Die Illusion der Geheimnislosigkeit: Wie Passwörter gestohlen werden und was wir wirklich dagegen tun können

Autor: DerSchneider

Es ist ein beinahe ironisches Schauspiel. Wir schützen unser digitales Leben mit einem Artefakt, das so alt ist wie die Menschheit selbst: dem Geheimnis. Ein Passwort, ein Schlüssel, ein Wort, das nur wir kennen. Doch in der vernetzten Welt ist dieses Geheimnis eine Illusion geworden. Passwörter sind nicht nur eine Eintrittskarte; sie sind zur wertvollsten Handelsware im Schattenreich des Internets geworden. Die Methoden, ihrer habhaft zu werden, sind so vielfältig wie die Geschichten, die sie erzählen – und sie sind längst nicht mehr auf den einsamen Hacker im dunklen Keller reduzierbar, sondern folgen hochprofessionellen, industriellen Mustern . Wer glaubt, sein Passwort sei sicher, weil es komplex sei, hat das Wesen der Bedrohung nicht verstanden.

Die Anatomie des digitalen Diebstahls: Fünf Wege, Ihr Geheimnis zu verlieren

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) weist darauf hin, dass Methoden wie Phishing, bei denen Nutzer auf gefälschten Webseiten ihre Zugangsdaten preisgeben, an der Tagesordnung sind . Doch dies ist nur eine von vielen Angriffsformen. Man kann sie in fünf Hauptkategorien unterteilen, die von der primitiven Raterei bis zur ausgeklügelten Verwertung gestohlener Daten reichen.

1. Das Erraten (Password Guessing): Die Kunst der Wahrscheinlichkeit

Der simpelste Angriff ist oft der erfolgreichste. Hier versucht der Angreifer nicht, eine Sicherheitslücke zu finden, sondern eine menschliche Schwäche. Geburtstage, Namen von Kindern, Haustieren oder Fußballvereinen – all das sind keine Geheimnisse, sondern öffentlich zugängliche Informationen, die zur ersten Wahl für Passwörter werden.

Moderne Systeme haben jedoch Schutzmechanismen wie sogenanntes Rate Limiting integriert. Das bedeutet, nach einer bestimmten Anzahl von Fehlversuchen wird der Zugang temporär gesperrt. Diese technische Hürde macht das reine, ungebremste Ausprobieren – den sogenannten Brute-Force-Angriff – bei Online-Diensten praktisch unpraktikabel . Die wahre Gefahr liegt jedoch nicht im Erraten eines einzelnen Passworts, sondern in dessen Wiederverwendung und der damit verbundenen Hebelwirkung für andere Angriffsformen.

2. Die Ernte (Credential Harvesting): Ein direkter Zugriff auf die Quelle

Beim Credential Harvesting wird der Passwortinhaber selbst zur Schwachstelle. Hier wird das Geheimnis nicht erraten, sondern aktiv vom Nutzer abgefischt oder von seiner Umgebung abgesaugt.

• Phishing: Die bekannteste Methode. Eine E-Mail, die täuschend echt aussieht und von einer Bank oder einem bekannten Dienst zu stammen scheint, lockt den Nutzer auf eine gefälschte Webseite. Wer hier seine Zugangsdaten eingibt, übergibt sie direkt an die Angreifer . Das BSI warnt davor, dass solche E-Mails häufig professionell gestaltet sind und ein Gefühl der Dringlichkeit erzeugen, um das kritische Denken des Opfers auszuschalten .
• Malware & Keylogger: Diese Programme infiltrieren den Computer des Opfers, oft getarnt als vermeintlich nützliche Software. Ein Keylogger zeichnet jeden Tastendruck auf, während ein Information Stealer gezielt nach gespeicherten Zugangsdaten, Kryptowährungs-Wallets oder anderen sensiblen Dateien sucht . Diese Art von Malware ist besonders perfide, da sie auch dann funktioniert, wenn der Nutzer ein komplexes Passwort eintippt – es wird schlicht mitgelesen.

