Passwort-Cracking und Schutzmaßnahmen dagegen Gängige Passwort-Hacking-Methoden

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fujitsu Technology Solutions GmbH

Specops Software GmbH

Zunehmend rücken Einzelpersonen in den Fokus von Cyberkriminellen – sowohl persönlich, als auch als Mitarbeiter:innen mit Zugriff auf sensible Firmendaten. Wer sich darüber informiert, wie Hacker:innen heutzutage Passwörter knacken und wie man sich schützen kann, fällt nicht so leicht auf die Maschen der Angreifer:innen herein.

In Film und Fernsehen begegnet den Zuschauer:innen oft ein spezieller Hackertyp: Eine dunkle Gestalt verschafft sich Zugriff auf einen fremden Computer, gibt gleich das richtige Passwort ein – und schon rauschen Daten über den Bildschirm. Diese Vorstellung mag gruslig genug sein, hat aber mit der Realität nicht viel gemein. In Wahrheit gehen die professionalisierten Hackergruppen deutlich perfider und systematischer vor, um an Passwörter zu gelangen. Die gängigsten Methoden sind Social Engineerung und Phishing, Credential Stuffing, Wörterbuchangriffe sowie das Knacken gehashter Passwörter.

Manipulation mittels Social Engineering und Phishing

Beim Social Engineering bringen die Angreifer:innen Menschen dazu, Passwörter, Zahlungsdaten oder andere sensible Informationen preiszugeben, indem sie sich als vertrauenswürdige Person ausgeben – etwa als IT- oder Kundendienstmitarbeiter:innen. Aus Zeit- und Kostengründen verwenden die Kriminellen dafür meist Kontaktinformationen, die durch frühere Datenleaks publik sind. Mit deren Hilfe fischen sie nach weiteren Daten, indem sie hundert- bis millionenfach E-Mails, Textnachrichten und DMs verschicken oder Personen anrufen.

Im Gespräch sollen die potenziellen Opfer dann Benutzernamen, Kennwörter oder andere private Daten laut aussprechen. Bei schriftlicher Kontaktaufnahme sollen die Betroffenen auf einen Link zu einer scheinbar authentischen Website klicken, wo sie ihren echten Benutzernamen und das Kennwort eingeben sollen. Mit diesen Daten können die Angreifer:innen dann auf das echte Konto zugreifen. Dieses Vorgehen nutzen Cyberkriminelle nicht nur, wenn sie es auf einzelne Kund:innen abgesehen haben. Auch wenn ganze Unternehmen im Visier sind, ist es eine beliebte Strategie, sich so Zugang zu internen Ressourcen zu erschleichen.

Ausnutzen geleakter Passwörter durch Credential Stuffing

Die wenigsten Hacker:innen sitzen an ihren Computern und probieren mühsam verschiedene Passwörter durch, um Zugriff zum Konto einer Person zu erhalten. Dieses Vorgehen wäre zu ineffektiv, da es ist nicht nur zeitaufwändig ist, sondern die meisten Dienste Nutzer:innen nach einigen erfolglosen Anmeldeversuchen sperren. Stattdessen verwenden die Kriminellen bereits online geleakte Passwörter und setzen auf die Bequemlichkeit des Menschen: Viele Nutzer:innen verwenden für alle Konten das gleiche Passwort, so dass sich die Angreifer:innen – zurecht – gute Chancen ausrechnen, mit dem geleakten Passwort auf weitere Konten zuzugreifen.

Dabei nutzen die Kriminellen verschiedene Tools, um Datenbanken mit geleakten Passwörtern zu durchforsten und zu prüfen, ob die Anmeldedaten für den Zugriff auf andere Konten verwendet werden können. Diese Technik wird als Credential Stuffing bezeichnet und ist weitaus effektiver als das einfache Erraten zufälliger Passwörter.

Wörterbuchangriffe zum Knacken gehashter Passwörter

Doch nicht alle geleakten Passwörter können von Hacker:innen „direkt“ verwendet werden. Denn die Ersteller:innen von Apps und Websites sind dazu übergegangen, Kennwörter für Online-Konten mittels Hashing zu schützen. Dabei durchläuft jeder Anmeldeindikator einen Einmalalgorithmus, der das Passwort in eine neue Ziffernfolge umwandelt. Dieses Vorgehen ist für Hacker:innen eine relativ große Hürde. Hasht ein Unternehmen die Kennwörter seiner Benutzer:innen und Cyberkriminelle verschaffen sich Zugang zu dessen Servern, ist zunächst noch nicht so viel gewonnen: Denn sie finden lediglich eine Datenbank mit Kauderwelsch, statt mit brauchbaren Passwörtern.

Doch die Kriminellen könnten versuchen, die gehashten Passwörter mit Hilfe sogenannter Wörterbuchangriffe zu knacken. Dabei werden gängige Wörter, Phrasen und geleakte Passwörter aus einer vordefinierten Liste getestet. Bei der Zusammenstellung der Liste verlegen sich die Hacker auf Passwort-Kombinationen, die erhöhte Erfolgsaussichten aufweisen, etwa weil sie auf eine bestimmte Organisation oder Region zugeschnitten sind. Wohnt ein:e Nutzer:in in Berlin, sind Kennwörter mit Bezug zu Berlin wahrscheinlicher. Im Sonderfall der gehashten Passwörter können die Kriminellen in einem Wörterbuchangriff beliebte Kennwörter durch gängige Hash-Algorithmen laufen lassen. Anschließend prüfen sie, ob ihr Ergebnis mit einem der geleakten Passwörter übereinstimmt. Letzteres ist nicht kompliziert, da es mittlerweile sogar „Nachschlagetabellen“ für gängige Kennwörter und ihre gehashten Versionen gibt.

