Sicherheit

Sony-Hack deckt schwache Passwörter auf

Rund die Hälfte der Nutzer von Sonypictures.com benutzt zu kurze Passwörter. Neun von zehn Nutzern verwenden gar dasselbe Passwort für mehrere Dienste. Das hat der Softwarespezialist Troy Hunt durch Analyse einer Stichprobe herausgefunden.

Passwörter bilden im Internet die erste Verteidigungslinie gehen den Missbrauch von Daten. Doch diese Verteidigungslinie ist äußerst schwach. Immer wieder zeigt sich, dass Passwörter zu kurz und zu leicht zu erraten sind, zu oft wiederverwendet und zu selten gewechselt werden. Eine Analyse von Passwörtern, die die Hackergruppe Lulzsec beim erfolgreichen Angriff auf die Website Sonypictures.com erbeutet hat, belegt das erneut.

Der Softwarespezialist Troy Hunt hat einen Teil der Passwortdaten analysiert, die von Lulzsec via Torrent im Internet veröffentlicht wurden. In einem aktuellen Blogeintrag berichtet Hunt über seine Erkenntnisse. Demnach waren 50 Prozent der Passwörter kürzer als acht Zeichen, was Sicherheitsexperten als Mindestlänge für ein Passwort empfehlen. Rund die Hälfte der Passwörter bestand lediglich aus Zeichen einer Sorte - Kleinbuchstaben, Großbuchstaben oder Zahlen. Nur ein Prozent der Passwörter enthielt Sonderzeichen.

Die 25 häufigsten Passwörter darunter sind: "seinfeld, password, winner, 123456, purple, sweeps, contest, princess, maggie, 9452, peanut, shadow, ginger, michael, buster, sunshine, tigger, cookie, george, summer, taylor, bosco, abc123, ashley, bailey".

Im Internet frei verfügbare Programme zum Erraten von Passwörtern arbeiten mit umfangreichen Wörterbüchern. Hunt wollte nun wissen, wie leicht sich die Passwörter der Nutzer von Sonypictures.com unter Verwendung solcher Wörterbücher bestimmen lassen. Für den Test zog er ein Wörterbuch mit 1,7 Millionen Wörtern heran. Das Ergebnis: Gut ein Drittel der Passwörter ließ sich problemlos durch den Abgleich mit dem Wörterbuch herausfinden.

Schließlich machte Hunt noch einen Vergleich mit Nutzerdaten und Passwörtern, die in Folge des Gawker-Hacks Mitte Dezember 2010 bekanntgeworden waren. Dabei zeigte sich, dass "zwei Drittel der Nutzer mit Konten sowohl bei Sony als auch bei Gawker ihre Passwörter wiederverwendet haben".

Offensichtlich scheuen viele Nutzer den Aufwand, sich für jedes Konto bei einem Diensteanbieter ein neues, komplexes Passwort zu merken. Stattdessen bevorzugen sie leicht zu merkende Passwörter, die sie immer wieder verwenden. Damit wächst jedoch die Gefahr, dass der erfolgreiche Einbruch in ein System eine ganze Kaskade erfolgreicher Angriffe auf Nutzerkonten in anderen Systemen nach sich zieht.

Programme zur Passwortverwaltung wie Keepass Password Safe (Open Source) oder 1Password (kostenpflichtig) können das Problem lindern, indem sie bei der Verwaltung unterschiedlicher, komplexer Passwörter helfen.