In einer digitalisierten Welt, in der fast alle Aspekte unseres Lebens von Technologie und dem Internet abhängen, spielen Passwörter eine entscheidende Rolle für die Sicherheit unserer Daten. Ob wir uns in sozialen Netzwerken bewegen, E-Mails versenden, Online-Banking betreiben oder persönliche Dokumente in der Cloud speichern - ein starkes Passwort ist der erste Schutzwall gegen unbefugten Zugriff.

Kriminelle entwickeln ständig neue Methoden, um an unsere Passwörter zu gelangen und diese zu missbrauchen. Einfache und leicht zu erratende Passwörter sind dabei eine leichte Beute. Datenverlust, Identitätsdiebstahl und andere Formen der Cyberkriminalität sind häufig die Folge. Und das betrifft nicht nur uns selbst, sondern - was viele nicht bedenken - auch unser Umfeld. Familie und Freunde vertrauen uns und somit auch unseren gehackten Accounts. So geraten sie ebenfalls in die Fänge von Kriminellen.

Angriffe auf Passwörter

Wie wichtig Passwörter sind, merken wir oft erst, wenn wir tatsächlich Opfer eines Angriffs geworden sind. Dann ist es allerdings zu spät!

Um zu verstehen, wie wir uns richtig schützen können, ist es wichtig, sich im Vorfeld mit den verschiedenen Angriffsmethoden auseinanderzusetzen. Nur so können wir wirksame Maßnahmen treffen.

Folgende Angriffsmethoden werden wir in diesem Artikel behandeln:

1. Brute-Force-Angriff
2. Wörterbuch-Angriff
3. Social Engineering
4. Daten-Lecks

1. Brute-Force-Angriff

Brute-Force-Angriffe sind die einfachste und am weitesten verbreitete Methode, um Passwörter zu knacken. Dabei werden - buchstäblich mit aller Kraft - alle möglichen Zeichenkombinationen ausprobiert, bis die richtige gefunden ist. Das Vorgehen ähnelt dem Öffnen eines Zahlenschlosses, wie man es von Fahrrädern oder Koffern kennt. Hier werden systematisch alle möglichen Kombinationen ausprobiert, bis sich das Schloss öffnet. 001, 002, 003 usw. bis 999.

Die Geschwindigkeit eines solchen Angriffs hängt davon ab, wie schnell die Kombinationen ausprobiert werden können. Bei einem digitalen Angriff ist der begrenzende Faktor die Rechenleistung des Angreifers und die Komplexität des Passworts. Je mehr Rechenleistung zur Verfügung steht, desto schneller kann ein Passwort geknackt werden. Umgekehrt gilt: Je komplexer ein Passwort ist, desto mehr Kombinationen sind möglich und desto schwieriger ist es, die richtige Kombination herauszufinden.

Angriffsdauer

Die Geschwindigkeit, mit der ein Passwort erraten werden kann, hängt - wie bereits erwähnt - von der Rechenleistung des Angreifers und der Komplexität des Passworts ab. Die Rechenleistung wird in Hashes pro Sekunde (H/s) angegeben. Ein Hash ist eine kryptographische Funktion, die eine beliebige Eingabe in eine feste Ausgabe umwandelt, ohne dass Rückschlüsse auf den Eingabewert möglich sind. Passwörter werden üblicherweise als Hash gespeichert.

Angenommen, ein Angreifer verfügt über genügend Rechenleistung, um 1 Milliarde Passwörter pro Sekunde zu testen - was in etwa der Geschwindigkeit eines modernen Laptops entspricht. Die maximale Dauer eines Brute-Force-Angriffs auf das Passwort minka1404 berechnet sich dann wie folgt:

Dauer = Entropie / Rechenleistung
= 36^9H / 10^12H/s
= 101 559 Sekunden
= 1,175 Tage

Demnach würde es maximal 1,175 Tage dauern, das Passwort zu knacken.