3. Das Knacken (Password Cracking): Der Angriff auf die Datenbank

Im Gegensatz zu den bisherigen Methoden zielt das Cracking nicht auf den Nutzer, sondern auf die dahinterliegende Infrastruktur. Wenn ein Unternehmen gehackt wird, erbeuten Angreifer oft nicht die Passwörter im Klartext, sondern deren Hashes.

Ein Hash ist wie ein digitaler Fingerabdruck, der durch eine mathematische Funktion aus dem Passwort erzeugt wird. Die Systeme speichern nur diesen Fingerabdruck. Beim Login wird der eingegebene Text erneut gehasht und mit dem gespeicherten Wert verglichen . Dies ist an sich eine sichere Methode, denn aus einem Hash lässt sich das ursprüngliche Passwort nicht einfach zurückrechnen.

Das Problem entsteht, wenn die Datenbank mit den Hashes in falsche Hände gerät. Die Angreifer können dann offline, also ohne die Einschränkungen des Live-Systems, Hashes knacken. Sie nehmen Listen mit häufig verwendeten Passwörtern (wie „123456“ oder „passwort“), hashen sie und vergleichen die Ergebnisse mit den gestohlenen Hashes . Hier wird der Wert eines langen, zufälligen und damit schwer zu erratenden Passworts deutlich: Es vergrößert den Suchraum für solche Berechnungen immens. Moderne Systeme setzen zudem auf Salting – das Hinzufügen eines zufälligen Strings zum Passwort vor dem Hashen –, was Angreifer zusätzlich ausbremst, da ein vorberechneter Hash („Rainbow Table“) dann ungültig wird .

4. Das Besprühen (Password Spraying): Die Kunst der breiten Streuung

Dieser Angriff kehrt die Logik des Brute-Forcing um. Statt viele Passwörter gegen ein einziges Konto zu testen, wird ein einziges, sehr häufiges Passwort wie „Sommer2026!“ gegen viele verschiedene Konten getestet . Die Microsoft Digital Defense Reports zeigen, dass eine überwältigende Mehrheit der Identity-Angriffe (Schätzungen zufolge ca. 97 %) genau dieser Kategorie zuzuordnen ist .

Die Tücke liegt in der Umgehung der Sicherheitsmechanismen. Da jeder Account nur einen oder zwei Fehlversuche erhält, werden die Rate-Limits nicht ausgelöst. Der Angriff bleibt unter dem Radar und nutzt die menschliche Schwäche, überall dasselbe, einfache Passwort zu verwenden . Die Verteidigung dagegen erfordert eine systemische Perspektive: Unternehmen müssen fehlgeschlagene Anmeldeversuche über alle Accounts hinweg analysieren, anstatt nur einzelne Konten isoliert zu betrachten.

5. Das Stopfen (Credential Stuffing): Die Wiederverwertung alter Daten

Dies ist die industrielle Verwertung von Datenlecks. Wenn bei einem Dienst Nutzerdaten gestohlen werden, landen die Kombinationen aus E-Mail-Adresse und Passwort auf dem Schwarzmarkt. Beim Credential Stuffing nehmen Angreifer diese Listen und probieren sie bei anderen, oft hochwertigeren Diensten wie Online-Banking, E-Mail-Konten oder sozialen Netzwerken aus . Viele Menschen nutzen für verschiedene Dienste dasselbe Passwort. Ein einziger Datenleck bei einem kleinen, unscheinbaren Forum wird so zur Eintrittskarte für das gesamte digitale Leben einer Person. Standard-Passwortrichtlinien helfen gegen diese Art von Angriff kaum, da sie die Wiederholung von Passwörtern nicht verhindern können . Es ist kein Knacken eines neuen Passworts nötig – es wird lediglich ein altes, funktionierendes an einer neuen Tür ausprobiert.

