Manchmal frage ich mich, ob wir als digitale Gesellschaft wirklich vorankommen – oder nur hübschere Icons auf denselben Irrsinn kleben. Nehmen wir Passwörter: Jahrzehnte lang wurde uns eingebläut, wir sollen sie regelmäßig ändern, mindestens ein Sonderzeichen reinquetschen und sie auf keinen Fall auf Zettel schreiben. Und was passiert? Nutzer heißen immer noch „admin“, Passwörter lauten „123456“ oder schlimmer: „Willkommen2023!“. Bravo.
Aber nicht nur Benutzer sind träge – Angreifer sind kreativ. Willkommen in der wunderbaren Welt der Passwort-Angriffe. Ein kleines Best-of der fiesesten Methoden, wie Cyberkriminelle an eure Daten kommen. Und Spoiler: KI ist längst auch dabei.
1. Dictionary Attack – Der gute alte Wörterbuch-Trick
Diese Methode ist so alt wie das Internet selbst – und leider immer noch effektiv. Angreifer probieren einfach eine Liste gängiger Wörter durch, von „password“ bis „letmein“. Das Ganze läuft automatisiert und ist bei schwachen Passwörtern schneller erfolgreich als jeder Azubi beim WLAN-Passwort-Raten im Hotel.
Typisch Opfer:
- Leute, deren Passwörter aus Vornamen, Geburtsdaten oder Lieblingsbands bestehen.
Gegenmittel:
- Längere, zufällige Passwörter (am besten generiert).
- Passwort-Manager nutzen – ja, die kosten was, aber Paranoia ist hier produktiv.
2. Brute Force Attack – Der stumpfe Vorschlaghammer
Hier wird wirklich alles ausprobiert: aaaa, aaab, aaac … bis irgendwas passt. Brutal, aber effektiv – wenn das Passwort kurz genug ist oder das System keine Schutzmaßnahmen hat (Rate-Limiting, Captchas, Sperren).
Problematisch bei:
- IoT-Geräten mit Standardpasswörtern.
- Lokalen ZIP-Archiven, die offline geknackt werden.
Lösungsansatz:
- Nie kurze oder einfache Passwörter.
- Zwei-Faktor-Authentifizierung (2FA). Wenn jemand das Passwort errät – ist er trotzdem draußen.
3. Rainbow Table Attack – Der Regenbogen mit bösem Ende
Klingt hübsch, ist aber technisch perfide: Angreifer nutzen vorgefertigte Tabellen mit Hashwerten (also den verschlüsselten Versionen von Passwörtern) und gleichen diese mit gestohlenen Datenbanken ab.
Typischer Kontext:
- Alte Datenbanken, schlecht gehasht, keine Salts verwendet.
Verteidigung:
- Admins: Nutzt bitte sichere Hashfunktionen (z. B. bcrypt, Argon2).
- Nutzer: Achtet darauf, wo ihr eure Konten anlegt. Billiges Webhosting spart gerne an Sicherheit.
4. Keylogging – Wer tippt, verliert
Hier wird jede Tastatureingabe aufgezeichnet. Einmal falsch geklickt, Malware installiert – und schon liest der Angreifer mit, während ihr eure Steuer-ID eingebt. Besonders beliebt in Internetcafés der 2000er oder bei unsicheren RDP-Verbindungen.
Was tun?
- Antivirus mit Echtzeitschutz.
- Nur auf eigenen, geschützten Geräten einloggen.
- Hardware-2FA ist euer Freund (z. B. YubiKey).
5. Shoulder Surfing – Guck mal, wer da tippt
Altmodisch, aber effektiv. Du sitzt im Zug, loggst dich ein – und jemand guckt dir über die Schulter. Passwörter wie „M@rs2025“ sind zwar sicher, aber wenn man sie sieht, bringt das auch nichts.
Empfohlen:
- Blickschutzfolie.
- Bewusstsein – wer euch im Blick hat, ist manchmal wichtiger als wer euch „likt“.
6. Password Spraying – Breite Streuung statt gezielter Schuss
Angreifer probieren wenige, sehr gängige Passwörter (z. B. „Welcome1“) über eine Vielzahl von Accounts. So vermeiden sie Sperren durch zu viele Fehlversuche auf einem Konto.
