Heutzutage ist es, als würde man die Haustür halb offen lassen, wenn man sich mit einem schwachen Passwort in seinen Computer oder einen Online-Dienst einloggt. Wir sind uns des Risikos bewusst, nutzen es aber trotzdem weiterhin. einfache PasswörterPasswörter sind oft repetitiv und folgen vorhersehbaren Mustern. Das Problem: Angriffswerkzeuge haben sich enorm weiterentwickelt. Dies ist vor allem der Leistungsfähigkeit von GPUs und dem Einsatz von Algorithmen und KI zu verdanken, sodass viele Passwörter, die wir für „sicher“ halten, innerhalb weniger Minuten geknackt werden können.
Verschiedene Studien von Cybersicherheitsunternehmen zeigen, dass Die meisten echten Passwörter, die wir für unsere Konten verwenden, können in weniger als einem Tag geknackt werden.Und das sogar in weniger als einer Stunde. Gleichzeitig läutet Microsoft eine neue Ära ein: Schwache Passwörter und SMS-Authentifizierung werden hinter sich gelassen, und robustere Methoden wie Passkeys werden eingeführt, insbesondere in Windows-Umgebungen. Wenn Sie möchten Ihr Konto unter Windows (und der Rest Ihrer Dienstleistungen) nicht als nächstes zusammenbrechen zu lassen, sind Sie daran interessiert zu verstehen, was passiert.
Warum ein kurzes Passwort in weniger als einem Tag geknackt werden kann
Die Analyse groß angelegter Sicherheitslücken hinterlässt eine klare Botschaft: Die tatsächliche Widerstandsfähigkeit eines Passworts gegen automatisierte Angriffe ist viel geringer, als wir gemeinhin annehmen.Kaspersky hat in verschiedenen Zeiträumen Datenbanken mit 193 bis 231 Millionen Passwörtern untersucht, die bei massiven Datenlecks zwischen 2023 und 2026 offengelegt wurden, und dabei Angriffe mit aktueller Hardware und Algorithmen simuliert.
Eine dieser Studien kommt zu dem Schluss, dass Rund 60 % der gängigsten Passwörter lassen sich in etwa einer Stunde knacken.Und etwa 68 % Es kann in weniger als einem Tag entschlüsselt werden.Eine weitere ähnliche Analyse mit einer Stichprobe von 193 Millionen Schlüsseln liefert noch besorgniserregendere Ergebnisse: 45 % lassen sich in weniger als einer Minute knacken, und nur 23 % widerstehen systematischen Brute-Force-Angriffen und hochentwickelten Algorithmen länger als ein Jahr. Das ist äußerst alarmierend.
Diese Berechnungen gehen von der Verwendung einer einzelnen, leistungsstarken und modernen GPU aus. In der Praxis kombinieren Cyberkriminelle typischerweise mehrere GPUs parallel und nutzen spezielle Software, die die Hardwareleistung optimal ausnutzt. Das bedeutet, dass die tatsächlichen Angriffszeiten noch kürzer sein können.
Die technische Schlussfolgerung ist einfach: Ein kurzes Passwort mit bis zu 8 Zeichen fällt fast immer in die Kategorie „in weniger als einem Tag entschlüsselbar“.Und das Schlimmste daran ist, dass viele derjenigen, die diese Länge überschreiten, ebenfalls nicht sicher sind, wenn sie vorhersehbaren Mustern folgen, die die Cracking-Werkzeuge bereits verinnerlicht haben.
Bei der Analyse der langen Passwörter in der Stichprobe (z. B. 15 Zeichen) ist Folgendes festzustellen: Mehr als 20 % von ihnen können auch in weniger als einer Minute kaputtgehen. Durch die Verwendung optimierter Algorithmen und Listen gängiger Muster wird gezeigt, dass die Länge allein keine Garantie mehr für Sicherheit bietet.
Gefährliche Muster: Zahlen, Symbole und Daten, die Ihr Passwort preisgeben
Kaspersky-Studien an Hunderten von Millionen von gefilterte Schlüssel Sie zeigen, dass die Mehrheit alles andere als „zufällig“ ist. Die gleichen Muster wiederholen sich immer und immer wieder.Dies ermöglicht es Angreifern, den tatsächlichen Suchraum drastisch zu reduzieren und die Entschlüsselung zu beschleunigen.
