Hacker-Beute In dieser Datenbank sollte Ihr Passwort nicht auftauchen
Passwort eingeben
Foto: Oliver Berg/ dpaWer sein Passwort in dieser Datenbank von Troy Hunt findet, sollte es dringend ändern: Der IT-Sicherheitsexperte führt ein Online-Archiv voller Zugangsdaten, die in den vergangenen Jahren bei einem Hacker-Angriff oder einem Datenleck erbeutet worden sind. Mittlerweile enthält das Archiv eine halbe Milliarde Passwörter.
Diese Kennwörter stehen teils leicht erreichbar im Netz, Computernutzern - und damit prinzipiell auch Kriminellen - fällt es also nicht schwer, sie zu finden. Geht man davon aus, dass heutige Rechner bei einer sogenannten Brute-Force-Attacke schon mal automatisiert eine Milliarde Kennwörter pro Sekunde ausprobieren können, sind die Datenbank-Inhalte im schlimmsten Fall nach kaum einer halben Sekunde abgearbeitet.
Und wenn sein Passwort irgendwo im Netz steht, hilft es dem Nutzer auch wenig, wenn er sichere Passwörter benutzt oder es mit einem Passwort-Manager erstellt hat. Retten kann ihn dann höchstens noch eine aktivierte Zwei-Faktor-Authentifizierung.
Allgemein zeigen die Daten von Troy Hunt, dass einfache Passwörter immer noch sehr beliebt sind. Wer seinen Online-Zugang etwa mit "123456" schützt, geht ein extremes Risiko ein. Mehr als 20 Millionen Mal taucht das Kennwort in Hunts Datenbank auf. Das englische "password" erscheint 3 Millionen Mal, die deutschsprachigen Begriffe "hallo" und "passwort" werden jeweils 60.000 Mal aufgelistet.
Wie man ein sicheres Passwort anlegt, das man sich auch merken kann, erklärt unsere Fotostrecke:
Computersicherheit: So erstellen Sie ein sicheres Passwort
Troy Hunt hat für seine Sammlung unter anderem das Darknet durchforstet. Seine Quellen will der IT-Experte nicht nennen. Er schreibt in einem Blogbeitrag lediglich, dass es sich um eine große Sammlung mit weit mehr Passwörtern als bei der Vorgängerversion handle. Er findet: Sobald ein Passwort auf seiner Liste mit Nutzerdaten auftaucht, sollte es niemand mehr nutzen dürfen.
Sicherheitsexperte fordert Verbot für entblößte Passwörter
Hunts Meinung nach sollten geleakte Passwörter beim Anmelden auf Web-Portalen grundsätzlich verboten werden. Es genüge nicht, die Kennwörter lediglich nach mathematischen Berechnungen auf ihre Sicherheit zu prüfen.
Diese Empfehlung deckt sich zwar mit denen von Sicherheitsbehörden wie dem National Institute of Standards and Technology. Aber da höre die Unterstützung auch schon auf, heißt es, da Online-Konzernen die wichtigste Zutat fehle: die kompromittierten Passwörter.
Von Equifax über LinkedIn bis Yahoo: Das sind die größten Hackerangriffe
Online-Unternehmen bietet Hunt daher an, auf seine Datenbank zuzugreifen oder die Informationen herunterzuladen. Die Passwörter hat der Australier dafür mit der Hashfunktion SHA-1 unkenntlich gemacht. Das sei zwar kein sicherer Algorithmus, um die Kennwörter zu schützen, schreibt Hunt. Das sei aber auch nicht der Sinn. "Es geht einfach darum sicherzustellen, dass die Passwörter nicht gleich als Klartext zu sehen sind."
Ob die eigene E-Mail-Adresse oder das Lieblingspasswort bereits durchs Netz geistert, lässt sich auf der Website "Have I been pwned?" überprüfen: Ist eine E-Mail-Adresse betroffen, leuchtet die Website rot auf, darunter erscheint der Text "Oh nein". In einer Liste zeigt sich dann, bei welchen Angriffen und Datenlecks die Zugangsdaten erbeutet worden sind.
Ein grundsätzliches Problem mit Passwörtern besteht darin, dass viele Nutzer ihre Zugangsdaten oft mehrfach verwenden. Denn eigentlich ist es in der Regel nicht so schlimm, wenn Angreifer zum Beispiel plötzlich Zugang auf den sowieso nicht mehr genutzten MySpace-Account haben. Heikel wird es aber dann, wenn sich mit demselben Passwort auch der E-Mail-Account voller privater Daten aufrufen lässt.
