Mustersperre, PIN, Passwort oder Face ID: Was ist sicherer?

Jede Sperre ist ein Kompromiss zwischen drei Dingen: wie schwer sie zu erraten ist, wie leicht man sie beobachten kann und wie leicht dich jemand zwingen kann, sie zu öffnen. Die meisten Vergleiche betrachten nur das Erste. Diese Anleitung betrachtet alle drei – mit echten Zahlen, wo es sie gibt, und ehrlichen Vorbehalten, wo nicht.

Die vier Kandidaten

• PIN ist eine kurze Ziffernfolge, auf dem iPhone meist 4 oder 6 Stellen.
• Alphanumerisches Passwort ist eine Zeichenkette aus Buchstaben, Ziffern und Symbolen beliebiger Länge.
• Muster ist ein Pfad, der durch ein Punkteraster gezogen wird. Android hat das 3×3-Raster bekannt gemacht; die Mustersperre von Velcrypt nutzt ein 5×5-Raster.
• Biometrie (Face ID, Touch ID) entsperrt mit Gesicht oder Fingerabdruck, abgesichert durch einen Code.

Suchraum: Wie viele Versuche wären nötig?

Der Suchraum ist die Zahl möglicher Geheimnisse, die ein Angreifer im schlimmsten Fall durchprobieren müsste. Das ist die klarste Zahl für einen Vergleich – solange du bedenkst, dass Menschen Geheimnisse nicht zufällig wählen.

PINs

Eine 4-stellige PIN hat 10 × 10 × 10 × 10 = 10.000 Möglichkeiten. Eine 6-stellige PIN hat 1.000.000. Dieser Sprung um den Faktor 100 ist das einfachste Sicherheits-Upgrade, das die meisten machen können.

Der Haken ist die Verteilung. Auswertungen geleakter PINs zeigen immer wieder, dass eine Handvoll Codes (1234, 0000, 1111, Geburtsjahre, 123456) einen großen Teil der echten Wahl abdeckt. Ein Angreifer probiert diese zuerst.

Alphanumerische Passwörter

Mit rund 70 möglichen Zeichen pro Stelle bringt jedes Zeichen etwa 6 Bit. Ein wirklich zufälliges 10-stelliges Passwort hat mehr Kombinationen als jede PIN oder jedes praktikable Muster. Das Problem ist die Merkbarkeit: Menschen wählen Wörter, Namen und vorhersehbare Ersetzungen, und lange Passwörter mehrmals täglich auf dem Handy einzutippen ist mühsam.

Muster: Theorie gegen Mensch

Hier ist Ehrlichkeit wichtig. Die theoretische Zahl möglicher Muster kann riesig klingen. Auf dem klassischen 3×3-Raster von Android (4 bis 9 Punkte, kein Punkt doppelt) gibt es 389.112 gültige Muster, mehr als bei einer 5-stelligen PIN. Auf einem 5×5-Raster mit 25 Punkten ist die theoretische Zahl um ein Vielfaches größer.

Echte Muster sind viel schwächer, als diese Zahlen vermuten lassen. Forschung zu Android-Mustern hat wiederholt gezeigt, dass Menschen:

• weit häufiger als zufällig oben links beginnen,
• kurze Muster nahe der Mindestlänge zeichnen,
• Buchstaben (L, Z, S, C, U, N) oder einfache Kästchen nachziehen,
• sich von links nach rechts und von oben nach unten bewegen, so wie sie lesen.

Deshalb liegt die tatsächliche Stärke eines typischen, von Menschen gewählten 3×3-Musters näher an einer kurzen PIN als an ihrem theoretischen Maximum. Ein größeres Raster hilft nur, wenn du es auch nutzt: Ein „L“ aus 6 Punkten auf einem 5×5-Raster ist immer noch leicht zu erraten.

Was ein Muster stark macht, ist dasselbe, was jedes Geheimnis stark macht: Länge und Unvorhersehbarkeit. Auf einem 5×5-Raster ist ein Muster mit 8–12 Punkten, das mehrmals die Richtung wechselt, nicht in einer Ecke beginnt, keinen Buchstaben bildet und idealerweise den eigenen Pfad kreuzt, wirklich schwer zu erraten. Eine ähnliche Form (niemals deine echte) kannst du mit dem Muster-Stärketest prüfen.

Das Tempo der Versuche zählt genauso wie ihre Zahl

Die Zahl der Kombinationen ist nur die halbe Geschichte. Die andere Hälfte ist, wie schnell ein Angreifer sie durchprobieren kann. Auf dem iPhone erzwingt die Secure Enclave beim Gerätecode immer längere Wartezeiten. Innerhalb einer App ist die Verteidigung meist die Schlüsselableitung: Velcrypt schickt jedes Muster durch PBKDF2 mit mindestens 600.000 Iterationen, was jeden Versuch absichtlich verlangsamt. Die Erklärung zu AES-256 zeigt, warum dieser Schritt wichtiger ist als die Chiffre selbst.

Mitlesen und Fingerspuren

Shoulder Surfing heißt, dass dir jemand beim Entsperren über die Schulter schaut. Das ist der häufigste reale Angriff auf Handysperren, denn die Menschen, die am stärksten in dein Handy wollen, sitzen oft direkt neben dir.