Was die Zahlen angeht, sind die Daten eindeutig: Mehr als die Hälfte der analysierten Passwörter, etwa 53 %, enden mit Zahlen.Weitere 17 % beginnen mit Zahlen, und fast 12 % enthalten Sequenzen, die an Daten zwischen 1950 und 2030 erinnern (Geburtsjahre, Jahrestage usw.). Mit anderen Worten: Viele Leute beenden ihre Passwörter mit ihrem Geburtsjahr. Wahnsinn!
Darüber hinaus enthalten etwa 3 % der Schlüssel Tastaturmuster Passwörter wie „qwerty“ oder dessen Umkehrung „ytrewq“ sowie vorhersehbare Zahlenfolgen wie „1234“ oder ähnliche tauchen immer wieder auf. Das sind mentale Abkürzungen, die wir nutzen, um uns unsere Passwörter zu merken. Sehr nützlich, aber auch die ersten, die Angreifer ausprobieren.
Etwas ganz Ähnliches geschieht mit Symbolen. Unter den durchgesickerten Passwörtern, die ein einzelnes Sonderzeichen enthielten, Das mit Abstand am häufigsten verwendete Symbol ist das @-Zeichen, das in etwa 10 % der Fälle vorkommt.Der Punkt (.) folgt in etwa 3 % der Fälle, das Ausrufezeichen (!) in einem geringeren Prozentsatz, etwa 1 %. Auch sie stehen üblicherweise am Anfang oder, insbesondere, am Ende des Tons.
Alexey Antonov, Leiter des Data-Science-Teams bei Kaspersky, fasst das Problem wie folgt zusammen: Wenn Angreifer die häufigsten Angriffsmuster kennen, verringert sich die Anzahl der Kombinationen, die sie tatsächlich ausprobieren müssen, drastisch.Sie müssen nicht mehr den gesamten möglichen theoretischen Raum durchsuchen, sondern konzentrieren sich auf hochwahrscheinliche Kombinationen, was die Entschlüsselung vieler realer Passwörter "schnell" macht.
Emotionale Worte, virale Trends und andere vorhersehbare Abkürzungen
Neben Zahlen und Symbolen besteht ein Großteil der Passwörter aus gebräuchlichen Wörtern. Studien von Kaspersky zeigen, dass Viele Schlüssel basieren auf emotional aufgeladenen Begriffen. oder in Modekonzepten zu einem bestimmten Zeitpunkt.
Zwischen 2023 und 2026 wurde beispielsweise ein auffälliger Anstieg bei Passwörtern festgestellt, die das Wort „Skibidi“ enthielten, ein in diesem Zeitraum sehr populäres Meme. Gleichzeitig Positive Wörter überwiegen, wie zum Beispiel „Liebe“, „Magie“, „Freund“, „Team“, „Engel“, „Stern“ oder „Paradies“.Und auch negative Wörter wie „Hölle“, „Teufel“, „Albtraum“ oder „Narbe“ kommen vor.
Das Problem ist, dass diese Begriffe so gebräuchlich sind, dass Passwortwörterbücher enthalten sie bereits standardmäßigSelbst ein einzelnes Wort, mit einer Zahl am Ende oder einem Symbol in der Mitte, bietet Angriffsalgorithmen eine sehr vorhersehbare Struktur. Die Software probiert zunächst die gebräuchlichsten Wörter (mit Groß- und Kleinschreibung) und kombiniert sie dann mit Suffixen wie „1“, „123“, „!“ oder bestimmten Jahreszahlen.
Deshalb raten Experten davon ab, einzelne Wörter zu verwenden, egal wie sehr wir persönlich an ihnen hängen. Stattdessen ist der effektivste Ansatz, … lange Passwortphrasen, die aus mehreren scheinbar unzusammenhängenden Wörtern bestehenIndem Zahlen und Symbole an unauffälligen Stellen und sogar mit kleinen, absichtlichen Variationen eingefügt werden. Diese Kombination aus Länge, Zufälligkeit und dem Fehlen eines erkennbaren Musters vervielfacht die Zeit, die zum Entschlüsseln benötigt wird.
