IM5 - Sichere Passwörter und Passphrasen
IM5 - Sichere Passwörter und Passphrasen
Einleitung
Digitale Konten sind wie Schließfächer: Nur wer den richtigen Zugang hat, soll hineinkommen. Ein Passwort oder eine Passphrase hilft dabei, Deinen Schulaccount, eine Lernplattform, Deine E-Mail und Deinen MOOCwiki-Zugang zu schützen. In diesem aiMOOC lernst Du, warum vor allem lange, einzigartige und geheim gehaltene Zugangsdaten wichtig sind, wie ein Passwortmanager helfen kann und wie Mehrfaktor-Authentisierung einen zusätzlichen Schutz einbaut.
Wichtige Sicherheitsregel für diesen gesamten aiMOOC: Gib bei keiner Aufgabe ein echtes Passwort, eine echte Passphrase, einen echten Einmalcode, einen Recovery-Code oder andere echte Zugangsdaten ein. Alle Beispiele sind erfunden und dürfen nicht für echte Konten übernommen werden.
Das Bild zeigt einen gesperrten Computer als Modell für Zugangsschutz. Ein Passwort ist dabei nur eine Schutzschicht. Gute Kontosicherheit besteht aus mehreren Gewohnheiten: ein eigener Zugang pro Dienst, sichere Aufbewahrung, Schutz vor Phishing und – wenn angeboten – ein zusätzlicher Faktor.
Das BSI-Video bietet einen Einstieg in das Thema sichere Passwörter. Sicherheitsregeln entwickeln sich weiter. Für diesen aiMOOC gilt deshalb immer der aktuelle Merksatz: lang, einzigartig, geheim und nach Möglichkeit mit MFA ergänzt.
Lernziele
Nach diesem aiMOOC kannst Du erklären, warum ein Passwort nicht mehrfach verwendet werden sollte. Du kannst eine lange Modell-Passphrase aus mehreren voneinander unabhängigen Wörtern beschreiben, ohne ein echtes Passwort preiszugeben. Du kannst sichere und unsichere Aufbewahrungsorte unterscheiden. Du kannst die Grundidee von Wissen, Besitz und biometrischer Eigenschaft bei der Mehrfaktor-Authentisierung erklären. Außerdem kannst Du passende Schutzmaßnahmen für Schulaccount, Lernplattform, E-Mail und MOOCwiki begründen.
Was ist ein Passwort?
Ein Passwort ist ein geheimes Zeichen- oder Wortmuster, das bei einer Anmeldung beweisen soll, dass Du berechtigt bist, ein Konto zu benutzen. Dein Benutzername ist häufig sichtbar oder leicht herauszufinden. Das Passwort dagegen muss geheim bleiben.
Eine wichtige Idee lautet: Ein Passwort ist kein Name für Dich, sondern ein Geheimnis für genau einen Zugang. Deshalb sind Vorname, Spitzname, Geburtsdatum, Klassenname, Haustiername oder einfache Folgen wie 123456 ungeeignet. Menschen, die Dich kennen, könnten solche Angaben erraten. Auch Computerprogramme probieren sehr häufige Wörter und Muster besonders früh aus.
Beispiele wie Sommer2026!, Schule123 oder Passwort1! sehen auf den ersten Blick vielleicht kompliziert aus. Sie beruhen aber auf bekannten Mustern und eignen sich nicht als Vorbilder.
Was ist eine Passphrase?
Eine Passphrase ist ein besonders langes Anmeldegeheimnis, das aus mehreren Wörtern oder Wortbestandteilen bestehen kann. Für das Training in Klasse 5 eignet sich ein einfaches Modell: Mehrere voneinander unabhängige Wörter werden zufällig gewählt und zu einer langen Wortkette verbunden.
Öffentliches Modell – niemals als echtes Passwort verwenden: Kiesel-Limo-Wolke-Trommel
Dieses Modell ist lang und besteht aus mehreren unabhängigen Wörtern. Weil es hier öffentlich steht, ist es als echtes Passwort selbstverständlich ungeeignet. Für ein echtes Konto müsste eine eigene, nicht veröffentlichte und nicht wiederverwendete Passphrase gewählt werden.
