Wir ertrinken in digitalen Identitäten. Die meisten von uns verwalten Dutzende, manchmal Hunderte von Online-Konten. Die schiere Lautstärke ist erschöpfend. Also nehmen wir Abkürzungen. Wir wählen leicht zu erratende Passwörter, weil die Bequemlichkeit immer Vorrang vor der Sicherheit hat. Oder noch schlimmer: Wir recyceln denselben schwachen String über mehrere Standorte hinweg. Dadurch entsteht eine massive Sicherheitslücke. Wenn eine Site gehackt wird, bricht alles andere zusammen.
Um das Ausmaß dieses Problems zu verstehen, müssen wir uns die Daten ansehen. Das Cybersicherheitsunternehmen NordPass verfolgt diese Fehler jährlich. Sie analysieren Datenschutzverletzungen in 44 Ländern. Ihr Bericht aus dem Jahr 2024 beleuchtet die am häufigsten noch verwendeten Passwörter. Die Liste ist vorhersehbar. Und gefährlich.
Die 25 schwachen Passwörter
NordPass ordnete diese nach Häufigkeit. Einige davon wurden bei bekannten Verstößen über eine Million Mal eingesetzt. Hier ist, was tatsächlich da draußen ist:
- 123456 – 1,2 Millionen Instanzen
- 123456789 – 693.000 Instanzen
- 12345678 – 365.000 Instanzen
- geheim – 339.000 Instanzen
- Passwort – 196.000 Instanzen
- qwerty123 – 144.000 Instanzen
- qwerty1 – 138.000 Instanzen
- 111111 – 106.000 Instanzen
- 123123 – 102.000 Instanzen
- 1234567890 – 93.000 Instanzen
- qwerty – 92.000 Instanzen
- 1234567 – 86.000 Instanzen
- 11111111 – 80.000 Instanzen
- abc123 – 58.000 Instanzen
- iloveyou – 54.000 Instanzen
- 123123123 – 51.000 Instanzen
- 000000 – 46.000 Instanzen
- 00000000 – 45.000 Instanzen
- a123456 – 42.000 Instanzen
- Passwort1 – 41.000 Instanzen
- 654321 – 41.000 Instanzen
- qwer4321 – 36.000 Instanzen
- 1q2w3e4r5t – 35.000 Instanzen
- 123456a – 35.000 Instanzen
- q1w2e3r4t5y6 – 34.000 Instanzen
Tastaturmuster sind der beste Freund von Hackern
Schauen Sie sich die Top-Einträge genau an. Das Muster ist offensichtlich. Benutzer tippen von links nach rechts und von oben nach unten. Oder einfach hochzählen. „qwerty“-Varianten dominieren. „123456“ steht an oberster Stelle.
Das ist faul. Und es ist tödlich.
Hacker nutzen automatisierte Skripte für Brute-Force-Angriffe. Diese Skripte probieren zuerst die gängigsten Passwörter aus. Sie erraten nicht „Xy7!mP“. Sie erraten „Passwort1“. Sie probieren diese Kombinationen in Sekundenschnelle aus. Wenn Sie ein Tastaturmuster verwenden, übergeben Sie Ihre Tasten an ein Skript. Das Knacken dauert Millisekunden.
Persönliche Daten und gebräuchliche Substantive
Die Liste verrät auch, was Menschen als „einzigartig“ betrachten. Namen wie „ashley“ und „michael“ erscheinen in Kleinbuchstaben. Tiere wie „Affe“, „Drache“ und „Einhorn“ sind immer noch in Rotation. Sportbegriffe wie „Baseball“, „Fußball“ und „Fußball“ runden die schwache Auswahl ab.
Warum machen die Leute das? Wir glauben, dass die Verwendung unseres Geburtstags oder unserer Heimatstadt die Sicherheit erhöht. Das ist nicht der Fall. Betrüger können diese Informationen fälschen. Freunde können es erraten. Familienmitglieder kennen diese Details oft. Die Verwendung identifizierender Informationen macht Sie zu einem leichten Ziel. Es verwandelt Ihre persönliche Geschichte in einen Hacking-Spickzettel.
Wie man aufhört, eine Statistik zu sein
Die Lehre aus den Daten von 2024 ist klar. Hören Sie auf, aufeinanderfolgende Zeichen zu verwenden. Hören Sie auf, Tastaturzeilen zu verwenden. Hören Sie auf, gebräuchliche Wörter nur in Kleinbuchstaben zu verwenden.
Bei sicheren Passwörtern geht es nicht darum, clever zu sein. Es geht darum, zufällig und lang zu sein. Vermeiden Sie jegliche Fäden, die in Ihrem täglichen Leben auftauchen. Vermeiden Sie jedes Muster, das eine Maschine vorhersagen kann. Wenn es in einer Liste gängiger Passwörter erscheint, handelt es sich nicht um ein Passwort. Es ist ein Geständnis.