Die Länge ist wichtig… aber sie allein genügt nicht mehr.
Jahrelang gingen wir davon aus, dass „je länger das Passwort, desto besser“ gilt. Diese Annahme ist zwar immer noch teilweise richtig, doch aktuelle Daten deuten darauf hin, dass eine bloße Verlängerung nicht mehr ausreicht, wenn Wir stellen immer wieder neue Muster vor, die Knackwerkzeuge auswendig kennen..
Die Analyse von Kaspersky zeigt, dass lange Passwörter zwar im Allgemeinen sicherer sind, Die Länge allein ist keine Garantie mehrMithilfe fortschrittlicher Algorithmen und sogar künstlicher Intelligenz können sich Angreifer auf logische Strukturen konzentrieren, die für Benutzer sehr typisch sind: Name + Jahr, Wort + Zahl + Symbol, Tastenkombinationen und ähnliche Muster.
Daher die beeindruckenden Figuren wie Mehr als 20 % der 15-stelligen Passwörter lassen sich in weniger als einer Minute knacken. vorausgesetzt, es behält diese vorhersehbaren Strukturen bei. Im anderen Extremfall können nur etwa 23 % aller in einer der Studien analysierten Schlüssel als wirklich robust gelten, in dem Sinne, dass es unter den experimentellen Bedingungen mehr als ein Jahr dauern würde, sie durch Ausprobieren zu knacken.
In der Praxis bedeutet dies, dass ein 10- oder 11-stelliges Passwort, das offensichtlichen Mustern folgt, viel schwächer sein kann als eine zufällige Phrase aus 4 oder 5 zusammenhangslosen Wörtern, die leicht mehr als 16 Zeichen umfasst. und Buchstaben, Zahlen und Symbole auf eine nicht intuitive Weise vermischen.
Derzeit herrscht unter verschiedenen Sicherheitsakteuren Einigkeit darüber, dass heute Ein sicheres Passwort sollte länger als 16 Zeichen sein.Verwenden Sie Groß- und Kleinbuchstaben, Zahlen und Symbole, und vor allem: Folgen Sie keinem offensichtlichen Muster (keine wichtigen Jahreszahlen, gebräuchlichen Wörter, Tastenkombinationen oder typischen Ersetzungen wie „a“ für „@“).
Brute-Force-Angriffe, Wörterbuchangriffe und Passwortknacken
Um zu verstehen, warum all das so wichtig ist, ist es hilfreich, sich anzusehen, wie Kriminelle unsere Konten tatsächlich angreifen. Es gibt keine einheitliche Methode, sondern vielmehr mehrere Strategien, die kombiniert werden. um die Erfolgsaussichten zu erhöhen und das Entdeckungsrisiko zu verringern.
Bei einem klassischen Brute-Force-Angriff auf ein einzelnes Konto versucht der Angreifer alle möglichen Kombinationen von Zeichen Die Suche läuft über die vorgegebene Länge, bis die richtige Kombination gefunden ist. Auch wenn es langsam erscheinen mag, können mit leistungsstarken GPUs und robusten Hashfunktionen Millionen oder sogar Milliarden von Kombinationen pro Sekunde getestet werden. Dies gilt insbesondere, wenn unwahrscheinliche Muster zuvor aussortiert wurden.
Bei einer WörterbuchangriffeAnstatt völlig zufällige Kombinationen auszuprobieren, verwenden sie riesige Listen gängiger Wörter, Phrasen und Muster (Namen, beliebte Begriffe, häufige Daten usw.) mit automatischen Variationen (Großbuchstaben, typische Ersetzungen, numerische Suffixe usw.), um gezielt ein bestimmtes Konto anzugreifen. Dadurch sind sie deutlich effizienter, da sie sich darauf konzentrieren, wie wir tatsächlich Passwörter erstellen.
