So lange geht’s, bis Ihre Passwörter geknackt sind

Eine neue Studie der amerikanischen Sicherheitsfirma Hive Systems zeigt, dass jedes achtstellige Passwort in weniger als einer Stunde geknackt werden kann. Noch erschreckender: Passwörter, die weniger als sieben Zeichen enthalten, können sofort(!) geknackt werden.

Die Tabelle zur Passwortsicherheit von Hive Systems.

Die Untersuchung ergab, dass die technologischen Fortschritte der letzten zwei Jahre die Zeit, die zum Knacken eines Passworts durch Brute Force benötigt wird, exponentiell verkürzt haben. Im Jahr 2020 konnte ein komplexes, aus acht Zeichen bestehendes Passwort in acht Stunden geknackt werden - eine Zeitdauer, die jetzt auf weniger als eine Stunde gesunken ist. Das Aufkommen von erschwinglichem Cloud-Computing hat zu diesem Trend beigetragen. Ein 12-Zeichen-Passwort, das mit einem seriösen Passwort-Manager erstellt wurde, könnte hingegen laut der Studie bis zu 3000 Jahre in Anspruch nehmen, um mit roher Rechenleistung geknackt zu werden. 
Corey Neskey von Hive Systems sagt denn auch, dass Passwörter mit der ständigen Verbesserung der Technologien immer unsicherer würden:

«Die sicherste Option für Verbraucher ist die Verwendung eines Passwortmanagers, um alle Passwörter zu erstellen und zu speichern. Verwenden Sie ein Passwort nie zweimal, und achten Sie immer auf Websites, bei denen ein Passwortverstoss aufgetreten ist. Wenn Sie Passwörter wiederverwenden, können Ihre Informationen sofort gestohlen werden.»

Hive Systems erklärt auch, wie Hacker Passwörter knacken:

«Die Passwörter, die Sie auf Websites verwenden, werden auf den Servern als Hashes und nicht im Klartext wie "Passwort" gespeichert, so dass jemand, der sie ansieht, theoretisch das eigentliche Passwort nicht kennt. Umgekehrt geht das nicht. Ein Hashwert wie 5f4dcc3b5aa765d61d8327deb882cf99 kann nicht umgekehrt berechnet werden, um das Wort "Kennwort" zu ermitteln, mit dem er erstellt wurde. Dieser einseitige Ansatz für Hashing-Funktionen ist beabsichtigt.Wie kommen also Hacker, die Hashes von Websites stehlen, letztendlich an eine Liste mit echten Kennwörtern? Hacker lösen dieses Problem, indem sie stattdessen die Kennwörter knacken. In diesem Zusammenhang bedeutet "knacken", dass sie eine Liste aller Zeichenkombinationen auf Ihrer Tastatur erstellen und sie dann hacken. Indem sie Übereinstimmungen zwischen dieser Liste und den Hashes der gestohlenen Kennwörter finden, können Hacker Ihr wahres Kennwort herausfinden - und sich so bei Ihren bevorzugten Websites anmelden. Wenn Sie also dasselbe Kennwort auf mehreren Websites verwenden, ist das ein gefundenes Fressen für die Kriminellen.»

 Die Ergebnistabelle, die zeigt, wie sicher Ihre Passwörter sind, kann bei Hive Systems
heruntergeladen werden.

Die Passwort-Hitparade: von 123456789 zu Ichliebedich

Vom schnellen Wechsel Hunderttausender Mitarbeiter ins Homeoffice haben Cyberkriminelle im Corona-Jahr 2020 stark profitiert. Seit Ausbruch der Pandemie sind neue Angriffsmöglichkeiten entstanden, die vielen Unternehmen Sorge bereiten. Ein grosser Risikofaktor bleibt der laxe Umgang mit Passwörtern. Viele Internetnutzer verlassen sich immer noch auf simple Namen oder Zahlenreihen wie „123456“, damit sie sich ihre Passwörter besser merken können.

