Wie ein Passwort in einem Datenleck landet

Ein Passwort leakt selten wegen Ihnen. Es leakt, weil ein Dienst, bei dem Sie ein Konto eröffnet hatten, gehackt wurde. Ein Forum, ein Onlineshop, eine Fakturierungssoftware, eine Buchungsplattform: In jedem Fall zieht der Angreifer mit der Datenbank der Konten davon.

Diese Datenbank enthält die E-Mail-Adressen und die Passwörter. Letztere werden normalerweise als Fingerabdruck gespeichert und nicht im Klartext. Doch viele Dienste verwenden noch veraltete Speichermethoden, mit denen sich das ursprüngliche Passwort mit gängiger Hardware innerhalb weniger Stunden wiederherstellen lässt. Einmal rekonstruiert, werden diese Passwörter weiterverkauft und kursieren schliesslich gratis in Sammlungen mit mehreren Milliarden Zeilen.

Deshalb lautet die Frage nicht, ob Sie Ihr Passwort gut gewählt haben, sondern ob es anderswo bereits offengelegt wurde. Sie haben keinerlei Kontrolle über die Sicherheit der Dienste, denen Sie ein Konto anvertrauen, und Sie werden über den Hack in der Regel nicht oder erst Monate später informiert.

Was ein Angreifer mit einem gestohlenen Passwort macht

Ein einzelnes Passwort interessiert niemanden. Was den Angreifer interessiert, ist das Paar aus E-Mail-Adresse und Passwort, millionenfach. Er nutzt es für einen Angriff namens Credential Stuffing.

Das Prinzip ist mechanisch. Der Angreifer nimmt die Liste der auf einer Website gestohlenen Paare und probiert sie automatisch auf Hunderten anderer Dienste aus: E-Mail-Konten, Onlinebanking, soziale Netzwerke, berufliche Werkzeuge, Fernzugriffe von Unternehmen. Ein Programm testet Tausende Kombinationen pro Minute, verteilt auf zahlreiche Adressen, um keine Alarme auszulösen.

Die Erfolgsquote ist niedrig, oft unter 1 %. Doch bei zehn Millionen getesteten Paaren entspricht das Zehntausenden geöffneter Konten, zu nahezu keinen Kosten. Es gibt weder gezielte Auswahl noch Fachwissen noch Verbissenheit gegen Ihr Unternehmen im Besonderen: Sie sind schlicht eine Zeile in einer Datei. Das ist auch der Grund, weshalb eine kleine Struktur genauso betroffen ist wie ein grosser Konzern.

Wenn das geöffnete Konto ein geschäftliches E-Mail-Konto ist, ist der weitere Verlauf bekannt. Der Angreifer liest die Korrespondenz, lernt die Funktionsweise des Unternehmens kennen und leitet dann eine Zahlung um oder sendet veränderte Rechnungen an Ihre Kunden. Unser Artikel zur Kompromittierung des E-Mail-Postfachs beschreibt dieses Szenario im Detail, das fast immer mit einem wiederverwendeten Passwort beginnt.

Warum die Wiederverwendung die eigentliche Gefahr ist

Credential Stuffing funktioniert nur dank einer universellen Gewohnheit: dasselbe Passwort an mehreren Stellen zu verwenden. Ohne diese Gewohnheit bliebe das Leck eines Forums ein auf dieses Forum beschränktes Problem.

Ein eindeutiges Passwort pro Dienst macht aus jedem Leck einen isolierten Vorfall. Ein auf zehn Diensten wiederverwendetes Passwort macht aus demselben Leck die Kompromittierung von zehn Konten. Die Qualität des Passworts ändert an dieser Mechanik nichts: Ein langer, komplexer Satz, der überall wiederverwendet wird, ist gefährlicher als ein mittelmässiges, aber eindeutiges Passwort, denn einmal offengelegt öffnet er alle Türen auf einmal.