• Muster sind am leichtesten zu beobachten. Eine Form prägt sich auf einen Blick ein, selbst über den Tisch hinweg.
• PINs sind mäßig leicht zu beobachten, besonders 4-stellige, die mit einem Daumen getippt werden.
• Passwörter sind bei einem einzigen Blick schwerer zu erfassen, weil sie länger sind und die Tastatur zwischen Layouts wechselt.
• Biometrie lässt sich gar nicht mitlesen.

Schmierspur-Angriffe lesen die fettige Spur, die dein Finger auf dem Glas hinterlässt. Muster sind hier stärker gefährdet als PINs, weil eine durchgehende Linie eine durchgehende Spur hinterlässt. Muster, die sich kreuzen, zurücklaufen oder Punkte in uneindeutiger Reihenfolge passieren, sind aus einer Spur viel schwerer zu rekonstruieren.

Praktische Abwehr: Display wegdrehen, mit der anderen Hand abdecken, gelegentlich abwischen und sensible Apps entsperren, wenn du allein bist.

Erzwungenes Entsperren: die Frage, die die meisten Vergleiche auslassen

Biometrie hat eine Schwäche, die keine Technik beseitigt: Sie braucht deine Mitwirkung nicht. Jemand kann dir das Handy vors Gesicht halten, während du schläfst, deinen Finger auf den Sensor drücken oder dich körperlich zwingen. Im häuslichen Umfeld, auf Partys oder bei einem Überfall ist das ein realistisches Risiko.

In manchen Ländern können Behörden außerdem rechtlich verlangen, dass du Fingerabdruck oder Gesicht bereitstellst, während ein auswendig gelernter Code anders behandelt wird. Die Rechtslage unterscheidet sich stark zwischen Ländern und hat sich im Lauf der Zeit verändert, daher gibt diese Anleitung keine Rechtsberatung. Der technische Punkt ist einfach: Ein Geheimnis in deinem Kopf erfordert eine Entscheidung von dir, ein Körperteil nicht.

Verlässt du dich auf Face ID, kenne den Notausgang. Ab dem iPhone 8 deaktivierst du Face ID und Touch ID vorübergehend, bis der Code eingegeben wird, indem du die Seitentaste und eine Lautstärketaste gedrückt hältst, bis der Bildschirm zum Ausschalten bzw. für den Notruf erscheint, und dann abbrichst. Wann das wichtig ist, steht in Privatsphäre bei der Grenzkontrolle.

Direkter Vergleich

	4-stellige PIN	6-stellige PIN	Langes Passwort	Muster (5×5, 8+ Punkte)	Face ID / Touch ID
Mögliche Kombinationen	10.000	1.000.000	Sehr viele, wenn zufällig	Theoretisch sehr viele; bei vorhersehbaren Formen viel weniger	Nicht anwendbar
Erratbarkeit in der Praxis	Hoch (beliebte Codes)	Mittel	Gering, wenn zufällig	Gering, wenn unregelmäßig; hoch bei Buchstabenform	Sehr gering
Mitlesen	Leicht	Mittel	Schwer	Leicht	Unmöglich
Fingerspuren	Etwas	Etwas	Gering	Hoch, außer der Pfad kreuzt sich	Keine
Ohne deine Zustimmung nutzbar	Nein	Nein	Nein	Nein	Ja
Tempo und Komfort	Schnell	Schnell	Langsam auf dem Handy	Schnell	Am schnellsten

Die richtige Sperre für jede Ebene

Du musst nicht eine Sperre für alles wählen. Ein sinnvolles Setup für die meisten:

1. Gerät: ein 6-stelliger (oder längerer) Code, mit Face ID oder Touch ID für die Bequemlichkeit, wenn deine Situation es erlaubt.
2. Private Inhalte: ein separates Geheimnis, das nicht dein Gerätecode ist – damit jemand, der deinen Code erfährt oder beobachtet, nicht automatisch alles bekommt.
3. Wisse, wie du Biometrie schnell abschaltest, wenn du irgendwo bist, wo du unter Druck geraten könntest.

Wo Velcrypt ins Spiel kommt

Velcrypt trifft eine bewusste Entscheidung: Der einzige Weg in einen Tresor ist ein Muster auf einem 5×5-Punkteraster – eine durchgehende Linie durch mindestens 6 Punkte mit mindestens einem Richtungswechsel. Empfohlen sind längere Muster mit 8–12 Punkten. Face ID und Touch ID gibt es nicht, weil sich ein Muster nicht von deinem Körper abnehmen lässt.

Das Design verändert auch, was „Erraten“ bedeutet. Jedes Muster ist ein eigener Tresor, und ein Muster, das Velcrypt noch nie gesehen hat, öffnet einfach einen leeren Tresor – ohne Fehlermeldung. Ein falscher Versuch gibt sich also nicht als falsch zu erkennen, und du kannst unter einem zweiten Muster einen Köder-Tresor führen. Die Seite zu versteckten Tresoren erklärt das Modell, und die Sicherheitsübersicht nennt, wogegen es nicht schützt – auch dagegen, dass dir jemand beim Zeichnen zusieht.