La Passwort-Spraying Password Spraying funktioniert genau umgekehrt: Anstatt ein einzelnes Konto anzugreifen, wählt der Angreifer ein gängiges Passwort (z. B. „Password123“ oder „123456“) und probiert es für eine Vielzahl verschiedener Konten aus. Mit dieser Technik reduziert er die Anzahl der Versuche pro Konto, umgeht automatische Sperren leichter und findet dennoch Nutzer, die weiterhin extrem schwache Passwörter verwenden.
Für einzelne Anwender besteht das Risiko, dass dieses Spray bei alltäglichen Dienstleistungen angewendet wird: E-Mail, soziale Medien, Shopping-Plattformen oder Online-Banking. Sicher im Internet surfen Die Umsetzung grundlegender Sicherheitsmaßnahmen verringert die Auswirkungen erheblich. Eine einzige falsche Passwortkombination für eines dieser Konten kann zu Identitätsdiebstahl, Online-Identitätsdiebstahl, einer Kette von Passwortänderungen oder sogar direkten finanziellen Verlusten führen.
Passwörter wiederverwenden: Der Fehler, der viele Türen auf einmal öffnet
Eine der Botschaften, die Experten am häufigsten wiederholen, lautet: Jedes Konto benötigt ein anderes Passwort.Und das ist keine Laune. Sobald eines Ihrer Passwörter bei einem Datenleck auftaucht, nutzen Angreifer es, um sich Zugang zu allen anderen Diensten zu verschaffen, bei denen sie vermuten, dass Sie ein Konto haben (E-Mail, soziale Netzwerke, Bankwesen, Cloud-Speicher usw.).
Dieser Ansatz ist bekannt als Credential Stuffing (Credential Stuffing). Dabei werden echte Benutzernamen- und Passwortkombinationen, die bei einem früheren Datenleck erbeutet wurden, verwendet und gegen mehrere Seiten und Plattformen eingesetzt, wobei darauf vertraut wird, dass viele Benutzer dasselbe Passwort oder nur geringfügige Variationen davon wiederverwenden.
Wenn Ihr Instagram-Passwort mit Ihrem E-Mail-Passwort identisch ist und diese Kombination aus Benutzername und Passwort bei einem Angriff in die Hände von Unbekannten gelangt, Kriminelle können direkten Zugriff auf Ihre E-Mails erlangen.Von dort aus ist es relativ einfach, Passwörter für andere Konten zurückzusetzen, Änderungen zu autorisieren oder Social Engineering durchzuführen, indem man sich als Sie ausgibt.
Daher ist einer der wichtigsten Punkte aller Empfehlungen, gute Passwörter mit eine klare Richtlinie der NichtwiederverwendungEs mag anfangs etwas ungewohnt erscheinen, aber es ist durchaus machbar, wenn man ein/e benutzt. moderner Passwortmanager dass er sich um alles kümmert.
Wie man heute wirklich sichere Passwörter erstellt
Die gute Nachricht ist, dass Sie kein Techniker sein müssen, um Ihre Konten zu sichern. Mit ein paar einfachen Richtlinien lässt sich das Schutzniveau deutlich erhöhen.selbst gegen systematische und automatisierte Angriffe.
Zuallererst sollte die Verwendung offensichtlicher personenbezogener Daten unbedingt vermieden werden: Eigennamen, Nachnamen, Spitznamen, Geburtsdaten, Jahrestage oder TelefonnummernSie gehören zu den ersten Dingen, die sowohl bei gezielten Angriffen als auch bei massiven Wörterbuchangriffen getestet werden.
Ziehen Sie stattdessen die Verwendung in Betracht lange Übergangsphrasen (auch Passphrasen genannt) bestehen aus mehreren zusammenhanglosen Wörtern, wobei Zahlen und Symbole an unerwarteten Stellen eingefügt werden. Groß- und Kleinbuchstaben werden unregelmäßig verwendet, ungewöhnliche Zahlen durch Buchstaben ersetzt, und Zahlen, die persönlichen Daten entsprechen, werden vermieden.
Einige praktische Tipps aus dem Empfehlungen Unternehmen wie Kaspersky oder Qualiteasy würden beispielsweise Folgendes umfassen:
- Verwenden Sie nach Möglichkeit immer mehr als 16 Zeichen.