Das klingt bereits jetzt nicht nach einer langen Zeit. Doch das ist noch nicht alles. Die Wahrscheinlichkeit, dass das Passwort herausgefunden wird, ist viel größer. Denn Angreifer verfügen in der Regel über wesentlich mehr Rechenleistung als ein einzelner Laptop. Sie können auf vernetzte Botnetze zurückgreifen, die die Rechenleistung tausender, teilweise gekaperter Computer bündeln und so die Geschwindigkeit eines Angriffs um ein Vielfaches erhöhen.

2. Wörterbuch-Angriff

Wörterbuchangriffe sind im Prinzip eine spezielle Form von Brute-Force-Angriffen. Sie nutzen die Tatsache aus, dass wir uns Passwörter leichter merken können, wenn sie bestimmten Mustern folgen. So kombinieren unbedarfte Nutzer häufig ein Wort mit Zahlen oder Sonderzeichen. Auch Namen von Familienmitgliedern oder Haustieren werden sehr häufig verwendet. Diese Muster können mit Hilfe von Passwortlisten und Regelsätzen gefunden werden.

Dabei werden Wörter und bekannte Passwörter aus einer bestehenden Liste abgearbeitet. Diese Listen stehen dem Angreifer bereits zur Verfügung und enthalten ganze Wörterbücher, bereits geknackte Passwörter oder auch Regelwerke. Diese Regelwerke beinhalten dabei Muster, die häufig verwendet werden. Diese Muster werden dann auf Wörter aus dem Wörterbuch angewendet. So können z. B. alle Buchstaben in Großbuchstaben umgewandelt oder Zahlen an das Ende des Wortes angehängt werden. Gerade bei langen Passwörtern ist diese Angriffsmethode wesentlich effektiver als ein klassischer Brute-Force-Angriff, selbst wenn nicht alle möglichen Kombinationen abgedeckt werden.

Solche Passwortlisten sind kostenlos im Internet erhältlich. Die bekannteste Passwortliste heißt “rockyou.txt”. Sie enthält mehr als 14,3 Millionen Passwörter, die 2009 bei einem Angriff auf das soziale Netzwerk MySpace gestohlen wurden. Ein Blick auf diese Liste zeigt, dass viele Passwörter relativ ähnlichen Mustern folgen. Erschreckend ist, dass sich Nutzer tatsächlich auf diese zum Teil unsicheren Passwörter verlassen haben.

Hier ein Auszug aus rockyou.txt:

[...]
shonaaimee
[email protected]
shonaMAN181204
shona@123dc
shona9conor
[...]
maboihilton4life
maboigeorgie11
maboielm01
maboialex1
maboat
[...]
fannyfart69
fannyfart13
fannyfart1
[...]

Aus diesem Beispiel lassen sich eine Reihe von Mustern und damit Schemata ableiten, die offenbar häufig bei der Erstellung von Passwörtern verwendet werden.

• Namen am Anfang
• Kombinationen mit anderen Namen
• Kombinationen mit anderen Wörtern
• Zahlen am Ende
• Sonderzeichen oder Ziffern zur Trennung von Wörtern

Solche Muster werden mit den oben genannten Regelsätzen kombiniert und können die relativ kleinen Wörterbuchlisten um ein Vielfaches erweitern. Da die Passwörter der Benutzer weiterhin den gängigen Regeln folgen, ist ein solches Vorgehen erschreckend effektiv.

Zurück zum Beispiel-Passwort minka1404, das einem Brute-Force-Angriff tatsächlich getrotzt hätte. Dieses Passwort kann unter den gleichen Bedingungen mit Hilfe der rockyou.txt-Passwortliste innerhalb weniger Sekunden geknackt werden.

3. Social Engineering

Neben technischen Angriffen gibt es auch den menschlichen Faktor, um an Passwörter zu gelangen - Manipulation.