Zielgruppe:
- Firmen mit Active Directory und schwacher Policy.
- Legacy-Systeme.
Tipp:
- Durchsetzen: komplexe Passwortvorgaben, Lockout nach Fehlversuchen.
- Awareness-Trainings mit echten Phishing-Simulationen.
7. Social Engineering – Menschliches Betriebssystem kompromittieren
Warum sich abmühen, wenn man einfach nett fragt? Angreifer nutzen Psychologie statt Technik, geben sich als Admin, Chef oder IT-Support aus – und bitten freundlich um das Passwort. Ja, das funktioniert.
Lieblingsziel:
- Überlastete Mitarbeitende im Stress.
- Gutgläubige Kollegen.
Gegenmittel:
- Schulungen, Schulungen, Schulungen.
- Prozesse, die solche Anfragen niemals erlauben.
8. Phishing – Der Klassiker der digitalen Täuschung
Eine E-Mail vom „IT-Support“, ein gefälschter Login-Screen, ein Klick zu viel – schon ist das Passwort weg. Phishing ist nicht neu, aber immer noch ein riesiges Problem, vor allem in Kombination mit Social Engineering.
Neueste Masche:
- KI-generierte Stimmen, Deepfakes, perfekt designte Fake-Websites.
Was tun?
- Links prüfen (URL!).
- Niemals auf Passwort-Eingaben in E-Mails reagieren.
- 2FA rettet auch hier Leben – na ja, fast.
9. Credential Stuffing – Recycelte Passwörter, neu serviert
Einfach genial – und darum so gefährlich: Hacker nutzen geleakte Zugangsdaten von einem Dienst und probieren diese bei anderen aus. Wenn du bei MyFitnessCatApp dasselbe Passwort nutzt wie bei Outlook – tja, dann gute Nacht.
Vermeidung:
- Jedes Passwort nur einmal – Punkt.
- Datenleak-Check nutzen (z. B. „haveibeenpwned.com“).
10. Man-in-the-Middle Attack – Der Lauscher an der Datenleitung
Ein Angreifer klinkt sich in die Kommunikation zwischen dir und dem Server ein – und kann Passwörter mitlesen, wenn die Verbindung nicht verschlüsselt ist.
Typisches Szenario:
- Öffentliches WLAN ohne HTTPS.
- Gefälschte Hotspots („Free_Airport_WiFi“ – klingt nett, ist tödlich).
Abhilfe:
- VPN verwenden.
- Nur verschlüsselte Verbindungen (https) nutzen.
Fazit: Kein Passwort ist sicher – aber euer Verhalten kann es sein
Technik ist wichtig. Aber Verhalten schlägt Technik fast immer. Die meisten Angriffe funktionieren nicht, weil Hacker Genies sind – sondern weil Nutzer naiv sind, müde, ungeschult oder schlicht faul.
Das größte Sicherheitsrisiko in jeder Organisation sitzt zwischen Tastatur und Stuhl. Dagegen hilft kein Update – nur Schulung, Awareness und klare Prozesse.
Wer heute noch glaubt, Passwörter seien Privatsache oder „nicht so wichtig“, der hat nicht verstanden, dass Identität die neue Währung ist. Wenn euch jemand euer Passwort klaut, kann er euch beruflich ruinieren, finanziell plündern oder euch zum Teil einer Botnet-Armee machen, die dann – Ironie des Schicksals – andere attackiert.
Mein Rat für CTOs, CISOs und Entscheider:
- Passwortmanager einführen – zentral verwaltet, einfach zu nutzen.
- 2FA überall verpflichtend machen – selbst wenn es nervt.
- Regelmäßige Phishing-Simulationen – Überraschung inklusive.
- Monitoring für Login-Versuche und Anomalien – mit KI-gestützter Analyse.
- Schulung, Schulung, Schulung – und zwar realitätsnah, nicht PowerPoint-Folter.
Cybersecurity beginnt nicht im Rechenzentrum, sondern im Kopf. Und ja, auch mit einem Zettel unter der Tastatur – denn genau da lesen Angreifer zuerst nach.
Euer Simon
#CyberSecurity, #PasswordHygiene, #CTO, #Awareness, #Phishing, #Hacker, #2FA, #ITSecurity, #SocialEngineering, #DigitalIdentity