Eine Passphrase sollte nicht einfach ein bekannter Satz, ein Liedtext, ein Spruch, der Schulname oder eine Information über Dich sein. Je vorhersehbarer eine Wortfolge ist, desto leichter kann sie erraten werden. Zufällige oder voneinander unabhängige Wörter sind deshalb als Lernmodell besser geeignet.
Das Vier-Schlösser-Modell
Du kannst Dir Kontoschutz mit vier Schlössern vorstellen:
| Schloss | Bedeutung | Sichere Gewohnheit |
|---|---|---|
| Länge | Kurze Geheimnisse haben weniger mögliche Varianten. | Nutze eine lange Passphrase oder ein langes, zufällig erzeugtes Passwort. |
| Einzigartigkeit | Wird dasselbe Passwort mehrfach benutzt, kann ein Datenleck mehrere Konten gefährden. | Verwende für jeden Dienst ein anderes Passwort oder eine andere Passphrase. |
| Geheimhaltung | Auch ein starkes Passwort schützt nicht, wenn es weitergegeben wird. | Teile Zugangsdaten nicht in Chats, Nachrichten, Bildern oder offenen Notizen. |
| Zusatzfaktor | Ein zweiter Faktor kann helfen, wenn ein Passwort trotzdem gestohlen wurde. | Aktiviere Mehrfaktor-Authentisierung, wenn der Dienst sie anbietet und die Schule oder Familie sie sinnvoll einrichten kann. |
Dieses Modell zeigt: Nicht nur die Zeichen im Passwort sind wichtig. Auch die Art, wie Du es benutzt und aufbewahrst, entscheidet über die Sicherheit.
Länge ist wichtiger als Zaubertricks
Früher lautete ein häufiger Tipp: Nimm unbedingt Großbuchstaben, Kleinbuchstaben, Zahlen und Sonderzeichen. Moderne Empfehlungen achten stärker auf Länge, Einzigartigkeit und darauf, sehr häufige oder bereits bekannte Passwörter nicht zuzulassen. Ein Sonderzeichen am Ende eines einfachen Wortes macht aus einem leicht erratbaren Muster nicht automatisch ein gutes Passwort.
Solche Anzeigen zur Passwortstärke können Hinweise geben. Sie sind aber kein Sicherheitsbeweis. Ein Balken weiß zum Beispiel nicht immer, ob ein Passwort bereits öffentlich bekannt ist, bei mehreren Konten wiederverwendet wird oder auf persönlichen Informationen beruht.
Ganz wichtig: Teste niemals ein echtes Passwort auf einer zufälligen Internetseite. Auch in diesem aiMOOC werden keine echten Passwörter geprüft.
Zufall statt persönlicher Hinweise
Stell Dir Wortkarten vor. Auf jeder Karte steht ein harmloses, nicht persönliches Wort. Mehrere Karten werden zufällig gezogen und nur für eine Übung zu einer Modell-Passphrase verbunden.
Beispielkarten: Laterne, Kiesel, Mango, Wolke, Trommel, Pinsel, Rakete, Kanu.
Ein Modell könnte lauten: Mango-Kanu-Laterne-Pinsel. Weil auch dieses Beispiel öffentlich im Unterricht steht, darf es nicht für ein echtes Konto verwendet werden.
Der Sinn der Übung ist nicht, dass Du diese Wörter übernimmst. Du sollst verstehen, dass mehrere zufällige, nicht persönliche und unabhängige Bestandteile eine lange Passphrase bilden können.
Einzigartig: Jedes Konto bekommt ein eigenes Geheimnis
Wenn Du dasselbe Passwort für Schulaccount, Lernplattform, E-Mail und MOOCwiki verwendest, entsteht ein Domino-Risiko. Wird ein Dienst angegriffen und das Passwort bekannt, könnten Angreifende versuchen, genau dieses Passwort auch bei den anderen Konten zu verwenden.
