Weak Password Report: Selbst vermeintlich starke Passwörter können aufgrund unzureichender Schutzmaßnahmen und menschlicher Verhaltensweisen das schwächste Glied in der Cyber-Abwehrkette sein.

Foto: Towfiqu barbhuiya/Unsplash Laut dem „Weak Password Report“ orientieren sich User bei der Wahl ihrer Passwörter gerne an Jahreszeiten, Musikern, Sportteams, Filmen und Fernsehsendungen – leicht zu erraten für Cyberkriminelle Die digitale Transformation macht Unternehmen anfällig für Attacken von Cyberkriminellen. Sind diese erfolgreich, können die Folgen vielfältig sein: Vom Abfluss personenbezogener Daten, die jede Firma erhebt und deren Schutz daher gesetzlich geregelt ist, über den Diebstahl interner Informationen bis hin zum Totalausfall der Produktion oder dem Entzug von Kapital durch CEO Fraud.

Was genau selbst vermeintlich starke Passwörter zum schwächsten Glied machen kann, hat der Specops Software, Anbieter von Passwort Management- und Authentifizierungslösungen, in seinem „Weak Password Report“ dargelegt.

Ein Einstiegstor für Cyberkriminelle sind Passwörter, erklärt Stephan Halbmeier, Product Specialist bei Specops: „Tagtäglich sehen sich Unternehmen mit hunderten bis tausenden Angriffen über Brute Force, Password Spraying oder Password Dictionary Attacks konfrontiert. Diese führen insbesondere dann zum Erfolg, wenn grundlegende Regeln zur Passwortsicherheit nicht umgesetzt wurden.“

Empfohlene Mindestlänge reicht nicht für maximale Sicherheit

Eine Mindestlänge des Kennworts festzulegen, ist bekanntermaßen ein Muss bei der Abwehr gängiger Arten von Kennwortangriffen. Daher rät das US-amerikanische National Institute of Standards and Technology (NIST) zu einer Mindestlänge von acht Zeichen oder mehr. Das Schweizer Nationale Zentrum für Cybersicherheit (NCSC), spricht vergleichbare Empfehlungen aus. Doch Angreifer scheinen sich dessen bewusst zu sein, denn die Ergebnisse der Specops Studie zeigen: 93 Prozent der bei Brute- Force-Angriffen verwendeten Passwörter bestehen aus acht oder mehr Zeichen. „Es reicht also nicht aus, die Minimalanforderungen der Aufsichtsbehörden einzuhalten, um sich gegen kriminelle Attacken zu schützen“, warnt Halbmeier.

Foto: Specops Stephan Halbmeier, Specops Software: „Gut konfiguriert können Passwörter ein Aktivposten bei der Abwehr von Cyberangriffen sein“ Einstiegshilfen im Netz für Cyberkriminelle

Bei Brute Force, Password Spraying oder Password Dictionary Attacks hilft es den Angreifern, dass Listen kompromittierter Passwörter relativ leicht zu erhalten sind. Threat Actors könnten so beispielsweise über einen Brute Force-Angriff versuchen, Zugriff auf einen Terminal Server oder ein Exchange Postfach zu erhalten.

Halbmeier bringt ein bekanntes Beispiel: „Im Juni 2021 wurde in einem beliebten Internet-Hacking-Forum ein großer Datensatz, „rockyou2021“, veröffentlicht. Diese Sammlung war eine Kombination aus „Collection of Many Breaches“ und Wortlisten, die aus Wikipedia und anderen Quellen stammen. Der Zweck: Brute-Force-Angriffe auf Passwort-Hashes mit dem Ziel zu unterstützen, ein Passwort in der Wortliste zu finden, um sich bei dem Dienst oder Netzwerk anzumelden, das durch den Hash geschützt wird.“

Menschen wiederholen Themen und Muster

Im Rahmen der Studie hat Specops große Datensätze von kompromittierten Passwörtern analysiert, um womöglich wiederkehrende Themen zu finden. Die Ergebnisse zeigen, dass sich Menschen bei der Wahl ihrer Passwörter an Jahreszeiten, Musikern, Sportteams, Filmen und Fernsehsendungen orientieren. Leicht zu erraten für Cyberkriminelle. Hinzu kommt: Oftmals wird ein einmal gewähltes Passwort für mehrere Konten verwendet. Dadurch wird es wahrscheinlicher, dass dieses auf Listen kompromittierter Passwörter landet.

Passwortsicherheit: Ein lösbares Problem

„Der Report belegt, dass Passwörter aufgrund unzureichender Schutzmaßnahmen und menschlicher Verhaltensweisen leicht angreifbar sind“, so Halbmeier, „aber mit Hilfe von adäquaten technischen und organisatorischen Maßnahmen gut konfiguriert, können sie ein Aktivposten bei der Abwehr von Cyberangriffen sein.“ Nötig ist dazu der Einsatz möglichst langer Passphrasen, um mit diesen mathematisch starke Passwörter zu erstellen, und einer Breached Password-Liste, die während des Passworterstellungsprozesse kompromittierte Kennwörter blockiert. „Idealerweise sollte dies durch ein Passwortwörterbuch ergänzt werden, das den Einsatz leicht erratbare Begriffe verhindert“, rät Halbmeier.