vor, dass wir alle Merksätze nutzen sollten.

that we should all use pass phrases,

and if you look at the second row of this cartoon,

Wenn man sich die zweite Reihe des Comics ansieht,

you can see the cartoonist is suggesting

sieht man wie der Zeichner vorschlägt,

that the pass phrase "correct horse battery staple"

dass der Merksatz "Correct horse battery staple"

would be a very strong pass phrase

ein sehr starker Merksatz wäre und sehr einfach zu merken ist.

and something really easy to remember.

He says, in fact, you've already remembered it.

Er sagt, dass Sie ihn sich gerade schon gemerkt haben.

Wir beschlossen eine Forschungsstudie zu machen,

And so we decided to do a research study

to find out whether this was true or not.

um herauszufinden, ob es stimmte.

In fact, everybody who I talk to,

Jeder, dem ich erzählte, dass ich eine Passwort-Studie machte,

who I mention I'm doing password research,

they point out this cartoon.

verwies auf diesen Comic.

"Oh, have you seen it? That xkcd.

"Hast du das gesehen? Von xkcd.

Correct horse battery staple."

Correct horse battery staple."

So we did the research study to see

In einer Forschungsstudie wollten wir sehen,

what would actually happen.

was wirklich passieren würde.

So in our study, we used Mechanical Turk again,

In unsere Studie nutzten wir wieder Mechanical Turk,

and we had the computer pick the random words

und ließen den Computer zufällige Wörter im Merksatz auswählen.

in the pass phrase.

Now the reason we did this

Wir machten das daher, weil Menschen nicht gut darin sind,

is that humans are not very good

at picking random words.

zufällige Wörter auszuwählen.

If we asked a human to do it,

Würden wir Menschen darum bitten,

they would pick things that were not very random.

würden sie nicht sehr zufällige Dinge auswählen.

So we tried a few different conditions.

Wir testeten daher verschiedene Bedingungen,

In one condition, the computer picked

unter einer Bedingung wählte der Rechner aus einem Wörterbuch

from a dictionary of the very common words

sehr gängige Wörter aus dem Englischen aus.

in the English language,

and so you'd get pass phrases like

So erhielt man Merksätze wie

"try there three come."

"[Versuch dort drei kommen]."

And we looked at that, and we said,

Wir schauten das an und sagten:

"Well, that doesn't really seem very memorable."

"Das scheint nicht sehr einprägsam."

So then we tried picking words

Dann versuchten wir Worte auszuwählen,

that came from specific parts of speech,

die aus bestimmten Teilen der Sprache stammen,

so how about noun-verb-adjective-noun.

z. B. Nomen-Verb-Adjektiv-Nomen.

That comes up with something that's sort of sentence-like.

Dann kommt man zu einer Art Satz.

So you can get a pass phrase like

Man erhält dann einen Merksatz wie:

"plan builds sure power"

"[Plan baut sicher Kraft]"

or "end determines red drug."

oder "[Ende bestimmt rote Droge]".

And these seemed a little bit more memorable,

Diese erschienen etwas einprägsamer,

and maybe people would like those a little bit better.

und vielleicht hätten Menschen sie ein bisschen lieber.

We wanted to compare them with passwords,

Wir wollten sie mit Passwörtern vergleichen,

and so we had the computer pick random passwords,

daher ließen wir den Rechner zufällige Wörter auswählen,

diese waren nett und kurz, aber wie man sieht,

and these were nice and short, but as you can see,

they don't really look very memorable.

sehen sie nicht sehr einprägsam aus.

And then we decided to try something called

Dann probierten wir etwas aus,

a pronounceable password.

"aussprechbares Passwort" genannt.

So here the computer picks random syllables

Hier wählt der Rechner zufällig Silben aus und fügt sie zusammen,

and puts them together

so you have something sort of pronounceable,

dadurch erhält man etwas Aussprechbares

like "tufritvi" and "vadasabi."

wie "tufritvi" und "vadasabi".

That one kind of rolls off your tongue.

Das geht leicht von den Lippen.

So these were random passwords that were

Das sind zufällige Passwörter,

generated by our computer.

die vom Computer erzeugt wurden.

So what we found in this study was that, surprisingly,

Wir fanden in der Studie etwas Überraschendes heraus:

pass phrases were not actually all that good.

Merksätze waren gar nicht so gut.

Die Leute konnte sich die Merksätze

People were not really better at remembering

the pass phrases than these random passwords,

kaum besser merken als zufällige Passwörter.

and because the pass phrases are longer,

Da Merksätze länger sind, tippten sie länger,

they took longer to type

and people made more errors while typing them in.

und beim Eintippen entstanden mehr Fehler.

