Passwörter sind immer unsicher

Lange bzw. komplexe Passwörter werden immer aufgeschrieben und an
prominenter Stelle angepinnt, z.B. unter der Tastatur, am Bildschirm
oder gleich irgendwo im nicht verschlüsselten Filesystem (wegen
Cut&Paste) gespeichert. Neuerdings findet man Passwörter auch auf
irgendwelchen Cloudanwendungen. Was sollen die User auch machen, wenn
sie sich 20 verschiedene, kaum merkbare Passwörter merken müssen?

Beim Durchsetzen der IT-Sicherheit muss man die User mitnehmen, sonst
wird das nichts.

Warum verwenden die Websitebetreiber nicht durchgängig
Clientzertifikate? Die Installation ist wirklich einfach, auch für
den User. Das ist nicht irgendwas "neumodisches", sondern gibt es
schon mehr als 10 Jahre (wie übrigens auch IPv6, aber das ist ein
anderes Thema)

Der User braucht dann eine Datei oder Token und ein (einfaches)
Passwort, dieses Passwort wird auch nicht übertragen, der
Serverbetreiber braucht auch keine Passwörter zu speichern. Der kann
seine CA selber betreiben oder outsourcen. Eine PKI aufzubauen ist
auch kein Rocketscience mehr.

Aktuell baue ich so eine Lösung für einen Freemailer, wobei das mit
IMAP4 _und_ Webmail funktioniert. Netter Nebeneffekt: Die User können
mit den Clientzertifikaten ihre Mails auch gleich signieren.