Ob es in der Top-25-Liste steht, ist kein Geheimnis. Es ist eine öffentliche Aufzeichnung.
Der Komfort von „123456“ kostet Sie alles. Der Aufwand einer komplexen, einzigartigen Saite kostet Sie nur zwei Sekunden. Wählen Sie mit Bedacht. Der Rest der Geschichte dreht sich darum, wie man tatsächlich etwas baut, das hängen bleibt. Aber zunächst muss man zugeben, dass „iloveyou“ keine Sicherheitsstrategie ist. Es ist ein Hilferuf.
Und ganz ehrlich? Sie verdienen etwas Besseres als eine Zahlenfolge, um Ihr Leben zu schützen.
Sie wissen wahrscheinlich bereits, dass „Passwort123“ eine schlechte Idee ist. Aber einfache Komplexität reicht nicht mehr aus. Die wahre Lösung ist der Zufall. Menschen sind schrecklich darin, zufällige Zeichenfolgen zu erzeugen. Wir tendieren zu Mustern. Ein Computer tut das nicht.
Webbrowser wie Chrome können diese hässlichen, unvergesslichen Zeichenfolgen für Sie generieren. Sie können praktisch nicht durch Brute-Force-Methoden gehackt werden. Der Kompromiss ist die Erinnerung. Sie können sich keine Zeichenkette mit vierzig Zeichen merken. Man muss es also aufbewahren.
Die Zwei-Faktoren-Notwendigkeit
Bei allem, was mit Geld oder sensiblen persönlichen Daten zu tun hat, ist die Zwei-Faktor-Authentifizierung (2FA) nicht verhandelbar. Es fügt eine Ebene hinzu, die ein gestohlenes Passwort allein nicht umgehen kann.
Der zweite Faktor erfolgt normalerweise über eine Textnachricht, eine E-Mail oder eine spezielle App. Ein Hacker könnte Ihr Passwort haben. Sie benötigen außerdem Ihr Telefon oder Zugriff auf Ihren E-Mail-Posteingang. Dadurch wird die Angriffsfläche drastisch reduziert.
Ja, die Anmeldung dauert drei Sekunden länger. Das ist ein geringer Preis.
Die Bedrohung durch Credential Stuffing
Die schlimmste Angewohnheit, die Sie haben können, ist die Verwendung eines Passworts für mehrere Konten. Wenn eine Website gehackt wird, gelangt das Passwort ins Dark Web. Angreifer verwenden dann Skripte, um dieselbe E-Mail-Passwort-Kombination auf Hunderten anderer Websites auszuprobieren. Das ist Credential Stuffing.
Für den Angreifer klingt es langweilig. Es funktioniert, weil die Leute faul sind. Wenn Sie für jedes Konto ein eindeutiges Passwort verwenden, hat dieser spezifische Angriffsvektor eine Erfolgsquote von Null.
Nur lokale Passwort-Manager
Wenn Sie einzigartige, komplexe Passwörter benötigen, brauchen Sie einen Manager. Die meisten Browser verfügen über integrierte Browser. Sie sind praktisch. Sie füllen sich automatisch. Sie werden geräteübergreifend synchronisiert.
Aber Bequemlichkeit hat ihren Preis. Wenn Sie Wert auf maximale Sicherheit legen, vermeiden Sie Passwort-Manager, die mit der Cloud synchronisiert werden. Cloud-Speicher ist ein Ziel. Der sicherste Ansatz ist ein rein lokaler Manager. Es speichert Daten auf Ihrer Festplatte. Kein Server. Keine Internetverbindung.
Einige Hardwaregeräte funktionieren wie Tresore in Taschenrechnergröße. Sie halten Ihre Daten offline.
Hier besteht ein kritisches Risiko. Sie benötigen ein Master-Passwort. Wenn Sie es vergessen, sind Ihre Daten verloren. Für immer.
Erwägen Sie, es aufzuschreiben. Nicht auf einem Zettel auf Ihrem Monitor. Auf Papier. Wird in einem physischen Schließfach oder einem Safe aufbewahrt. Irgendwo weg von Ihrem Computer.
Die alten Wurzeln der Verschlüsselung
Das ist nicht neu. Seit Jahrtausenden verbergen Menschen Botschaften.
Das früheste aufgezeichnete Beispiel stammt aus der Zeit um 300 v. Chr. in Indien. Das Arthashastra, ein alter hinduistischer Text, beschreibt detailliert, wie Soldaten und Spione verschlüsselte Nachrichten verwendeten. Das Ziel war immer dasselbe. Vermeiden Sie Entdeckungen. Bewahren Sie die Informationen vor Feinden sicher auf.
Wir machen immer noch das Gleiche. Die Tools sind einfach schneller.
