Passwort-sicherheit gefährdet: hacker nutzen ihre umgebung gegen sie!

Die wachsende bedeutung starker passwörter

In unserer zunehmend digitalen Welt sind Passwörter allgegenwärtig. Die Forderung nach komplexen Passwörtern, bestehend aus Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen, wird immer dringlicher. Doch selbst diese vermeintlich sicheren Maßnahme bietet keinen vollständigen Schutz. Ein wachsendes Problem zeigt, dass Hacker nicht zwingend auf leistungsstarke Computer oder komplexe Algorithmen angewiesen sind, um Ihre Zugangsdaten zu knacken – oft reicht das Verständnis für menschliche Vorhersagbarkeit.

Warum menschliche vorhersagbarkeit das problem ist

Wenn Unternehmen uns zwingen, Passwörter alle drei Monate zu ändern und komplexe Regeln aufzuerlegen, greifen wir oft zu zufälligen Kombinationen, die sich in unserer unmittelbaren Umgebung finden lassen. Angreifer sind sich dieser Tendenz bewusst und nutzen ausgeklügelte Tools, um unsere Umgebung auszuspionieren und daraus Informationen für den Angriff zu gewinnen. Der Schlüssel liegt darin, die Wörter und Begriffe zu identifizieren, die wir regelmäßig verwenden.

Cewl: das tool, das ihre umgebung ausspioniert

Ein Open-Source-Programm namens CeWL (Crack Websites with Wordlists) hat sich in der Sicherheitswelt einen Namen gemacht. Es durchsucht Websites und absorbiert alle darin enthaltenen Wörter. Howard Shortt, ein Experte für Cybersicherheit, warnt: „Viele sind sich nicht bewusst, dass ihr Android-Fernseher in Sekundenschnelle kompromittiert werden kann.“ CeWL erstellt eine personalisierte Liste von Begriffen, die Sie und Ihre Umgebung ständig verwenden.

Die 90%-lösung: kontextbezogene wörter

Anstatt Millionen zufälliger Kombinationen auszuprobieren, konzentrieren sich Hacker nun auf die Wörter, die in Ihrer Umgebung vorkommen. Die klassischen Passwort-Wörterbücher verlieren an Bedeutung, da Menschen weniger häufig Wörter wie „password“ oder „admin“ verwenden. Sobald CeWL diese Liste erstellt hat, ist der Großteil der Arbeit bereits erledigt. Hacker fügen dann einfache Variationen hinzu, wie Zahlen, Großbuchstaben oder Sonderzeichen.

Hashcat und die regel der mutation

Tools wie Hashcat werden dann eingesetzt, um Regeln der Mutation anzuwenden. Das bedeutet, dass aus einem Wort wie „Krankenhaus“ automatisch Tausende von Varianten generiert werden: „H0spital“, „krankenhaus2026“, „Krankenhaus#1“. Da Menschen vorhersehbare Muster befolgen, um Sicherheitsrichtlinien zu erfüllen, findet die Software oft die korrekte Kombination in Sekundenschnelle.

Das nist-problem und die bedeutung von kontext

Das Problem ist, dass diese generierten Passwörter oft als „robust“ gelten, da sie die formalen Anforderungen erfüllen. Das NIST-Standard (National Institute of Standards and Technology), die Art von Bibel der Cybersicherheit, betont, dass es nicht ausreicht, Sonderzeichen zu erzwingen, wenn die Verwendung von kontextbezogenen Wörtern nicht untersagt wird. Wenn Unternehmen es ihren Mitarbeitern erlauben, den Firmennamen oder die Software, die sie verkaufen, in ihren Passwörtern zu verwenden, erleichtern sie Hackern die Arbeit erheblich.

Schutzmaßnahmen: dictonarien ausschließen und passwortmanager nutzen

Die Lösung liegt nicht in noch komplizierteren Regeln, sondern darin, Wörter zu blockieren, die Hacker aus Ihrer Website extrahieren können. Unternehmen setzen zunehmend auf personalisierte Ausschluss-Wörterbücher, eine Art Sperrliste, die Benutzern verbietet, den Namen eines bestimmten Projekts oder der Marke als Passwort zu verwenden. Passwortmanager oder noch besser, Passkeys (digitale Schlüssel), sind die effektivste Verteidigungslinie. Diese generieren zufällige Passwörter, die für Hacker unknackbar sind.