Verwaltung starker Passwörter im Passwortmanager

Diese Angriffsmethoden gefährden die Anmeldedaten und Informationen von Privatpersonen ebenso wie Mitarbeiter-Logins und sensible Daten auf Unternehmensseite. Gerade durch letzteres kann enormer wirtschaftlicher Schaden entstehen – der Digitalverband Bitkom beziffert die Kosten für die deutsche Wirtschaft durch Cyberangriffe im Jahr 2022 auf 203 Mrd. Euro. Neben unternehmensweiten Maßnahmen sollte daher jede:r Einzelne durch umsichtiges Verhalten zur Datensicherheit beitragen. Der Schutz der eigenen Kennwörter ist dabei essentiell – und muss nicht kompliziert sein.

Eine ganz grundlegende, aber sehr effiziente Maßnahme ist beispielsweise, einen Passwort-Manager zu nutzen, mit dessen Hilfe sich zufällige, eindeutige und individuelle Benutzernamen und Passwörter für sämtliche verwendete Online-Konten erstellen lassen. Starke Anmeldedaten schützen zum einen vor Brute-Force-Angriffen und stellen zum anderen sicher, dass Hacker nicht mit einem einzigen Satz geleakter Login-Daten Zugriff auf weitere Konten erlangen können.

Schutz vor gefälschten Websites und Nutzung von 2FA

Ein Passwortmanager hat aber auch noch weitere Schutzfunktionen: Wird ein Passwort erstellt und aktualisiert, speichert er zusammen mit den Anmeldedaten auch die URL der dazugehörigen Website. Nur auf dieser Website füllt er die Loginmaske automatisch aus. Klickt ein:e Nutzer:in im Rahmen einer Social-Engineering-Attacke beispielsweise auf den Link zu einer betrügerischen Website, fällt sofort eines auf: Der Passwortmanager bietet die Autofill-Funktion nicht an, da die URL nicht übereinstimmt. Die Betroffenen schauen im Optimalfall genauer hin und verlassen die Website, ohne ihre Daten einzugeben.

Für den Fall, dass Nutzer:innen doch auf einen Social-Engineering-Angriff hereinfallen und Anmeldedaten preisgeben, können sie eine zweite Sicherheitsebene einrichten: Durch die Aktivierung der Zwei-Faktor-Authentifizierung (2FA), die von immer mehr Apps und Websites angeboten wird, können sich Angreifer:innen trotz erschlichener Benutzerdaten nicht mehr anmelden, da sie in der Regel keinen Zugang zu dem Ort bzw. Gerät haben, an dem die Nutzer:innen ihre Einmalcodes abrufen. Ein guter Passwortmanager kann dabei auch gleich als Authentifikator genutzt werden und füllt die Codes automatisch in jedem Browser aus. So sparen sich die User:innen das Öffnen von E-Mails oder eine Authentifizierungs-App. Generell gilt selbst mit diesen Sicherheitsmaßnahmen, dass Nutzer:innen Warnungen über ungewöhnliche Anmeldeversuche immer überprüfen und Passwörter ändern sollten, bevor Angreifer:innen erneut versuchen können, sich Zugang zu verschaffen.

Mit offenen Augen im Cyberspace

Die Angriffsmethoden werden immer perfider und professioneller. Vorgehensweisen wie Social Engineering und Credential Stuffing zeigen dabei, dass Hacker:innen zunehmend auf die Naivität und Bequemlichkeit von Nutzer:innen im Umgang mit Daten setzen. Daher ist eine der wichtigsten Lektionen, die jede:r Einzelne im Cyberspace begreifen muss: Man sollte stets wachsam bleiben und bei merkwürdigen Vorgängen lieber einmal mehr die Situation hinterfragen und sich informieren, anstatt zu vertrauensselig zu sein. Sichere, einzigartige Passwörter und Anmeldeinformationen, die am besten und einfachsten in Passwortmanagern verwaltet werden, sind dabei ein ganz wesentliches Bollwerk. Und natürlich sollte jede:r Nutzer:in Geräte und Software auf dem neuesten Stand halten, damit sie auch über die jeweils aktuellsten Sicherheitsfunktionen verfügen.

Über den Autor: Alex Hoffmann ist Sales Engineer bei 1Password seit 2013 in verschiedenen Rollen und Funktionen Teil des Unternehmens. Zuvor leitete er den Kundensupport für die Windows-App und war maßgeblich an der Entwicklung des Business-Sales-Teams von 1Password beteiligt. Alex hat eine Leidenschaft für menschenzentrierte Sicherheit: Er kennt 1Password sowie das Sicherheits-Ökosystem in- und auswendig und weiß, wo die Bedürfnisse der Kunden liegen. Er lebt im Schwarzwald und hat einen Magister in Marketing und Sinologie.

(ID:49259670)