Passwort-Managment ist für viele User so lästig geworden, dass sie die Aufgabe nicht
mehr ernst genug nehmen.                                                                          Bild pixabay

Das Deutsche Hasso-Plattner-Institut veröffentlicht jedes Jahr die meistgenutzten Passwörter der Deutschen – Datengrundlage sind dieses Jahr 3,1 Millionen Zugangsdaten aus dem Datenbestand des HPI Identity Leak Checkers, die auf E-Mail-Adressen mit .de-Domäne registriert sind und 2020 geleakt wurden. Der Blick auf die im Jahr 2020 meistgenutzten Passwörter zeigt, dass schwache und unsichere Zahlenreihen weiterhin Spitzenplätze belegen.

Hier ist die aktuelle Top 10 deutscher Passwörter:

1              123456  11          
2              123456789          
3              passwort            
4              hallo123              
5              12345678            
6              ichliebedich      
7              1234567               
8              1234567890        
9              lol123   
10           12345     

Was diese Rangliste zeigt, ist dass viele User mit ihrem Passwort-Management ganz einfach überfordert sind. Das wird sich nicht so bald ändern. Neue Technologien werden es aber hoffentlich bald unnötig machen, lange Passwortlisten anzulegen.
Ob man selbst bereits Opfer eines Datendiebstahls geworden ist, lässt sich mit dem Identity Leak Checker, einem Online-Sicherheitscheck des Hasso-Plattner-Instituts überprüfen. Der Test zeigt, ob persönliche  Identitätsdaten im Internet kursieren und missbraucht werden könnten. Die Sicherheitsforscher ermöglichen den Abgleich mit mittlerweile mehr als 12 Milliarden gestohlener und im Internet verfügbarer Identitätsdaten.

Passwort-Stress führt zu Passwort-Müdigkeit

 Wie haben Sie Ihre Passwörter organisiert? Niedergeschrieben auf einem Blatt Papier, das sie irgendwo in einer Schublade abgelegt haben? Oder gespeichert in einer – hoffentlich passwortgeschützten – Datei? Wie auch immer: Jede digitale Dienstleistung erfordert ein Passwort, und die Liste der persönlichen Sesam-Öffne-Dichs wird immer länger. Damit steigt auch der Passwort-Stress – und die Versuchung, sich die Sache mit den Passwörtern einfacher zu machen.

Die Umfrage zeigt: Leichtsinniges Verhalten mit Passwörtern ist weit
verbreitet.

 Fast jeder zweite Internet-Nutzer fühlt sich von der steigenden Menge an Passwörtern für Internet-Dienste gestresst. Das geht aus einer repräsentativen Umfrage hervor, die das Internet-Portal web.de veröffentlicht hat. Die Folge dieser Überforderung: Viele Internet-Nutzer vernachlässigen die Datensicherheit.

56 Prozent der Befragten finden es lästig, bei immer mehr Diensten einen eigenen Login einrichten zu müssen. Ein Fünftel fühlt sich von der Zahl der Passwörter gänzlich überfordert. Kein Wunder: Die meisten Internet-Nutzer haben sich bei bis zu fünfzehn verschiedenen Online-Diensten wie E-Mail-Konten, Social-Media-Accounts oder Shopping-Websites angemeldet, zwölf Prozent nutzen sogar mehr als 20 Dienste. Was empfehlen uns die Experten? Für jeden Zugang sollten wir ein eigenes, möglichst komplexes Passwort aus Gross- und Kleinbuchstaben verwenden, Zahlen und Sonderzeichen kommen dann auch noch dazu. Nur die wenigsten User sehen sich dazu in der Lage, diesen Empfehlungen zu folgen. Nur 41 Prozent der Befragten gaben an, jedem Dienst ein individuelles Passwort zuzugestehen. Die Mehrheit verwendet teilweise dieselben Passwörter für unterschiedliche Dienste, und ganze 5 Prozent brauchen ein einziges Passwort für sämtliche Logins...

Das macht die Arbeit für Datendiebe sehr leicht – vor allem wenn es sich um ein Passwort handelt, das eigentlich gar keines mehr ist – weil es so unsicher ist.

Auch bei den mobilen Endgeräten ist die Sicherheitslage laut Umfrage kritisch: Während 52 Prozent der Befragten ihr Handy entweder gar nicht oder nur per PIN sichern, setzen  lediglich 11 Prozent auf die Sicherheit eines Passworts. 16 Prozent entsperren ihr Gerät mit einem Gestenmuster. Eine relativ neue Entwicklung ist die Absicherung per Fingerabdrucksensor: Auf diese biometrische Technik setzt aktuell immerhin jeder Fünfte.