Die Renaissance der Verteidigung: Ein Dreiklang für die Sicherheit

Die traditionelle Lehre, man müsse lediglich ein langes und komplexes Passwort wählen, ist überholt. Die Angriffe zielen auf die menschliche Natur und systemische Schwachstellen ab. Eine moderne Verteidigungsstrategie muss daher auf drei Säulen ruhen.

1. Einzigartigkeit und Generierung: Der Passwort-Manager als unverzichtbares Werkzeug

Die logische Konsequenz aus dem Credential Stuffing ist die unbedingte Notwendigkeit, für jeden Dienst ein eigenes, einzigartiges Passwort zu verwenden. Für den menschlichen Geist ist dies jedoch eine unüberwindbare Hürde. Hier kommen Passwort-Manager ins Spiel. Sie generieren zufällige, extrem lange und komplexe Zeichenketten und speichern sie in einem verschlüsselten Safe . Der Nutzer muss sich nur noch ein einziges, sehr starkes Master-Passwort merken. Tools wie der Open-Source-Klassiker KeePass oder kommerzielle Lösungen wie 1Password bieten diese Funktionalität und entlasten das menschliche Gedächtnis – eine essenzielle Voraussetzung für moderne Cyberhygiene .

2. Die zweite Mauer: Multi-Faktor-Authentifizierung (MFA)

Selbst das stärkste Passwort kann abgefischt oder durch Malware abgegriffen werden. Die Multi-Faktor-Authentifizierung (MFA) fügt eine zweite Verteidigungslinie hinzu. Sie basiert auf dem Prinzip, dass ein Nutzer nicht nur etwas weiß (das Passwort), sondern auch etwas besitzt (z.B. ein Smartphone mit einer Authenticator-App) oder etwas ist (z.B. ein Fingerabdruck) . Selbst wenn ein Angreifer das Passwort erbeutet hat, ist der Zugang ohne den zweiten Faktor versperrt.

Die NSA und andere Sicherheitsbehörden stufen MFA als eine der effektivsten Maßnahmen ein, um das Risiko von Kontoübernahmen drastisch zu reduzieren . Es ist die einfachste und wirkungsvollste Einzelmaßnahme, die jeder Nutzer ergreifen kann. Unternehmen, die MFA nicht für ihre Mitarbeiter und Kunden anbieten oder gar erzwingen, handeln grob fahrlässig.

3. Die Zukunft der Authentifizierung: Passkeys

Die Passwort-Ära neigt sich dem Ende zu. Passkeys, basierend auf dem FIDO2-Standard, stellen eine kryptografische Abkehr vom Passwort dar . Statt eines geteilten Geheimnisses (dem Passwort) wird ein Schlüsselpaar verwendet: Ein öffentlicher Schlüssel, der beim Dienst gespeichert wird, und ein privater Schlüssel, der sicher auf dem Gerät des Nutzers verbleibt. Die Authentifizierung erfolgt durch die Entsperrung des privaten Schlüssels mittels biometrischer Daten (Fingerabdruck, Gesichtserkennung) oder einer PIN .

Da der private Schlüssel niemals das Gerät verlässt und die Authentifizierung an die spezifische Domain (z.B. example.com) gebunden ist, sind Passkeys von Natur aus resistent gegen Phishing und Credential Stuffing . Selbst wenn ein Nutzer auf eine gefälschte Webseite gelockt wird, kann der Passkey dort nicht verwendet werden, da die kryptografische Domainprüfung fehlschlägt. Microsoft, Google, Apple und andere große Player haben die Integration von Passkeys bereits vorangetrieben, was den Weg für eine passwortlose Zukunft ebnet .

