Wenn Sie aufgefordert werden, ein Kennwort zu erstellen - entweder für ein neues Online-Konto oder zum Zurücksetzen der Anmeldeinformationen für ein vorhandenes Konto -, werden Sie aufgefordert, ein Kennwort zu erstellen wahrscheinlich wählen Sie ein Passwort, das Sie sich merken können. Viele Leute benutzen extrem grundlegende Passwörteroder ein dunkler eine, die sie an vielen Standorten wiederverwenden. Unsere Forschung Es hat sich herausgestellt, dass andere - auch diejenigen, die unterschiedliche Kennwörter für jede Site verwenden - über eine Methode verfügen, um sie zu entwickeln, zum Beispiel basierend auf allen Kennwörtern eine vertraute Redewendung, die ortsspezifische Änderungen vornimmt.

In all diesen Fällen erstellen die Leute schwache Passwörter, die leicht zu erraten sind - insbesondere, wenn es sich um eine automatisierte Software zum Knacken von Passwörtern handelt, die getestet werden kann Tausende von Möglichkeiten pro Sekunde. Ein Grund für diese Schwäche ist möglicherweise die emotionale Bindung der Benutzer an ihre bereits vorhandene Routine zur Passworterstellung.

Cybersicherheitsanstrengungen ermutigen die Menschen häufig, stärkere Passwörter zu wählen, erkennen jedoch selten die Idee an, dass die Menschen dieses Gefühl der Bindung haben. Sie konzentrieren sich auf die messbare Verbesserung der Sicherheit, ohne zu bemerken, dass sie versuchen, die Leute zum Umstieg auf eine zu bewegen weniger persönliche Methode.

Unsichere Tendenzen

Passwörter sind der Schlüssel zur Cybersicherheit für Menschen und Unternehmen. Ein einziges falsches Passwort kann einem Hacker Zugriff auf eine gesamtes Netzwerk von Computern und Datenspeicherservern.

Infolgedessen viele Computersysteme Benutzer zwingen, regelmäßig neue Kennwörter zu erstellen - sagen wir, alle 30- oder 45-Tage - und fordern Sie jedes Passwort auf, Großbuchstaben, Ziffern und Interpunktionszeichen zu enthalten, obwohl Bundesfachleute raten davon ab diese beiden Praktiken. Das regelmäßige Auffordern, neue Kennwörter zu wählen, die schwer zu merken sind, führt zu unglücklichen Nebenwirkungen. Die Leute könnten Verwenden Sie ein sicheres Kennwort erneut auf mehreren Seiten, oder sie könnten das neue Passwort aufschreiben - das ist sicher nur wenn du den anderen vertraust Wer hat Zugriff, wo Sie den Datensatz speichern.

Schulung von Personen zum Erstellen sicherer Kennwörter hat keinen großen Unterschied gemacht zur allgemeinen Passwortsicherheit im Internet. Leute mögen verstehe die Risiken nicht im Zusammenhang mit schwachen Passwörtern - obwohl einige Experten Schuld Charakterfehler, Dummheit or einfach nur gleichgültig.

Der Endowment-Effekt

Unsere Forschung hat eine weitere Erklärung dafür gefunden, warum Menschen schwache Passwörter wählen: Menschen fühlen sich in der Weise, wie sie normalerweise Passwörter erstellen, besessen und emotional an sie gebunden. In der Verhaltensökonomie nennt man diese Art der Reaktion die Begabungseffekt, bei denen leute so überbewerten ihre vorhandenen Besitztümer daß sie Ich möchte sie nicht gegen andere Gegenstände eintauschen - Auch wenn der neue Gegenstand besser oder wertvoller ist.

Der Begabungseffekt wird normalerweise auf physische Güter angewendet - und kann erklären, warum Ihre Großmutter keine neue Waschmaschine als Ersatz für ihre jahrzehntealte Waschmaschine haben möchte. Unsere Untersuchungen legen nahe, dass derselbe psychologische Prozess die Art und Weise beeinflusst, wie Benutzer ihre Routinen zur Passworterstellung betrachten.

