gesponsertScheinsicherheit statt Passwortsicherheit Das lange Leben kompromittierter Passwörter

Gesponsert von

Specops Software GmbH

Werden nach erfolgreichen Cyberangriff die Passwörter im Unternehmen ersetzt, glaubt man, die Passwortsicherheit sei wieder hergestellt. Leider ist das oftmals ein Irrtum: Kompromittierte Passwörter sind an anderer Stelle weiterhin im Einsatz. Doch verhindern das nicht führende Online-Plattformen? Leider nein!

Das Risiko: Recycling gestohlener Passwörter

Wurde ein Passwort gestohlen, muss es so schnell wie möglich ersetzt werden. Diese Sicherheitsrichtlinie kennen die meisten Unternehmen, und viele befolgen sie auch. Doch leider reicht es nicht, gestohlene Passwörter an der Stelle auszutauschen, an der ein Datendiebstahl entdeckt wurde.

Zu den größten Herausforderungen der Passwortsicherheit zählt, dass Nutzerinnen und Nutzer dazu neigen, ein und dasselbe Passwort für viele verschiedene Anwendungen zu verwenden, im Netzwerk, für E-Mail, für Online-Dienste und soziale Netzwerke.

Eine Umfrage des BSI (Bundesamt für Sicherheit in der Informationstechnik) zeigte: Vier von zehn Befragten (41 Prozent) geben an, nur ein Passwort auch für mehrere Nutzerkonten zu verwenden. Man kann annehmen, dass dieser Wert noch mit einer hohen Dunkelziffer versehen ist.

Die Mehrfachverwendung von Passwörtern ist aus Sicht der IT-Sicherheit gefährlich, so das BSI: Gelangen Cyber-Kriminelle in den Besitz dieses Passworts, haben sie damit den Schlüssel für weitere Accounts in der Hand.

„Einfache oder immer gleiche Passwörter zu verwenden, ist fahrlässig. Kriminelle nutzen beispielsweise digitale Wörterbücher und gängige Passwortlisten und können auf diese Weise schwache Passwörter mit einem automatisiertem Abgleich in wenigen Sekunden erraten“, so auch Sebastian Artz, Bereichsleiter für Cyber- und Informationssicherheit beim Digitalverband Bitkom.

IT-Sicherheitsforschung bestätigt die Gefahr

Wie aus dem Weak Password Report 2022 hervorgeht, müssen fast 48 Prozent aller Angestellten sich in ihrem Arbeitsleben mehr als elf Passwörter merken. So kann es leicht passieren, dass Mitarbeitende auf die Wiederverwendung von Passwörtern zurückgreifen, darunter auch solche, die bereits gestohlen wurden.

Doch das stärkste Passwort der Welt wird schwach, wenn es einem Hacker bekannt ist.

„Das am leichtesten zu erratende Passwort ist eines, das ein Angestellter auf einer zuvor angegriffenen Website wiederverwendet hat und das einem Angreifer in die Hände fällt. Das Blockieren von kompromittierten Passwörtern ist daher ein wesentlicher Bestandteil eines jeden Cybersicherheitsplans”, so Stephan Halbmeier, Product Specialist bei Specops Software.

Ein prominenter Sicherheitsvorfall wie der SolarWinds-Hack zeigt, wozu die Verwendung kompromittierter Passwörter führen kann. So berichtet das Forschungsteam von Specops Software von der Entdeckung eines kompromittierten SolarWinds-Passworts, das von Juni 2018 bis November 2019 in einem privaten Github-Repository existierte. Ein Praktikant, der für SolarWinds arbeitete, hatte das Passwort „solarwinds123“ auf einem Konto festgelegt, das interessanterweise auf den Update-Server des Unternehmens zugelassen wurde.

Es ist nicht klar, ob das gebrochene Passwort bei dem Angriff auf die Lieferkette eine Rolle gespielt hat, von dem rund 18.000 Unternehmen mit der kompromittierten Version der SolarWinds-Orion Sicherheitsplattform betroffen waren. Man kann aber die Möglichkeit nicht ausschließen, dass das kompromittierte Passwort irgendwann in dem Angriff auf die Lieferkette eine Rolle gespielt hat.

Die Security-Forscher machen deutlich: Unabhängig von der genauen Verbindung zwischen den gehackten Anmeldeinformationen und dem Angriff auf die Lieferkette, kompromittierte Anmeldeinformationen stellen ein enormes Risiko für ein Unternehmen dar und müssen um jeden Preis vermieden werden.

