Sternchenfeld

Wenn du dich irgendwo anmeldest, gibst du meist zwei Dinge ein. Deinen Namen oder deine E-Mail-Adresse siehst du dabei ganz normal auf dem Bildschirm. Beim Passwort erscheinen dagegen nur Punkte oder Sternchen, für jeden getippten Buchstaben eines. Genau dieses Feld nennt man Sternchenfeld. Es verbirgt die Eingabe vor fremden Blicken, während du tippst. Der Computer selbst kennt die echten Zeichen natürlich weiterhin, er zeigt sie nur nicht an.

Schutz vor dem Blick über die Schulter

Das Sternchenfeld löst ein sehr altmodisches Problem: jemand steht neben dir und schaut auf deinen Bildschirm. Fachleute nennen das Shoulder Surfing, also über die Schulter schauen. In einem Großraumbüro, im Zug oder im Klassenzimmer ist das kein seltener Fall. Wer einmal ein Passwort abgelesen hat, braucht keinerlei technische Kenntnisse, um damit Schaden anzurichten.

Wichtig ist aber, was das Sternchenfeld nicht leistet. Es schützt nicht davor, dass jemand die Daten auf dem Weg durchs Internet abfängt. Dafür ist die verschlüsselte Verbindung zuständig, erkennbar am „https“ in der Adresszeile. Es schützt auch nicht vor Schadsoftware, die jeden Tastendruck mitschreibt. Das Sternchenfeld ist eine Maßnahme gegen Zuschauer im Raum, mehr nicht.

Fachleute streiten seit Jahren darüber, ob es überhaupt noch sinnvoll ist. Der bekannte Usability-Forscher Jakob Nielsen forderte schon 2009, das Maskieren abzuschaffen. Sein Argument: Menschen vertippen sich, sehen den Fehler nicht und wählen deshalb kürzere, schlechtere Passwörter. Der Kompromiss, der sich durchgesetzt hat, ist ein kleines Augensymbol zum Einblenden.

Was hinter den Punkten passiert

Technisch ist ein Sternchenfeld erstaunlich simpel. In der Sprache, mit der Webseiten gebaut werden, gibt es einen Feldtyp namens „password“. Setzt ein Entwickler diesen Typ, ersetzt der Browser jedes eingegebene Zeichen automatisch durch einen Punkt. Der Text bleibt im Hintergrund unverändert und wird beim Absenden vollständig übertragen.

Ein häufiger Irrtum lautet, das Feld verschlüssele das Passwort. Das tut es nicht. Es blendet die Zeichen nur optisch aus, wie ein Sichtschutz vor einem Fenster. Die eigentliche Sicherheit entsteht später: Ein seriöser Anbieter speichert dein Passwort nie im Klartext, sondern rechnet es in eine unumkehrbare Zeichenfolge um. Dieses Verfahren heißt Hashing.

Auch das Betriebssystem hilft mit. Es blendet Sternchenfelder meist aus automatischen Bildschirmaufnahmen aus und verhindert, dass Übersetzungswerkzeuge oder Rechtschreibprüfungen den Inhalt lesen. Auf Smartphones erscheint der getippte Buchstabe oft eine Sekunde lang und wird dann zum Punkt. Das ist ein bewusster Kompromiss zwischen Sicherheit und der Tatsache, dass Tippfehler auf kleinen Tastaturen häufig sind.

Vom Login-Formular bis zur Chatbot-Eingabe

Sternchenfelder begegnen dir überall dort, wo du dich ausweist: beim Schulaccount, beim Online-Banking, beim Streamingdienst. Auch der PIN-Bildschirm am Geldautomaten arbeitet nach demselben Prinzip. Passwortmanager, also Programme zum Verwalten vieler Zugangsdaten, nutzen sie ebenfalls und füllen die Felder anschließend selbst aus.

In der KI-Welt hat der Begriff eine neue Bedeutung bekommen. Wer eine Anwendung mit einem Sprachmodell verbinden will, braucht dafür einen API-Schlüssel. Das ist eine lange Zeichenkette, die wie ein Passwort funktioniert und den Zugriff abrechnet. Solche Schlüssel werden in Entwicklerportalen ebenfalls in Sternchenfeldern eingetragen, damit sie nicht in Screenshots oder Bildschirmaufnahmen landen.

Ein deutliches Warnzeichen ist übrigens ein fehlendes Sternchenfeld. Wenn dir eine Webseite dein altes Passwort im Klartext anzeigen kann, hat sie es unverschlüsselt gespeichert. Bei einem Einbruch in die Datenbank liegen dann alle Zugangsdaten offen. Seriöse Dienste bieten deshalb nur ein Zurücksetzen an, nie ein Anzeigen des alten Passworts.