Deshalb gilt:
- Schulaccount: eigenes Passwort oder eigene Passphrase.
- Lernplattform: anderes Passwort oder andere Passphrase.
- E-Mail: besonders sorgfältig schützen, weil E-Mail-Konten oft zum Zurücksetzen anderer Konten verwendet werden.
- MOOCwiki: ebenfalls ein eigenes Zugangspasswort verwenden und zusätzliche Sicherheitsfunktionen nutzen, wenn sie angeboten werden.
Merksatz: Ein Dienst – ein Geheimnis.
Passwortmanager: ein sicherer Tresor für viele Zugänge
Ein Passwortmanager kann lange und unterschiedliche Passwörter erzeugen und verschlüsselt aufbewahren. Dadurch musst Du nicht für jedes Konto ein langes Zufallspasswort auswendig lernen.
Das Bild zeigt ein Beispiel für eine Passwortmanager-Oberfläche. Programme können unterschiedlich aussehen. Entscheidend ist das Prinzip: Zugangsdaten werden in einem geschützten Tresor verwaltet.
Für Klasse 5 gilt: Nutze einen Passwortmanager nur nach den Regeln Deiner Schule und gemeinsam mit einer erziehungsberechtigten oder verantwortlichen Person, wenn das für Deinen Account vorgesehen ist. Das Hauptpasswort eines Passwortmanagers ist besonders wichtig und darf nicht für andere Dienste wiederverwendet werden.
Sichere Aufbewahrung
Ein starkes Passwort nützt wenig, wenn es offen herumliegt. Unsicher sind zum Beispiel ein Zettel auf dem Bildschirm, ein Foto in der ungeschützten Bildergalerie, eine Nachricht im Klassenchat, eine Datei namens „Passwörter.txt“ auf einem gemeinsam genutzten Computer oder eine Notiz, die offen im Mäppchen steckt.
Sicherer ist ein von Schule oder Familie freigegebener Passwortmanager. Recovery-Codes oder andere Notfallzugänge gehören – wenn ein Dienst solche Codes anbietet – an einen besonders geschützten Ort. Bei Kindern sollte die sichere Notfallaufbewahrung nach den Regeln der Schule oder gemeinsam mit einer erziehungsberechtigten Person organisiert werden.
Auf gemeinsam genutzten Schulcomputern solltest Du Zugangsdaten nicht dauerhaft im Browser speichern, wenn dies nicht ausdrücklich durch das Schulkonzept vorgesehen ist. Melde Dich nach der Nutzung ab und schließe den Browser.
Mehrfaktor-Authentisierung: zwei verschiedene Arten von Beweisen
Bei der Mehrfaktor-Authentisierung, kurz MFA, werden mindestens zwei unterschiedliche Faktoren kombiniert. Bei zwei Faktoren spricht man häufig von Zwei-Faktor-Authentisierung oder 2FA.
Die drei wichtigsten Faktorarten sind:
| Faktorart | Frage | Beispiel |
|---|---|---|
| Wissen | Was weißt Du? | Passwort, Passphrase oder PIN |
| Besitz | Was besitzt Du? | Authenticator-App auf einem eingerichteten Gerät oder Sicherheitsschlüssel |
| Eigenschaft | Was bist Du? | Zum Beispiel ein biometrisches Merkmal, wenn das System es sicher unterstützt |
Zwei Passwörter hintereinander wären nicht automatisch echte Zwei-Faktor-Authentisierung, weil beide zum gleichen Typ Wissen gehören. Sicherer ist eine Kombination aus unterschiedlichen Faktorarten.
MFA macht ein Konto widerstandsfähiger, ist aber kein Zauberschild. Wenn Du einen Einmalcode auf einer gefälschten Login-Seite eingibst, kann auch dieser missbraucht werden. Deshalb bleibt der Schutz vor Phishing wichtig.