Auch Varianten schützen nicht. Den Namen der Website ans Ende zu hängen, eine Ziffer hochzuzählen oder Buchstaben durch Zahlen zu ersetzen sind Muster, die Angriffswerkzeuge automatisch testen. Ein Mensch, der sich zwei Ihrer Passwörter ansieht, errät die übrigen meistens.

Die einzige realistische Antwort ist ein Passwort-Manager. Er erzeugt für jeden Dienst ein anderes Passwort, merkt sie sich an Ihrer Stelle und meldet jene, die geleakt sind. Sie müssen sich nur noch ein einziges Passwort merken, jenes des Managers, das lang und durch eine Zwei-Faktor-Authentifizierung geschützt sein muss.

Was tun, wenn Ihr Passwort gefunden wird

Ein in der Datenbank vorhandenes Passwort ist als öffentlich zu betrachten. Es geht nicht darum, es leicht abzuwandeln, sondern es überall zu ersetzen, in dieser Prioritätsreihenfolge.

  1. Zuerst Ihr Haupt-E-Mail-Konto. Es ist jenes, über das sich alle anderen Konten zurücksetzen lassen. Solange es offengelegt ist, bringt es nichts, den Rest abzusichern.
  2. Die Finanzzugänge. Onlinebanking, Zahlungsplattformen, Buchhaltungssoftware, Lohnportal.
  3. Die geschäftlichen Werkzeuge und die Fernzugriffe. Verwaltungssoftware, Onlinespeicher, Fernzugriff auf das Unternehmensnetz.
  4. Alle übrigen Dienste, bei denen dieses Passwort oder eine Variante gedient haben könnte.

Aktivieren Sie anschliessend die Zwei-Faktor-Authentifizierung überall dort, wo sie angeboten wird. Sie macht ein gestohlenes Passwort allein unzureichend und neutralisiert Credential Stuffing, selbst wenn Ihre Zugangsdaten bereits im Umlauf sind. Prüfen Sie schliesslich die jüngsten Aktivitäten Ihrer Konten: ungewöhnliche Anmeldungen, unbekannte Geräte, in Ihrem Postfach angelegte automatische Weiterleitungsregeln. Falls Sie einen tatsächlichen Zugriff vermuten, beschreibt unser Dossier zum Datendiebstahl die möglichen Folgen und Ihre Meldepflichten.

Die k-Anonymität, einfach erklärt

Bleibt die Frage, die zu Recht alle blockiert: Wie prüft man ein Passwort, ohne es preiszugeben? Die Lösung heisst k-Anonymität und beruht auf einer einfachen Idee, sich in der Menge zu verstecken.

Ihr Browser berechnet zunächst einen Fingerabdruck des Passworts. Ein Fingerabdruck ist eine Folge von 40 Zeichen, die durch eine Einwegberechnung entsteht: Dasselbe Passwort ergibt immer denselben Fingerabdruck, doch es ist unmöglich, vom Fingerabdruck auf das Passwort zurückzuschliessen.

Statt diesen Fingerabdruck zu senden, übermittelt das Tool nur dessen erste fünf Zeichen. Der abgefragte Server liefert dann die vollständige Liste der bekannten Fingerabdrücke, die mit diesen fünf Zeichen beginnen, typischerweise mehrere Hundert Ergebnisse. Ihr Browser empfängt diese Liste und sucht darin selbst nach dem Ende Ihres Fingerabdrucks.

Der entscheidende Abgleich findet also auf Ihrem Gerät statt, nie anderswo. Der Server weiss, dass sich ein Besucher für eine Gruppe von mehreren Hundert möglichen Passwörtern interessiert, ohne jede Möglichkeit zu wissen, welches, und nicht einmal, ob das Ergebnis positiv war. Es ist diese Eigenschaft und nicht eine vertragliche Zusage, die den Vorgang sicher macht.

Um das Schutzniveau Ihres Unternehmens umfassender einzuordnen, deckt der Cyber-Check-up in zwölf Fragen die Massnahmen ab, die wirklich zählen, und die Seite Tools versammelt unsere kostenlosen Ressourcen.