- Vermischen Sie verschiedene Arten von Zeichen (Buchstaben, Zahlen und Symbole).
- Vermeiden Sie es, Muster in verschiedenen Diensten zu wiederholen.
- Erneuern Sie die sensibelsten Passwörter regelmäßig, insbesondere wenn Sie einen Sicherheitsverstoß vermuten.
Um den Aufwand zu reduzieren, sich Dutzende komplexer Tasten zu merken, Verwenden Sie einen vertrauenswürdigen Passwortmanager.Diese Apps speichern alle Ihre Anmeldedaten in einer verschlüsselten Datenbank, auf die Sie mit einem einzigen, sicheren Hauptschlüssel zugreifen. Sie beinhalten in der Regel auch automatische Zufallspasswortgeneratoren, Autofill-Funktionen, geräteübergreifende Synchronisierung und in einigen Fällen eine Passwortverwaltung.
Unternehmen wie Kaspersky haben es ebenfalls in ihre Website integriert. Kostenlose Tools zur Überprüfung, ob ein Passwort bereits durchgesickert ist Sie erkennen bekannte Sicherheitslücken und generieren automatisch sichere Passwörter. Selbst wenn Sie nicht den vollständigen Passwort-Manager nutzen möchten, sind solche Dienste sehr nützlich, um das Risiko Ihrer aktuellen Passwörter einzuschätzen.
Wie Sie Ihr Konto in Windows gezielt schützen können
In der Windows-Umgebung hängt die Sicherheit Ihres Kontos nicht allein von der Komplexität des Passworts ab. Die Art und Weise, wie Sie sich anmelden, wie Sie Ihre Zugangsdaten verwalten und welche zusätzlichen Faktoren Sie aktivieren, macht einen großen Unterschied.. Folgendes muss getan werden:
- Richten Sie ein sicheres Passwort für Ihr Microsoft-Konto ein.Das heißt: mehr als 16 Zeichen, verschiedene Zeichentypen, keine personenbezogenen Daten und keine typischen Muster. Wenn Sie ein lokales Benutzerkonto verwenden, wenden Sie dieselben Sicherheitskriterien auch darauf an, selbst wenn Sie es nur gelegentlich nutzen.
- Aktivieren Sie die Multi-Faktor-Authentifizierung (MFA) für Ihr Microsoft-Konto.Dadurch wird beim Anmelden bei Microsoft-Diensten (Outlook, OneDrive, Xbox usw.) eine zweite Sicherheitsprüfung durchgeführt. In vielen Fällen wird dadurch auch der Windows-Anmeldevorgang verbessert, wenn Sie Ihr Online-Konto verwenden.
- Windows Hello aktivieren (sofern Ihr PC kompatibel ist)Dies ermöglicht Ihnen die Anmeldung per Gesichtserkennung, Fingerabdruck oder einer mit dem Gerät verknüpften PIN.
- Überprüfen Sie regelmäßig Ihre jüngsten Aktivitäten in Ihrem Microsoft-Konto.Prüfen Sie, ob Anmeldungen von unbekannten Standorten oder Geräten erfolgen, aktivieren Sie Sicherheitsbenachrichtigungen, um auf verdächtiges Verhalten aufmerksam gemacht zu werden usw.
- Vergewissern Sie sich, dass Ihre Geräte über ein gutes allgemeines SchutzniveauDas bedeutet: Windows Defender stets auf dem neuesten Stand halten, ein aktuelles Betriebssystem verwenden, Vorsicht vor Phishing-Links und E-Mail-Anhängen walten lassen usw.
MFA, TOTP, SMS und die Übermittlung von Passkeys
In den letzten Jahren haben Microsoft und andere große Anbieter begonnen, einen grundlegenden Wandel bei der Authentifizierung zu empfehlen. Im Rahmen ihrer Strategie grundlegende Verhärtung der IdentitätSie raten dazu, bestimmte MFA-Faktoren zu vermeiden, die als schwach oder leicht zu unterwandern gelten.