Specops Software setzt weltweit Honeypots ein, um Informationen über Konten zu sammeln, auf die Angreifer „gerade jetzt“ abzielen. Diese Informationen werden verwendet, um zu sehen, welche kompromittierten Passwörter aktuell und in welchem Umfang verwendet werden und um die Milliarden von Passwörtern in der Specops-Datenbank für Breached Passwords kontinuierlich zu aktualisieren.

Mythos 1: Meine Anwendung verhindert die Nutzung gestohlener Passwörter

Leider unterschätzen viele Unternehmen das Risiko durch kompromittierte Passwörter, sie glauben, die von ihnen genutzten Online-Dienste würden dies automatisch verhindern. Dies gehört aber in das Reich der Passwort-Mythen.

Das Research-Team von Specops Software untersuchte die Anforderungen an Passwörter von fünf führenden Online-Diensten. Das Specops-Team untersuchte Dienste aus verschiedenen Branchen wie E-Commerce, Projektmanagement, E-Mail-Marketing und Kundensupport. Die Analyse verglich die Passwortanforderungen der Dienste mit einer Teilmenge von einer Milliarde bekannter und damit kompromittierter Passwörter, die in der Specops Breached Password Protection Liste enthalten sind.

Die Ergebnisse weisen auf eine große Schwachstelle in der Cybersicherheit hin: Mitarbeiterinnen und Mitarbeiter könnten bereits kompromittierte Passwörter für diese Dienste verwenden, die Dienste verhindern den Einsatz kompromittierter Passwörter je nach Plattform in null bis 46 Prozent der Fälle, nur ein Dienst blockierte 98 Prozent der von Hackern gestohlenen Passwörter, wenn man diese als Passwort definieren wollte.

Von dem Ausschluss kompromittierter Passwörter durch führende Online-Dienste kann somit keine Rede sein.

Mythos 2: Compliance verhindert die Kompromittierung von Passwörtern

Unternehmen, die die Compliance mit IT-Sicherheitsstandards wie NIST, HITRUST für HIPAA, PCI, ICO für GDPR und Cyber Essentials für NCSC einhalten, könnten denken, kompromittierte Passwörter seien bei ihnen kein Thema, denn dank Umsetzung der Compliance-Vorgaben wäre die Passwortsicherheit bestimmt vorbildlich.

Doch Untersuchungen von Specops Software zeigen etwas anderes: Nach den Untersuchungen des Forschungsteams von Specops, das mehr als 800 Millionen bekannte kompromittierte Passwörter analysierte, würden bis zu 83 Prozent der Passwörter, die in Datenbanken mit kompromittierten Passwörtern auftauchen, generell den offiziellen Passwortstandards entsprechen.

„Was uns diese Daten wirklich sagen, ist, dass es einen sehr guten Grund gibt, warum einige regulatorische Empfehlungen nun eine Überprüfung kompromittierter Passwörter beinhalten”, sagte Stephan Halbmeier, Produktspezialist bei Specops Software. „Komplexität und andere Regeln mögen helfen, aber das beste Passwort der Welt hilft nicht, Ihr Netzwerk zu schützen, wenn es auf einer Liste mit kompromittierten Passwörtern eines Hackers steht.”

Echte Passwortsicherheit erfordert zusätzliche Sicherheitsmaßnahmen: So hilft Specops Password Policy

Doch Unternehmen müssen nicht mit dem Risiko kompromittierter Passwörter leben.

Mit Specops Password Policy und Breached Password Protection können Unternehmen über drei Milliarden kompromittierte Passwörter in Active Directory blockieren. Zu diesen kompromittierten Passwörtern gehören auch solche, die aktuell in realen Angriffen verwendet werden oder die auf bekannten Listen mit gefährdeten Passwörtern stehen.

Das Specops Security Research Team hält die Datenbank auch mithilfe eines Honeypot-Systems kontinuierlich auf dem Laufenden und stellt so sicher, dass Netzwerke vor Angriffen mit kompromittierten Passwörtern geschützt sind, die gerade live stattfinden. Der Breached Password Protection Service blockiert die Nutzung verbotener Passwörter bei der Passwortänderung oder innerhalb einer täglichen, zeitgesteuerten Überprüfung. Zusammen mit dem Dynamischen Feedback im Passwort-Ändern Screen in Windows reduziert sich dadurch Anzahl der Anrufe am IT-Service Desk, verdeutlicht die eingestellten Passwortrichtlinien und steigert so letztendlich auch die Akzeptanz und das Sicherheitsdenken im Unternehmen. Das Recycling kompromittierter Passwörter hat dann ein Ende.

(ID:48800166)