Social Engineering ist eine Masche, bei der der Mensch selbst die Schwachstelle ist. Die Opfer werden so manipuliert, dass sie von sich aus ihre Passwörter preisgeben. Durch geschickte Täuschung - wie Phishing-E-Mails oder betrügerische Telefonanrufe - werden die Opfer dazu gebracht, ihre persönlichen Daten und Passwörter gutgläubig preiszugeben.

Beim Phishing versenden Angreifer gefälschte Nachrichten, die von vertrauenswürdigen Quellen zu stammen scheinen. In diesen E-Mails, SMS oder WhatsApp-Nachrichten werden die Opfer unter einem dringenden Vorwand unter Druck gesetzt, vertrauliche Informationen preiszugeben. Dabei werden die Opfer häufig auf betrügerische Webseiten umgeleitet, auf denen ihre Daten abgefangen werden. Beliebt sind auch Telefonanrufe, bei denen sich die Täter als Verwandte ausgeben und so an persönliche Informationen gelangen.

Spamfilter und Blocklisten können helfen, aber der beste Schutz ist gesundes Misstrauen. Generell sollten Passwörter und andere sensible Daten niemals weitergegeben werden - an niemanden. Wichtig: Seriöse Institutionen fragen niemals nach Passwörtern! In solchen Fällen ist immer Vorsicht geboten.

4. Daten-Lecks

Selbst wenn wir alles richtig machen, sichere Passwörter verwenden und diese in einer geschützten Umgebung aufbewahren, sind wir immer noch angreifbar. Ein Datenleck bei einem Dienstleister reicht aus, um unsere Zugangsdaten öffentlich zu machen, und wahrscheinlich ist jeder von uns schon einmal Opfer eines Datenlecks geworden, ohne es zu wissen. Angreifer verfügen bereits über Datenbanken, die nur darauf warten, unsere persönlichen Informationen auszunutzen.

Wir sollten unsere Zugangsdaten daher regelmäßig ändern.

Sichere Passwörter

Das Rezept für sichere Passwörter lautet:

1. Passwortlänge

   Verwenden Sie Passwörter, die mindestens 16 Zeichen lang sind. Je länger das Passwort, desto aufwendiger ist es für einen Angreifer, mögliche Kombinationen auszuprobieren.

2. Groß- und Kleinschreibung

   Je mehr verschiedene Zeichen, desto besser. Verwenden Sie eine Mischung aus Groß- und Kleinbuchstaben. Dadurch wird das Passwort komplexer.

3. Zahlen

   Fügen Sie Zahlen hinzu, um es potenziellen Angreifern noch schwerer zu machen. Eine Mischung aus Buchstaben und Zahlen erhöht die Anzahl der möglichen Kombinationen.

4. Sonderzeichen

   Verwenden Sie Sonderzeichen wie ! @ # % & $ usw. Damit wird die Anzahl der möglichen Kombinationen noch weiter erhöht.

5. Keine Wörter

   Vermeiden Sie Wörter aus Wörterbüchern oder Namen, da diese leicht zu erraten sind. Stattdessen ist es besser, zufällige Zeichenfolgen zu wählen.

6. Keine persönlichen Daten

   Persönliche Daten vermeiden! Geburtsdaten, Telefonnummern oder Namen von Familienmitgliedern sind oft leicht herauszufinden oder zu erraten.

7. Keine Muster oder Bedeutung

   Vermeiden Sie Passwörter mit offensichtlichen Mustern. Benachbarte Tasten wie 123456 oder qwertz und Kombinationen wie abcd oder abcd1234 sind leicht zu erraten. Grundsätzlich sollten sämtliche Muster vermieden werden.

8. Keine Wiederverwendung:

   Verwenden Sie für jeden Dienst ein eigenes Passwort! Wenn ein Angreifer eines Ihrer Passwörter knackt, kann er nicht auf andere Konten zugreifen.