So it's not really a clear win for pass phrases.

Es gibt also keinen klaren Sieg für Merksätze.

Sorry, all of you xkcd fans.

Tut mir leid, ihr xkcd-Fans.

On the other hand, we did find

Andererseits fanden wir heraus,

that pronounceable passwords

dass aussprechbare Passwörter sehr gut funktionierten.

worked surprisingly well,

and so we actually are doing some more research

Daher erforschen wir gerade,

to see if we can make that approach work even better.

ob wir diesen Ansatz noch verbessern können.

So one of the problems

Eins der Probleme mit den von uns durchgeführten Studien war,

with some of the studies that we've done

is that because they're all done

dass sie alle mit Mechanical Turk gemacht wurden.

using Mechanical Turk,

Das sind keine echten Passwörter.

these are not people's real passwords.

They're the passwords that they created

Das sind Passwörter, die sie erstellt haben

or the computer created for them for our study.

oder die der Rechner für sie für die Studie erzeugt hat.

And we wanted to know whether people

Wir wollten wissen, ob Menschen sich bei ihren echten Passwörtern

would actually behave the same way

with their real passwords.

wirklich genauso verhalten würden.

So we talked to the information security office at Carnegie Mellon

Wir sprachen daher mit

den Informationssicherheitsbeauftragten an der Carnegie Mellon

and asked them if we could have everybody's real passwords.

und baten sie, die echten Passwörter von allen zu bekommen.

Kein Wunder, dass sie etwas zögerten, sie mit uns zu teilen,

Not surprisingly, they were a little bit reluctant

to share them with us,

but we were actually able to work out

aber wir erarbeiteten mit ihnen ein System,

a system with them

where they put all of the real passwords

wo sie alle echten Passwörter

for 25,000 CMU students, faculty and staff,

für 25 000 CMU-Studenten, -Dozenten und -Mitarbeiter

in einen gesicherten Rechner in einem gesicherten Raum eingaben,

into a locked computer in a locked room,

not connected to the Internet,

ohne Verbindung zum Internet,

and they ran code on it that we wrote

und sie führten eine Code aus, den wir schrieben,

to analyze these passwords.

um diese Passwörter zu analysieren.

They audited our code.

Sie prüften unseren Code.

They ran the code.

Sie führten den Code aus.

And so we never actually saw

Wir sahen also tatsächlich von niemandem das Passwort.

anybody's password.

We got some interesting results,

Wir erhielten interessante Ergebnisse,

and those of you Tepper students in the back

und alle Tepper-Studenten in den hinteren Reihen

will be very interested in this.

wird das sehr interessieren.

So we found that the passwords created

Wir stellten fest, dass die von Angestellten der Informatik-Fakultät

by people affiliated with the school of computer science

erstellten Passwörter 1,8-mal stärker waren,

were actually 1.8 times stronger

than those affiliated with the business school.

als die der Angestellten der Fakultät für Wirtschaft.

We have lots of other really interesting

Wir haben auch noch einige andere interessante demografische Informationen.

demographic information as well.

The other interesting thing that we found

Es war interessant zu sehen,

is that when we compared the Carnegie Mellon passwords

dass, als wir die Carnegie-Mellon-Passwörter

to the Mechanical Turk-generated passwords,

mit denen von Mechanical Turk generierten Passwörtern verglichen,

there was actually a lot of similarities,

es viele Parallelen gab.

and so this helped validate our research method

Dies half dabei, unsere Forschungsmethode zu bestätigen

and show that actually, collecting passwords

und zu zeigen, dass Sammeln von Passwörtern

using these Mechanical Turk studies

mit den Mechanical-Turk-Studien

is actually a valid way to study passwords.

eine gültige Weise war, Passwörter zu untersuchen.

So that was good news.

Das sind also gute Neuigkeiten.

Okay, I want to close by talking about

Zum Schluss möchte ich noch über ein paar Erkenntnisse sprechen,

some insights I gained while on sabbatical

die ich während des Sabbatical letztes Jahr

last year in the Carnegie Mellon art school.

an der Carnegie Mellon- Kunsthochschule gewann.

One of the things that I did

Ich machte unter anderem eine Anzahl von Quilts,

is I made a number of quilts,

and I made this quilt here.

und ich machte diesen Quilt hier.

It's called "Security Blanket."

Er nennt sich "Sicherheitspolster".

(Laughter)

(Gelächter)

And this quilt has the 1,000

Dieser Quilt zeigt die 1000 gängigsten gestohlenen Passwörter

most frequent passwords stolen

from the RockYou website.

von der RockYou-Website.

