Aug 18, 2026, 5:57 AM@frederic solche Anbieter werden von mir sanktioniert.
- Aug 18, 2026, 5:57 AM
Replies
Erinaceuserinaceus@chaos.socialAug 18, 2026, 6:08 AM@holger @frederic Die Bundesagentur für Arbeit ist leider unter diesen Anbietern, die kann man nicht einfach sanktionieren: https://blog.strangerthanusual.de/blogposts/ba_passwortrichtlinie
Marcmerms@mastodon.socialAug 18, 2026, 6:40 AM@erinaceus Was du da zeigst, ist halt ein klassisches „User vor sich selbst schützen“/Compliance-Problem. Ich habe da ein gewisses Verständnis. Du hast nun mal haufenweise User, die „superman“ als Passwort setzen würden, wenn sie könnten. Man bräuchte da im Grunde eine vorgeschaltete Frage: „Wissen Sie, was Sie tun?“ Wenn du da „ja“ klickst, kannst du dein Passwort frei wählen, ansonsten bekommst du diesen Dialog.
Na ja, aber rate, was die „superman“-Leute klicken würden. 😅
- Aug 18, 2026, 6:46 AM
Hä? Was hat das damit zu tun, dass es einem System völlig egal sein sollte was für Zeichen ich verwende. Das hat mit deinem Beispiel rein gar nichts zu tun. Wieso sollte mir verboten werden \^'"../ in mein Passwort einzubauen?
- Marcmerms@mastodon.socialAug 18, 2026, 11:57 AM
@holger Na ja, ich habe das Thema verallgemeinert auf „unsinnige Passwortregeln“.
Speziell zu dem Aspekt der erlaubten Zeichen: Klar ist es irgendwie willkürlich, meinetwegen Slashes zu erlauben, aber Carets dann nicht. Aber da fängt es IMO auch an, eine reine Prinzipfrage zu werden, die im Grunde keinen praktischen Wert mehr hat. (Im Sinne von: Du willst nur unbedingt ein Caret verwenden, weil es nicht geht.)
Mit Sicherheit oder UX hat das nicht mehr viel zu tun.
- Aug 18, 2026, 12:04 PM
Das Problem ist doch, dass Entwickler Angst haben, dass das zu "Code Injection" führen könnte. Und anstatt das System sicher zu bauen, erlauben sie nur einen Teil und stellen sinnlose Regeln auf. Es sollte alles erlaubt sein, von mir aus noch 1 Groß- und 1 Kleinbuchstabe, plus ein Sonderzeichen bei mindestens 16 Zeichen. Das verstehen alle und Passwortgeneratoren unterstützen das. Es gibt KEINEN Grund, Zeichen auszuschließen, außer deine Software ist fehlerhaft.
- Marcmerms@mastodon.socialAug 19, 2026, 7:13 AM
@holger Wenn Injection der Grund ist, haben sie wirklich ein Problem. 😅 Ich finde das BA-Beispiel auch nicht gelungen. Bin im Grunde bei dir/euch.
Mich stört das Weglassen „exotischerer“ Sonderzeichen einfach nicht so sehr, weil ich die Liste – aus Usersicht – glaube ich nicht für so eindeutig halte. § und ° sehe ich z.B. auf meiner Tastatur, würde ich aber nicht erlauben (sind nicht in ASCII).
Deshalb würde ich das Thema halt sehr in den Nerd-Bereich schieben.
Stefan Beyersbeyer@ioc.exchangeAug 18, 2026, 8:44 AM@holger @frederic Mache ich tatsächlich auch so, sofern möglich.
Ich habe schon öfter davon abgesehen, bei Anbietern einen Account anzulegen, wenn schon die Kennwortrichtlinie schräg ist und man offensichtlich erkennt, dass da etwas nicht passt. Das muss man sich aber auch leisten können und wollen...