In unserer Studie haben wir 419-Teilnehmer gefragt, wie sie ihre Passwörter erstellt haben. Viele benutzten etwas, das sie bereits kannten, wie einen Kosenamen oder ihren eigenen Geburtstag. Andere hatten ein persönliches System entwickelt. Sie haben möglicherweise ein root-Passwort und personalisieren es dann für jede andere Site, verwenden ein Muster auf der Tastatur oder bilden einen albernen Satz.

Als wir uns eingehender mit dem Thema befassten, stellten wir fest, dass die Leute ein Gefühl der Eigenverantwortung und des persönlichen Stolzes über ihre Routine zur Passworterstellung verspürten. Einer sagte: „Ich denke, mein Weg ist ein gutes System.“ Außerdem stellten wir fest, dass sie ihre eigene Methode überbewerteten und sich durch Vorschläge bedroht fühlten, dass sie fehlerhaft war.

Wir stellten ein Szenario vor, in dem „Terry“ die Passworterstellungsroutine von „Pat“ verspottet und dann die Leute gefragt hat, wie sie gedacht haben, dass Pat reagieren würde. Die beliebtesten Antworten waren: defensiv werden, das Gespräch meiden oder sich zurückziehen. All dies deutet darauf hin, dass eine Kritik an einer persönlichen Passwortroutine als Angriff oder Bedrohung empfunden wurde.

Diese Antworten stimmten perfekt mit dem Begabungseffekt überein, einschließlich der Feststellung, dass die Teilnehmer unter der Illusion arbeiteten, dass ihre Passwörter mehr Schutz boten als sie tatsächlich.

Mehr als nur eine Gewohnheit

Der Anhang, den die Leute an ihre Methode zur Passwortauswahl halten, ist mehr als nur eine Gewohnheit. Psychologisch gesehen ist eine Gewohnheit eine durch ein Ereignis hervorgerufenes Verhalten oder ein Gegenstand in der Umgebung - wie das Zähneputzen vor dem Schlafengehen, Händewaschen vor dem Essen oder das Ausschalten des Lichts beim Verlassen eines Zimmers. Sie sind oft fast automatisch und erfordern keine bewusste Entscheidung oder viel Nachdenken. Etwas, das eine Gewohnheit ist, scheint natürlich vorzukommen, ohne dass eine bewusste Entscheidung seine Aktivierung auslöst.

Die Auswahl eines Passworts ist anders. Es erfordert immer bewusstes und mühsames Erkennen. Das ist es, was den Begabungseffekt ins Spiel bringt. Cybersecurity-Schulungsprogramme sollten nicht nur Informationen über enthalten wie man wählt sicherere Kennwörter, sollten jedoch auch berücksichtigen, dass Benutzer möglicherweise ein Gefühl des Verlusts in Bezug auf die Änderung verspüren.

Leute werden keine stärkeren Passwörter wählen, nur weil sie dazu aufgefordert werden. Wenn sie das Gefühl haben, dass ihre bestehenden Methoden mit Verachtung behandelt werden, werden sie dies möglicherweise als persönlichen Angriff empfinden und es wird noch unwahrscheinlicher, dass sie sicherere Praktiken anwenden.

Stattdessen sollten Sicherheitsexperten Wege finden, um das Verlustempfinden der Benutzer zu minimieren - und sie möglicherweise sogar ermutigen, eine neue emotionale Verbindung zu einer sichereren Auswahlmethode zu finden.

Autoren: Merrill WarkentinJames J. Rouse, Stiftungsprofessor für Informationssysteme, Mississippi State University; Karen Renaud, Professor für Cybersicherheit, Abertay-Universität und Robert Otondo, Außerordentlicher Professor für Informationssysteme, Mississippi State University

Dieser Artikel wird erneut veröffentlicht Das Gespräch unter einer Creative Commons-Lizenz. Lies das Original Artikel.