And the size of the passwords is proportional

Die Größe eines Passworts ist proportional zur Häufigkeit seines Auftretens

to how frequently they appeared

in the stolen dataset.

im gestohlenen Datensatz.

And what I did is I created this word cloud,

Ich schuf diese Wortwolke,

and I went through all 1,000 words,

ich ging alle 1000 Wörter durch

and I categorized them into

und teilte sie in lose thematische Kategorien ein.

loose thematic categories.

And it was, in some cases,

Und manchmal war es ziemlich schwierig herauszufinden,

it was kind of difficult to figure out

what category they should be in,

in welcher Kategorie sie sein sollten, und kodierte sie nach Farbe.

and then I color-coded them.

So here are some examples of the difficulty.

Hier sind ein paar Beispiele für die Schwierigkeit.

So "justin."

Etwa "Justin".

Is that the name of the user,

Ist das der Name des Nutzers, des Freundes, des Sohns?

their boyfriend, their son?

Maybe they're a Justin Bieber fan.

Vielleicht sind sie nur eine Bieber-Fan.

Or "princess."

Oder "Prinzessin".

Is that a nickname?

Ist das eine Spitzname?

Are they Disney princess fans?

Oder sind sie Disney-Prinzessinnen-Fans?

Or maybe that's the name of their cat.

Oder vielleicht ist das der Name ihrer Katze.

"Iloveyou" appears many times

"iloveyou" erscheint häufig in vielen verschiedenen Sprachen.

in many different languages.

There's a lot of love in these passwords.

Es gibt viel Liebe in diesen Passwörtern.

If you look carefully, you'll see there's also

Wenn man genau hinsieht, sieht man auch Alltägliches.

some profanity,

Aber für mich war es wirklich interessant zu sehen,

but it was really interesting to me to see

that there's a lot more love than hate

dass in den Passwörtern viel mehr Liebe als Hass steckt.

in these passwords.

And there are animals,

Es gibt auch viele Tiere.

a lot of animals,

and "monkey" is the most common animal

"Affe" ist das häufigste Tier

and the 14th most popular password overall.

und das am 14. beliebteste Passwort überhaupt.

And this was really curious to me,

Das war sehr seltsam für mich,

and I wondered, "Why are monkeys so popular?"

und ich fragte mich: "Warum sind Affen so beliebt?"

And so in our last password study,

In unserer letzten Passwort-Studie

any time we detected somebody

fragten wir immer, wenn wir jemanden fanden,

creating a password with the word "monkey" in it,

der ein Passwort mit dem Wort "Affe" anlegte,

we asked them why they had a monkey in their password.

warum sie Affe im Passwort hatten.

And what we found out --

Und wir fanden heraus --

wir fanden bisher 17 Menschen, die das Wort "Affe" nutzen --

we found 17 people so far, I think,

who have the word "monkey" --

We found out about a third of them said

dass ein Drittel von ihnen ein Haustier namens "Affe" hätten,

they have a pet named "monkey"

or a friend whose nickname is "monkey,"

oder einen Freund, dessen Spitzname "Affe" war.

and about a third of them said

Und ein Drittel von ihnen sagte,

that they just like monkeys

dass sie Affen einfach mögen und Affen wirklich süß sind.

and monkeys are really cute.

And that guy is really cute.

Dieser Affe ist wirklich süß.

So it seems that at the end of the day,

Letztendlich scheint es so,

when we make passwords,

wenn wir Passwörter erstellen,

we either make something that's really easy

nehmen wir etwas wirklich Einfaches zum Tippen, ein gängiges Muster,

to type, a common pattern,

or things that remind us of the word password

oder Dinge, die uns an das Wort Passwort erinnern,

or the account that we've created the password for,

oder an das Konto, für das wir das Passwort erstellt haben,

or whatever.

oder so etwas.

Or we think about things that make us happy,

Oder wir denken an Dinge, die uns glücklich machen,

and we create our password

und wir nehmen ein Passwort,

based on things that make us happy.

basierend auf Dingen, die uns glücklich machen.

And while this makes typing

Obwohl dadurch das Tippen und Erinnern Ihres Passwort mehr Spaß macht,

and remembering your password more fun,

it also makes it a lot easier

erleichtert es auch sehr, Ihr Passwort zu erraten.

to guess your password.

So I know a lot of these TED Talks

Ich weiß, dass viele der TEDTalks inspirierend sind

are inspirational

and they make you think about nice, happy things,

und einen an nette, fröhliche Dinge denken lassen,

but when you're creating your password,

aber wenn Sie Passwort erstellen, versuchen Sie an etwas anderes zu denken.

try to think about something else.

Thank you.

Danke.

(Applause)