Gründe für erhöhte Sicherheitsansprüche liefern die Smartphones ihren Nutzern genug: Immer mehr Online-Dienste wandern mit sensiblen Daten und Funktionen in mobile Apps. Nur ein Viertel der Smartphone-Besitzer meldet sich regelmässig nach der Nutzung eines Dienstes in der App auch wieder ab. Wer das nicht macht, erhöht aber das Risiko, Dieben bei Verlust des Smartphones sensible private Daten wie Bankverbindung oder Online-Shopping-Konten zugänglich zu machen.

Immerhin gibt es auch gute Nachrichten, was die Passwortsicherheit betrifft. Beim Erstellen der Passwörter werden die User sorgfältiger. Drei Viertel der Befragten setzen mittlerweile auf komplexe Passwörter, bestehend aus Buchstaben in Gross- und Kleinschreibung sowie Ziffern. Passwortschwierigkeiten, die im Passwortstress münden und gar zu gestohlenen Daten führen können, zeigen, dass andere Sicherheitslösungen dringend gesucht sind. Fingerabdrucksensoren und Gestenmuster machen den Anfang, sind aber nicht genug. Wir warten und hoffen, dass der Passwortstress bald durch weitere innovative technische Lösungen abgelöst werden kann.

Die beliebtesten Passwörter (die gar keine mehr sind)

Ein Blick auf die meistgenutzten Passwörter zeigt: Trotz täglicher Meldungen über Daten- und Identitätsdiebstahl sind immer noch schwache und unsichere Passwörter - die zudem noch leicht zu erraten sind - am beliebtesten.

Wer doofe Passwörter benutzt, läuft Gefahr, dass seine Daten gestohlen werden.
Das HPI bietet einen Sicherheitscheck an, um dies zu prüfen.     Screengrab HPI

Wissenschaftler des Hasso-Plattner-Instituts (HPI) haben im Rahmen ihrer Studie zur Mehrfachnutzung von Passwörtern insgesamt rund eine Milliarde Nutzerkonten ausgewertet, die aus 31 veröffentlichten Datenlecks in unterschiedlichen Bereichen stammen und im Internet frei verfügbar sind. Dabei zeigte sich, dass die Zahlenfolge "123456" weltweit das meistbenutzte Passwort ist. Die zehn populärsten digitalen deutschen Passwörter konnte aus den rund 30 Millionen Nutzerkonten ermittelt werden, die als .de-Domain registriert sind. Die Liste der  populärsten Kennwörter lässt einem tatsächlich am Scharfsinn und der Kreativität vieler User zweifeln:

1. hallo
2. passwort
3. hallo123
4. schalke04
5. passwort1
6. qwertz
7. arschloch
8. schatz
9. hallo1
10. ficken

"Es gibt keinen 100-prozentigen Schutz vor Identitätsdiebstahl", sagt der Mitautor der Studie, Professor Christoph Meinel. "Aber wer sein Passwort auf dieser Liste entdeckt, sollte es schnellstmöglich ändern." Für kriminelle Hacker sei es ein Leichtes, über derartige Passwörter Zugriff auf persönliche Informationen und Accounts zu bekommen. "Vielen Nutzern ist nicht bewusst, dass Kriminelle mit dem Handel gestohlener Identitäten sehr viel Geld verdienen und welcher Schaden ihnen entstehen kann", so Meinel. Er empfehle daher allen Internetnutzern, Passwörter nicht für mehrere Accounts zu nutzen, diese regelmäßig zu wechseln und sie wenn möglich automatisch generieren zu lassen, beispielsweise unter Zuhilfenahme von Passwortmanagern.
Ob Sie selbst bereits Opfer eines Datendiebstahls geworden ist, können Sie mit dem Identity Leak Checker, einem Online-Sicherheitscheck des Hasso-Plattner-Instituts, überprüfen. Der Check ist kostenlos und wird nach der EingabeIhrer E-Mail-Adresse durchgeführt. Die Sicherheitsforscher ermöglichen den Abgleich mit mittlerweile mehr als 2 Milliarden gestohlener und im Internet verfügbarer Identitätsdaten.