Wie eine Anmeldung geprüft wird
Bei einer Anmeldung prüft ein System, ob die eingegebenen oder vorgelegten Anmeldemittel zum Konto passen. Im Alltag siehst Du davon meist nur die Login-Seite. Hinter der Seite laufen jedoch Prüfungen ab, bevor der Zugang freigegeben wird.
Eine Animation kann zeigen, wie ein Challenge-Verfahren grundsätzlich mit einer wechselnden Aufgabe arbeitet:
Die Animation ist ein historisches Beispiel für ein Challenge-Verfahren. Für Dich ist die zentrale Idee wichtig: Ein gutes Anmeldesystem kann mehr verlangen als ein einziges, immer gleiches Geheimnis.
Phishing: Wenn jemand Dein Geheimnis abfragen will
Phishing bedeutet, dass jemand Dich mit einer gefälschten Nachricht oder Webseite dazu bringen möchte, Zugangsdaten preiszugeben. Ein sehr langes Passwort hilft nicht, wenn Du es selbst auf einer falschen Seite eingibst.
Das gezeigte GIF ist ein älteres Beispiel. Die Technik dahinter gibt es weiterhin: Eine Nachricht soll dringend wirken und Dich zu einer Anmeldung verleiten.
Für Klasse 5 hilft die Stopp-Regel:
- Stopp: Klicke nicht sofort auf einen Login-Link aus einer unerwarteten Nachricht.
- Prüfen: Öffne die bekannte Schul- oder Lernplattform lieber über ein gespeichertes Lesezeichen oder die bekannte Adresse.
- Fragen: Wenn etwas ungewöhnlich aussieht, frage eine Lehrkraft oder eine erziehungsberechtigte Person.
- Niemals weitergeben: Passwort, MFA-Code und Recovery-Code gehören nicht in Chats oder Antworten auf Nachrichten.
Vier konkrete Schutzfälle
| Zugang | Wichtigstes Risiko | Passender Schutz |
|---|---|---|
| Schulaccount | Andere sehen beim Tippen zu oder das Konto bleibt am gemeinsamen Gerät angemeldet. | Eigenes langes Passwort, Bildschirm schützen, nach der Nutzung abmelden, MFA nutzen, wenn die Schule sie anbietet. |
| Lernplattform | Dasselbe Passwort wird wie beim Schulaccount benutzt. | Ein anderes Passwort verwenden, nur über die echte Plattform anmelden und Zugangsdaten nicht im Klassenchat teilen. |
| Über die E-Mail können oft andere Konten zurückgesetzt werden. | Besonders starkes und einzigartiges Passwort verwenden, MFA aktivieren und Wiederherstellungswege sorgfältig schützen. | |
| MOOCwiki | Ein öffentlich sichtbarer Benutzername wird mit einem schwachen oder wiederverwendeten Passwort kombiniert. | Eigenes langes Passwort oder eigene Passphrase verwenden, nur auf der richtigen Website anmelden und zusätzliche Kontosicherheit einschalten, wenn sie angeboten wird. |
MOOCwiki und Wikimedia: ähnlich, aber nicht identisch
MOOCwiki nutzt Wiki-Technik. Sicherheitsfunktionen können sich jedoch von anderen Wikimedia- oder MediaWiki-Angeboten unterscheiden. Prüfe daher immer die tatsächlich angebotenen Kontoeinstellungen.
Das folgende Bild zeigt beispielhaft eine Zwei-Faktor-Verwaltung in einem Wikimedia-System. Es ist keine Garantie, dass MOOCwiki dieselbe Oberfläche oder dieselben Möglichkeiten anbietet.
Wenn bei Deinem MOOCwiki-Konto zusätzliche Sicherheitsfunktionen angeboten werden, richte sie nach den Hinweisen der Plattform und – bei schulischer Nutzung – nach den Regeln Deiner Schule ein.
Was tun, wenn etwas schiefgeht?