Insbesondere raten sie von der Verwendung ab. Einmalcodes werden per SMS versendetE-Mail-basierte Einmalpasswörter (OTP) und zeitbasierte, anwendungsgenerierte Codes (TOTP) sind ebenfalls wirksame Sicherheitsmaßnahmen. SMS-Nachrichten sind anfällig für SIM-Swapping- und Leitungshijacking-Angriffe. E-Mail-basierte OTP sind jedoch wirkungslos, wenn der Angreifer bereits Zugriff auf das E-Mail-Postfach hat.
Bezüglich TOTP besteht die Hauptsorge darin, dass Sie können Ziel von Phishing- oder Man-in-the-Middle-Angriffen werden.Wenn Sie den Code auf einer gefälschten Website oder in einer abgefangenen Sitzung eingeben, kann der Angreifer ihn in Echtzeit wiederverwenden, um auf Ihr Konto zuzugreifen. Solche Codes sind zwar immer noch deutlich besser als gar kein Code, gelten aber nicht mehr als das Nonplusultra in puncto Sicherheit.
In diesem Zusammenhang empfiehlt Microsoft die Förderung der Verwendung von Passkeys und standardbasierte Methoden wie FIDO2Diese Lösungen basieren auf Public-Key-Kryptographie und vertrauenswürdigen Geräten (Mobiltelefon, physischer Sicherheitsschlüssel usw.). Sie sind von Natur aus resistent gegen viele Phishing-Angriffe.
Das bedeutet nicht, dass Sie Ihre TOTP-Anwendungen aufgeben müssen, wenn Sie diese verwenden. Sie stellt nach wie vor eine sehr wertvolle Schutzebene gegen einfache Angriffe dar. Und es ist besser, als sich ausschließlich auf ein Passwort zu verlassen. Wenn Sie jedoch die Möglichkeit haben, Passkeys oder physische Sicherheitsschlüssel für Ihre kritischen Konten zu aktivieren, ist dies ein interessanter Schritt hin zu einem Modell ohne herkömmliche Passwörter.
Wie Sie sich vor Password Spraying und anderen Angriffen schützen können
Auch wenn die Angriffe sehr raffiniert klingen mögen. Mit guten Grundgewohnheiten können Sie sich größtenteils selbst schützen.Man muss kein Systemadministrator sein, um das Risiko, Opfer von Password Spraying oder Credential Stuffing zu werden, drastisch zu reduzieren. Drei Tipps:
- Aktivieren Sie auf allen Plattformen, die dies ermöglichen, eine Form der Multi-Faktor-Authentifizierung.Obwohl manche Methoden nicht perfekt sind, bieten sie eine zusätzliche Schutzebene, die in der Regel ausreicht, um die meisten Massenangriffe abzuwehren. Bevorzugen Sie nach Möglichkeit sicherere Lösungen (Passwörter, physische Schlüssel, Windows Hello usw.).
- Anmeldewarnungen und Sicherheitsbenachrichtigungen aktivieren Wo immer möglich. So erhalten Sie sofort eine Benachrichtigung, wenn jemand versucht, von einem fremden Land oder einem unbekannten Gerät auf Ihr Konto zuzugreifen. Dadurch können Sie reagieren, indem Sie Ihr Passwort ändern oder sich abmelden.
- Entwickeln Sie eine gesunde Skepsis.Seien Sie vorsichtig bei Links, die nach Ihren Zugangsdaten fragen, selbst wenn sie offiziell erscheinen, und vermeiden Sie die Verbindung von ungesicherten öffentlichen Computern. Geben Sie Ihr Passwort niemals weiter und überprüfen Sie regelmäßig Ihre Kontowiederherstellungseinstellungen (alternative E-Mail-Adresse, Mobilnummer, Sicherheitsfragen), um sicherzustellen, dass keine verdächtigen Änderungen vorgenommen wurden.
Entscheiden Sie sich für lange, zufällige und einzigartige Passwörter, verwenden Sie Passwortmanager, aktivieren Sie die Multi-Faktor-Authentifizierung und nutzen Sie im Falle von Windows Optionen wie Windows Hello oder Passkeys. Dadurch wird diese „halb offene Tür“ in eine viel stärkere Barriere gegen automatisierte Angriffe und Cyberkriminelle verwandelt, die die Oberhand haben.
