Zusammenfassung zeigen Zusammenfassung verbergen
Viele Nutzerinnen und Nutzer setzen weiterhin auf leicht zu erratende Passwörter – eine aktuelle Analyse des Hasso‑Plattner‑Instituts (HPI) zu geleakten Daten zeigt, wie verbreitet einfache Zahlenfolgen und alltägliche Wörter noch immer sind. Das hat unmittelbare Folgen: Wer schwache oder mehrfach verwendete Zugangsdaten nutzt, erhöht das Risiko, dass Konten binnen Minuten übernommen werden.
Laut HPI fielen in den ausgewerteten, im Darknet gefundenen Datensätzen vor allem Zahlencodes und banale Kombinationen auf. An der Spitze stehen unter anderem Sequenzen wie „123456“ und „123456789“, gefolgt von repetitiven Mustern und einfachen Wort‑Zahlen‑Kombinationen. Solche Passwörter sind für Angreifer leicht zu knacken und dienen als Einfallstor für weitergehende Angriffe.
Warum das jetzt zählt
Tomb Raider-Remaster spaltet Fans: KI-gestaltete Outfits ziehen Ärger auf sich
AliExpress Jubiläumsaktion: jetzt Gutscheine nutzen und bis zu 100 € sparen
Die Veröffentlichung entstand zum Europäischen Datenschutztag (28. Januar) und macht klar: das Problem ist aktuell und betrifft jeden, der Online‑Dienste nutzt. Cyberkriminelle probieren erbeutete Zugangsdaten systematisch bei anderen Plattformen aus („Credential Stuffing“), weshalb ein Einbruch bei einem Anbieter schnell zu mehreren kompromittierten Accounts führen kann.
Kurz gesagt: Ein einmal geleaktes Passwort ist nicht nur für das betroffene Konto gefährlich — es gefährdet auch alle Dienste, bei denen dieselben oder ähnliche Zugangsdaten verwendet werden.
Konkrete Schutzmaßnahmen
- Für jeden Dienst ein eigenes, zufällig generiertes Passwort verwenden — keine Wiederverwendung gleicher oder leicht abgewandelter Passwörter.
- Passwörter sollten lang und komplex sein: idealerweise mindestens 15 Zeichen und eine Mischung aus Groß‑/Kleinbuchstaben, Zahlen und Sonderzeichen; keine geläufigen Wörter oder Namen.
- Passwortmanager einsetzen: Sie erzeugen, speichern und füllen sichere Zugangsdaten automatisch aus.
- Bei verdächtigen Sicherheitsvorfällen oder nach Bekanntwerden eines Leaks das betroffene Passwort sofort ändern.
- Zwei‑Faktor‑Authentifizierung (2FA) aktivieren, wo immer möglich — ein zweiter Verifizierungsschritt stoppt viele Übernahmeversuche, selbst wenn das Passwort bekannt ist.
Diese Empfehlungen entsprechen den Hinweisen des HPI und des Bundesamts für Sicherheit in der Informationstechnik (BSI) und lassen sich heute schnell umsetzen.
Sind meine Zugangsdaten im Netz?
Das HPI betreibt unter anderem den Identity Leak Checker, eine Datenbank mit Milliarden geleakter Einträge. Nutzerinnen und Nutzer können dort kostenlos prüfen, ob zu ihrer E‑Mail-Adresse gestohlene Zugangsdaten veröffentlicht wurden. Solche Überprüfungen sind ein wichtiger erster Schritt, um nach einem Leak gezielt Passwörter zu ändern und Zugänge zu sichern.
Passkeys: die passwortlose Alternative
Als dauerhafte Alternative zu Passwort + 2FA empfiehlt das BSI zunehmend Passkeys. Dabei handelt es sich um kryptographisch erzeugte Anmeldeinformationen, die nicht erraten oder einfach gestohlen werden können.
Technisch basiert das System auf einem privaten Schlüssel, der beim Nutzer liegt, und einem öffentlichen Schlüssel beim Dienst. Zur Anmeldung reicht eine lokale Bestätigung per Fingerabdruck, Gesichtserkennung oder PIN; ein manuelles Passwort entfällt.
| Kriterium | Passwort | Passkey |
|---|---|---|
| Sicherheit | Abhängig von Länge/Komplexität; anfällig für Phishing und Brute‑Force | Höher: kryptografisch, resistent gegen viele typische Angriffe |
| Benutzerfreundlichkeit | Erfordert Merken oder Manager | Einfach: Anmeldung per Biometrie oder PIN |
| Speicherort | Im Kopf, Notizen oder Passwortmanager | Auf Gerät (OS), USB‑Security‑Key oder kompatiblem Passwortmanager |
| Wann ändern? | Nach einem Leak oder Verdacht | Generell nicht nötig; bei Geräteverlust neu einrichten |
Mythos: Passwortwechsel aus Gewohnheit
Längst nicht mehr zeitgemäß ist die pauschale Aufforderung, Passwörter in festen Intervallen zu wechseln. Das BSI warnt, dass regelmäßige, anlasslose Änderungen oft dazu führen, dass Anwender schwächere oder systematisch abgewandelte Passwörter wählen — ein negativer Nebeneffekt, der die Sicherheit eher vermindert.
Stattdessen gilt: Ein starkes, einmal erstelltes Passwort, das nur für einen einzigen Dienst verwendet wird, muss nicht regelmäßig routinemäßig ersetzt werden. Ein Wechsel ist sinnvoll, wenn ein konkreter Anlass vorliegt — etwa ein bestätigter Datenvorfall.
Was Sie jetzt tun sollten
Kleine Schritte mit großer Wirkung:
- Überprüfen Sie Ihre E‑Mail‑Adressen im Identity Leak Checker oder vergleichbaren Diensten.
- Aktivieren Sie 2FA überall, wo möglich.
- Nutzen Sie einen Passwortmanager und generieren Sie für jeden Account ein einmaliges Passwort oder steigen Sie auf Passkeys um, wenn der Dienst das anbietet.
Die technische Umsetzung dauert oft nur Minuten — die Wirkung fürs eigene Sicherheitsniveau ist jedoch langfristig erheblich.