Fazit und Ausblick: Die unangenehme Wahrheit

Die fünf Methoden des Passwortdiebstahls zeigen ein ernüchterndes Bild. Die Sicherheit eines Accounts hängt nur selten von der Komplexität des Passworts ab, sondern vielmehr von der Disziplin des Nutzers, der Architektur des Systems und der Implementierung moderner Schutzmechanismen. Das schwächste Glied in der Kette ist und bleibt der Mensch – nicht aus Dummheit, sondern aus Gewohnheit und Bequemlichkeit. Wir sind evolutionär nicht darauf ausgelegt, hunderte komplexe, zufällige Zeichenfolgen zu verwalten.

Die Lösung liegt daher nicht in noch strengeren Passwortregeln, sondern in der Ablösung des Passworts als primärem Authentifizierungsfaktor. Die Entwicklung geht hin zu einem System, das Sicherheit nahtlos in den Hintergrund verlagert. Passkeys und biometrische Verfahren sind die Vorreiter dieser Bewegung. Sie versprechen eine Welt, in der das digitale Geheimnis nicht mehr eine lästige Pflicht, sondern ein unsichtbarer, sicherer Begleiter ist.

Bis diese Zukunft allgegenwärtig ist, bleibt uns nichts anderes übrig, als die Lücke zwischen dem, was sein sollte, und dem, was ist, zu schließen. Das bedeutet: die konsequente Nutzung von Passwort-Managern, die Aktivierung von MFA überall dort, wo es möglich ist, und ein Bewusstsein für die raffinierte Einfachheit der Angriffsmethoden, die darauf abzielen, nicht die Technologie, sondern den Menschen zu überwinden. Die Illusion der Geheimnislosigkeit muss einer pragmatischen, mehrschichtigen Verteidigungsstrategie weichen.

Quellen:

1. SANS Institute. (2024). Unveiling the Shadows: How Cyber Criminals Steal Your Passwords. https://www.sans.org/newsletters/ouch/unveiling-shadows-how-cyber-criminals-steal-your-passwords
2. MITRE ATT&CK. (2025). ATT&CK Changes Between v17.1 and v18.0. https://attack.mitre.org/docs/changelogs/v17.1-v18.0/changelog-detailed.html
3. Netwrix. (2026). Password-Spraying-Angriffe: Wie sie funktionieren und wie man sie stoppt. https://netwrix.com/de/resources/blog/password-spraying-attacks-log-in/
4. Stripe. (2026). Credential Stuffing: So verhindern Sie Angriffe. https://stripe.com/de-li/resources/more/credential-stuffing
5. Oracle Help Center. (2025). Enable Multifactor Authentication. https://docs.oracle.com/en/cloud/saas/applications-common/25d/facsa/enable-multifactor-authentication.html
6. Microsoft Edge Blog. (2025). Microsoft Edge introduces passkey saving and syncing with Microsoft Password Manager. https://blogs.windows.com/msedgedev/2025/11/03/microsoft-edge-introduces-passkey-Saving-and-syncing-with-microsoft-password-manager/
7. COMPUTER BILD. (2025). Die besten kostenlosen Passwort-Manager. https://www.computerbild.de/artikel/Tipps-Software-Die-besten-kostenlosen-Passwort-Manager-2209036.html
8. National Security Agency (NSA). (2026). NSA Highlights Cyber Hygiene Best Practices Effective Against AI-Enhanced Targeting. https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4590054/nsa-highlights-cyber-hygiene-best-practices-effective-against-ai-enhanced-targe/
9. Proton. (2025). Authentication vs authorization: What’s the difference?. https://proton.me/business/blog/authentication-vs-authorization
10. Bundesamt für Sicherheit in der Informationstechnik (BSI). (2025). Phishing – how much is the phish!?. https://www.bsi.bund.de/DE/Themen/Verbraucherinnen-und-Verbraucher/Cyber-Sicherheitslage/Methoden-der-Cyber-Kriminalitaet/Spam-Phishing-Co/Passwortdiebstahl-durch-Phishing/passwortdiebstahl-durch-phishing.html
11. Ubuntu Documentation. (2026). Password hashing. https://documentation.ubuntu.com/security/security-features/cryptography/password-hashing/