Fast 10 Milliarden Passwörter: Gigantischer Passwort-Leak wirft Fragen auf
Derzeit tauchen vermehrt Medienberichte über eine riesige Passwortliste namens Rockyou2024 mit fast zehn Milliarden Einträgen auf, die von einem Bedrohungsakteur namens Obamacare in einem Hackerforum veröffentlicht wurde. Angeblich handelt es sich um die größte bisher bekannte Zusammenstellung kompromittierter Anmeldedaten. Die Inhalte der fast 50 GByte großen Datei lassen jedoch Zweifel daran aufkommen, dass darin wirklich nur echte Passwörter vertreten sind.
Laut Obamacare handelt es sich bei Rockyou2024 um eine aktualisierte Version der Rockyou2021-Liste, die angeblich schon damals 8,4 Milliarden Passwörter enthielt(öffnet im neuen Fenster). Quelle der Daten seien in verschiedenen Foren geleakte Datenbanken der vergangenen Jahre. Enthalten seien "neue echte Passwörter von Nutzern" sowie auch einige ältere Passwörter, die Obamacare mit seiner "neuen 4090" geknackt habe.
In der ersten und schlicht Rockyou genannten Version dieser Passwortliste standen laut Daily Dark Web(öffnet im neuen Fenster) nur etwa 32 Millionen Passwörter. Sie erschien im Jahr 2009 nach einer Datenpanne bei Rockyou, einem Unternehmen, das damals Apps für verschiedene soziale Netzwerke entwickelte.
Viele nicht geknackte und extrem lange Passwörter
Das erhebliche Sicherheitsrisiko, vor dem einige Medien warnen, scheint von Rockyou2024 allerdings nicht auszugehen. So hat sich etwa der dänische Sicherheitsforscher Lars Karlslund, der auch selber einen Dienst namens ntlm.pw(öffnet im neuen Fenster) zur Ermittlung bekannter Passwörter aus zugehörigen Hashes betreibt, die Passwortliste genauer angesehen und auf Linkedin(öffnet im neuen Fenster) ein paar Eckdaten zu seiner Analyse geteilt.
Dabei kam er zu dem Ergebnis, dass 1,5 Milliarden Einträge reine Hexadezimalwerte seien, bei denen es sich mit hoher Wahrscheinlichkeit um nicht geknackte Hashes handle. "Das sind 15 Prozent, die wir einfach streichen können", erklärt Karlslund. Es sei zwar durchaus möglich, dass einige Nutzer derartige Passwörter wählten, ein Anteil von 15 Prozent sei aber unwahrscheinlich.
Darüber hinaus enthalte Rockyou2024 mehr als eine Milliarde Zeilen mit einer Länge von mindestens 32 Zeichen. Auch hier sei der Anteil von zehn Prozent an derart langen Passwörtern unrealistisch.
Zwei Milliarden zusätzliche Passwörter ändern nicht viel
Ferner würden weitere zwei Milliarden Passwörter in einem bereits bestehenden "Ozean von acht Milliarden Passwörtern" in der Regel keinen großen Unterschied machen, so Karlslund. Gegen Onlinedienste ließen sich derart umfangreiche Listen aufgrund gängiger Schutzmaßnahmen wie IP-Sperren ohnehin nicht ausnutzen. Dies sei höchstens in einem reinen Offlineszenario möglich.
"Sorry, hier gibt es nichts zu sehen. Das ist einfach nur minderwertiger Müll – sowohl die 'geleakte' Datei als auch die Berichterstattung darüber", so Karlslunds Fazit.
Und auch der Sicherheitsforscher Daniel Card sieht Rockyou2024 kritisch. In einem auf X geteilten Screenshot(öffnet im neuen Fenster) gewährt er einen Einblick in die Datei. Zu sehen sind einige Zeilen, bei denen äußerst fraglich ist, ob es sich tatsächlich um Passwörter handelt. "Selbst wenn zwei Milliarden weitere Passwörter enthalten wären, würde das die Fähigkeiten der Angreifer verändern? Nein", betont Card und verweist auf bereits bestehende Wörterlisten und Tools wie Hashcat, deren sich Cyberkriminelle in der Regel bedienen.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.