24 Milliarden Benutzernamen und Passwörter im Darknet

Anwendernamen und zugehörige Passwörter werden en masse geklaut und kurz darauf im Darknet feilgeboten. Das ganze Ausmass dieses Handels auf cyberkriminellen Plattformen hat Digital Shadows, Spezialistin in Sachen Threat Intelligence, ermittelt. Die Experten zählten sage und schreibe 24 Milliarden Benutzername-Passwort-Kombinationen. Dies entspricht einer Zunahme von 65 Prozent gegenüber der letzten Erhebung im Jahr 2020. Somit finden sich derzeit fast vier Zugangskombinationen für jede Person auf unserem Planeten im Darkweb zum Verkauf.

Besorgniserregend ist dabei, dass die User weiterhin leicht zu erratende Passwörter verwenden. Digital Shadows fand heraus, dass die 50 häufigsten Passwörter besonders einfach zu erraten sind. Beispielsweise wird nach wie vor das Wort «Passwort» als digitale Losung verwendet oder eine Kombination aus leicht zu merkenden Zahlen. Etwa 0,46 Prozent aller Passwörter – fast eines von 200 – lautet demnach auf die Zahlenkombination «123456». Häufig werden des Weiteren Tastaturkombinationen wie «qwerty»/«qwertz» oder «1q2w3e» verwendet.

Von den 50 am häufigsten verwendeten Passwörtern können 49 in weniger als einer Sekunde mit Tools «geknackt» werden, die in cyberkriminellen Foren oft kostenlos zur Verfügung stehen und einfach zu bedienen sind.

Dabei führen simple Massnahmen dazu, dass sich die Hacker an Passwörtern die Zähne ausbeissen und sich wohl ein einfacher Einbruchsziel vorknöpfen. So verlängert das Hinzufügen eines Sonderzeichens wie «@», «#» oder «_» zu einem einfachen 10-Zeichen-Passwort die Zeit, die ein Offline-Angriff zum Knacken des Passworts benötigen würde, um etwa 90 Minuten. Die Beigabe von zwei Sonderzeichen ergibt eine Offline-Cracking-Zeit von ungefähr 2 Tagen und 4 Stunden.

Daneben empfiehlt Digital Shadows wie viele andere Cybersecurity-Spezialisten die Verwendung von Passwort-Managern, um starke Losungen zu speichern, sowie Zwei- oder Multi-Faktor-Authentifizierung, am besten in Kombination mit einer Authentifizierungs-App wie Google Authenticator, Microsoft Authenticator oder FreeOTP.

Die komplette Untersuchung von Digital Shadows mit dem Titel «Account Takeover in 2022» steht auf der Webseite der Firma zum Download zur Verfügung.