Wenn Du glaubst, dass jemand Dein Passwort kennt, solltest Du nicht warten. Nutze den offiziellen Weg des Dienstes, um das Passwort zu ändern, und verwende danach ein neues, einzigartiges Passwort. Wenn dasselbe alte Passwort versehentlich bei mehreren Diensten benutzt wurde, müssen auch diese Zugänge abgesichert werden.
Wenn Du eine unerwartete MFA-Anfrage bekommst, obwohl Du Dich gerade nicht anmeldest, bestätige sie nicht. Informiere eine Lehrkraft, die zuständige Betreuung oder eine erziehungsberechtigte Person.
Wenn Dein Gerät mit einem Authenticator verloren geht, nutze die vorgesehenen Wiederherstellungswege. Genau dafür können sicher aufbewahrte Recovery-Codes oder ein zuvor eingerichteter Ersatzweg wichtig sein.
Sicherheitsdetektiv: Welche Gewohnheit ist besser?
| Situation | Unsichere Reaktion | Sichere Reaktion |
|---|---|---|
| Eine Freundin fragt nach Deinem Schulpasswort, um „kurz etwas nachzusehen“. | Passwort schicken. | Nicht teilen und bei Bedarf gemeinsam eine Lehrkraft fragen. |
| Du erhältst eine Nachricht mit „Dein Konto wird in 5 Minuten gelöscht“. | Sofort auf den Link klicken. | Nachricht nicht über den Link öffnen, sondern den Dienst über den bekannten Zugang prüfen. |
| Du brauchst für vier Dienste vier Zugangsdaten. | Überall dasselbe Passwort verwenden. | Für jeden Dienst ein eigenes Geheimnis nutzen oder einen freigegebenen Passwortmanager verwenden. |
| Ein fremder Login löst eine MFA-Anfrage auf Deinem Gerät aus. | Bestätigen, damit die Meldung verschwindet. | Ablehnen und den Vorfall melden. |
| Du arbeitest am gemeinsam genutzten Schulcomputer. | Angemeldet weggehen. | Abmelden und Browser schließen. |
Passwortmythen
Mythos 1: „Wenn ein Passwort kompliziert aussieht, ist es automatisch sicher.“ Nein. Auch ein kompliziert aussehendes, aber sehr bekanntes oder wiederverwendetes Passwort kann unsicher sein.
Mythos 2: „Ich kann mein Schulpasswort auch für die Lernplattform nehmen.“ Nein. Wiederverwendung vergrößert den Schaden, wenn ein Zugang kompromittiert wird.
Mythos 3: „Ich darf mein Passwort in einen Online-Passworttester eingeben.“ Nein. Echte Passwörter gehören niemals in zufällige Testseiten.
Mythos 4: „MFA bedeutet zwei Passwörter.“ Nicht unbedingt. Echte MFA kombiniert unterschiedliche Faktorarten, zum Beispiel Wissen und Besitz.
Mythos 5: „Wenn ich MFA habe, kann mir Phishing nichts mehr anhaben.“ Nein. Manche Angriffe versuchen zusätzlich, Einmalcodes oder Freigaben zu stehlen. Prüfe deshalb immer die echte Anmeldeseite.
Merksätze
- Lang: Lange Passwörter oder Passphrasen sind schwerer zu erraten als kurze.
- Einzigartig: Jeder Dienst bekommt ein eigenes Geheimnis.
- Geheim: Keine Passwörter oder Codes in Chats, Bildern oder offenen Notizen teilen.
- Verwaltet: Nutze einen freigegebenen Passwortmanager, wenn dies für Dich vorgesehen ist.
- Mehrfach geschützt: Aktiviere MFA, wenn sie angeboten wird.
- Aufmerksam: Prüfe Login-Seiten und reagiere vorsichtig auf unerwartete Nachrichten.
- Abgemeldet: Verlasse gemeinsam genutzte Geräte nie mit offenem Konto.
Fachliche Quellen und Vertiefung
- BSI: Basistipps zur IT-Sicherheit
- NIST SP 800-63B: Authentication and Authenticator Management
- Wikipedia: Passwort
- Wikipedia: Zwei-Faktor-Authentisierung
- Wikipedia: Diceware
Interaktive Aufgaben
Sicherheitsregel für alle interaktiven Aufgaben: Verwende nur die vorgegebenen Fantasiebeispiele. Trage niemals ein echtes Passwort, eine echte Passphrase, einen echten MFA-Code oder einen Recovery-Code ein.
Quiz: Teste Dein Wissen
Warum sollte jeder Online-Dienst ein eigenes Passwort haben? (Damit ein gestohlenes Passwort nicht automatisch mehrere Konten gefährdet) (!Damit alle Passwörter gleich aussehen) (!Damit man das gleiche Passwort schneller tippen kann) (!Damit Freunde leichter helfen können)
Welche Beschreibung passt am besten zu einer sicheren Passphrase? (Eine lange Folge aus mehreren unabhängigen und nicht persönlichen Wörtern) (!Der eigene Vorname mit Geburtsjahr) (!Ein bekanntes Sprichwort) (!Das Wort Passwort mit einer Eins dahinter)
Was solltest Du mit einem echten Passwort niemals tun? (Es in einen Klassenchat oder eine fremde Testseite eingeben) (!Es nur auf der echten Anmeldeseite verwenden) (!Es für genau einen Dienst verwenden) (!Es in einem freigegebenen Passwortmanager speichern)
Was ist die wichtigste Aufgabe eines Passwortmanagers? (Unterschiedliche Zugangsdaten geschützt speichern und verwalten) (!Alle Passwörter öffentlich anzeigen) (!Jedes Konto mit demselben Passwort versehen) (!MFA grundsätzlich ausschalten)
Was bedeutet MFA grundsätzlich? (Mehrere unterschiedliche Authentisierungsfaktoren werden kombiniert) (!Ein Passwort wird zweimal hintereinander eingegeben) (!Zwei Benutzernamen werden zusammen verwendet) (!Das Konto wird auf zwei Webseiten gleichzeitig geöffnet)
Welches Beispiel gehört zum Faktor Besitz? (Ein eingerichtetes Gerät mit Authenticator-App) (!Eine geheime Passphrase) (!Der Name der Schule) (!Eine gemerkte PIN)
Was ist bei einer unerwarteten MFA-Anfrage richtig? (Nicht bestätigen und den Vorfall einer zuständigen Person melden) (!Sofort bestätigen) (!Den MFA-Code im Chat teilen) (!Das Passwort an Freunde schicken)
Warum ist das E-Mail-Konto besonders schützenswert? (Weil darüber häufig andere Konten zurückgesetzt werden können) (!Weil E-Mails immer öffentlich sind) (!Weil E-Mail-Konten kein Passwort brauchen) (!Weil MFA bei E-Mail grundsätzlich unmöglich ist)
Was solltest Du nach der Nutzung eines gemeinsam verwendeten Schulcomputers tun? (Dich abmelden und den Browser schließen) (!Das Konto geöffnet lassen) (!Das Passwort auf den Bildschirm kleben) (!Den Zugang mit der nächsten Person teilen)
Was ist eine gute Reaktion auf einen verdächtigen Login-Link in einer Nachricht? (Die bekannte Plattform unabhängig vom Link öffnen und bei Unsicherheit nachfragen) (!Den Link sofort öffnen und das Passwort eingeben) (!Die Nachricht an alle Mitschüler weiterleiten) (!Den eigenen MFA-Code zurückschicken)
Memory
| Passphrase | Langes Anmeldegeheimnis aus mehreren unabhängigen Bestandteilen |
| Einzigartigkeit | Jeder Dienst erhält ein anderes Geheimnis |
| Passwortmanager | Geschützter Tresor für Zugangsdaten |
| Mehrfaktor | Kombination verschiedener Arten von Anmeldebeweisen |
| Wissensfaktor | Etwas Geheimes, das Du weißt |
| Besitzfaktor | Etwas Eingerichtetes, das Du besitzt |
| Phishing | Täuschungsversuch zum Stehlen von Zugangsdaten |
| Recoverycode | Notfallcode für einen vorgesehenen Wiederherstellungsweg |
Drag and Drop
| Ordne die richtigen Begriffe zu. | Thema |
|---|---|
| Passphrase | langes Anmeldegeheimnis |
| Authenticator-App | Besitzfaktor |
| Fingerabdruck | biometrische Eigenschaft |
| Passwortmanager | geschützte Aufbewahrung |
| Schulaccount | eigener einzigartiger Zugang |
| Abmelden | Schutz am gemeinsam genutzten Gerät |
Kreuzworträtsel
| Passphrase | Wie nennt man ein langes Anmeldegeheimnis aus mehreren Wörtern? |
| Phishing | Wie heißt ein Täuschungsversuch mit gefälschten Nachrichten oder Login-Seiten? |
| Besitz | Welche Faktorart beschreibt ein eingerichtetes Gerät oder einen Sicherheitsschlüssel? |
| Passwortmanager | Wie heißt ein Programm zur geschützten Verwaltung vieler Zugangsdaten? |
| Abmelden | Was solltest Du an einem gemeinsam genutzten Schulcomputer nach der Arbeit tun? |
| Authenticator | Wie heißt häufig eine App, die Einmalcodes für einen zweiten Faktor erzeugt? |
LearningApps
Lückentext
Interaktive Sicherheitsfälle
Entscheide jeweils, welche Reaktion Du begründen würdest. Schreibe dabei keine echten Zugangsdaten auf.
| Fall | Deine Aufgabe |
|---|---|
| Kim benutzt für Schulaccount und Lernplattform dasselbe Passwort. | Erkläre, welches Risiko entsteht und welche Änderung das Risiko verkleinert. |
| Alex erhält eine Nachricht mit einem Link zu einer angeblichen Schul-Anmeldung. | Beschreibe zwei sichere Prüfschritte, bevor irgendeine Anmeldung erfolgt. |
| Sam bekommt auf dem Handy eine MFA-Anfrage, ohne sich selbst anzumelden. | Begründe, warum Sam die Anfrage ablehnen sollte. |
| Noor möchte sich vier verschiedene Zufallspasswörter nicht merken. | Erkläre, wie ein freigegebener Passwortmanager helfen kann. |
| Robin arbeitet an einem Bibliothekscomputer und muss gehen. | Formuliere eine sichere Abschlussroutine. |
Offene Aufgaben
Für alle offenen Aufgaben gilt: Verwende ausschließlich erfundene Beispiele und Modell-Zugangsdaten. Echte Passwörter, Passphrasen, MFA-Codes und Recovery-Codes werden niemals gezeigt, fotografiert, abgefragt oder eingesammelt.
Leicht
- Sicherheitsampel: Gestalte eine Ampel mit roten, gelben und grünen Passwort-Gewohnheiten. Nutze nur erfundene Beispiele.
- Wortkarten: Stelle aus vorbereiteten Fantasiewörtern drei unterschiedliche Modell-Passphrasen zusammen und erkläre, warum sie nur Unterrichtsbeispiele sind.
- Passwort-Plakat: Entwirf ein Plakat mit den vier Begriffen lang, einzigartig, geheim und MFA.
- Account-Vergleich: Zeichne vier Symbole für Schulaccount, Lernplattform, E-Mail und MOOCwiki und notiere zu jedem eine passende Schutzregel.
Standard
- Sicherheitscomic: Zeichne einen kurzen Comic, in dem eine Figur einen Phishing-Link erkennt und sicher reagiert. Zeige keine echten Anmeldedaten.
- Phishing-Rollenspiel: Spielt zu zweit eine erfundene Situation mit einer verdächtigen Nachricht nach und zeigt die Schritte Stopp, Prüfen und Fragen.
- Passwortmanager-Modell: Baue aus Papier ein Tresor-Modell und erkläre, warum ein Passwortmanager viele verschiedene Zugangsdaten verwalten kann.
- MFA-Parcours: Entwickle drei Stationen zu Wissen, Besitz und Eigenschaft. Verwendet nur Karten und Fantasiebegriffe, keine echten Gerätecodes.
Schwer
- Sicherheitskonzept: Entwickle ein Schutzkonzept für Schulaccount, Lernplattform, E-Mail und MOOCwiki. Begründe für jeden Dienst Einzigartigkeit, Aufbewahrung und mögliche MFA.
- Interview IT-Sicherheit: Befrage eine Lehrkraft oder die schulische IT-Betreuung dazu, welche Passwort- und MFA-Regeln an Eurer Schule gelten. Frage ausdrücklich nicht nach echten Zugangsdaten.
- Erklärvideo: Produziere ein kurzes Erklärvideo über Passphrasen und MFA. Benutze nur erfundene Modellwörter und blende den Hinweis „Keine echten Passwörter zeigen“ ein.
- Sicherheitsaudit: Prüfe eine erfundene Kontolandschaft mit vier Modellkonten auf Wiederverwendung, unsichere Aufbewahrung, fehlende MFA und Phishing-Risiken. Formuliere anschließend Verbesserungen.
|
|
Lernkontrolle
- Domino-Effekt: Zwei erfundene Dienste benutzen dasselbe Passwort. Erkläre, warum ein Datenleck bei einem Dienst den zweiten Dienst gefährden kann und wie Einzigartigkeit das Problem verändert.
- Passphrase-Vergleich: Vergleiche die öffentlichen Modellbeispiele „Maus12!“ und „Kiesel-Limo-Wolke-Trommel“. Erkläre, welche Eigenschaften für die zweite Variante sprechen und warum auch sie nicht als echtes Passwort genutzt werden darf.
- MFA-Fall: Eine Person kennt Dein Passwort, besitzt aber nicht Dein eingerichtetes Authenticator-Gerät. Erkläre, welchen zusätzlichen Schutz MFA bieten kann und welche Grenzen dieser Schutz hat.
- Gemeinsamer Computer: Entwickle eine sichere Schrittfolge für die Nutzung eines Schulcomputers vom Öffnen der echten Lernplattform bis zum Abmelden.
- Phishing-Transfer: Eine Nachricht behauptet, Dein Schulaccount werde sofort gelöscht, wenn Du Dich nicht über einen Link anmeldest. Begründe eine sichere Reaktion, ohne den Link zu benutzen.
- Kontenschutz-Plan: Entwirf für Schulaccount, Lernplattform, E-Mail und MOOCwiki einen Plan mit jeweils eigenem Passwortprinzip, sicherer Aufbewahrung und zusätzlichem Faktor, falls angeboten.
- Vorfall-Reaktion: Ein Gerät mit Authenticator-App geht verloren. Beschreibe, welche offiziellen Wiederherstellungswege sinnvoll sind und warum Recovery-Codes nicht offen gespeichert werden dürfen.
Lernnachweis
Für einen Lernnachweis zu diesem Thema ist wichtig, dass Du nicht nur Begriffe kennst, sondern sichere Entscheidungen begründen kannst.
- Du erklärst den Unterschied zwischen Passwort und Passphrase.
- Du begründest, warum Länge und Einzigartigkeit wichtig sind.
- Du erklärst das Risiko von Passwort-Wiederverwendung.
- Du beschreibst sichere und unsichere Formen der Aufbewahrung.
- Du ordnest Wissen, Besitz und Eigenschaft als MFA-Faktoren ein.
- Du wendest Schutzregeln auf Schulaccount, Lernplattform, E-Mail und MOOCwiki an.
- Du erkennst typische Phishing-Situationen und beschreibst sichere Reaktionen.
- Du kannst erklären, was bei einem möglichen Passwortverlust oder einer unerwarteten MFA-Anfrage zu tun ist.
- Du hältst bei allen Aufgaben die Regel ein, niemals echte Passwörter oder Codes offenzulegen.
OERs zum Thema
Verknüpfte Lernbereiche