Seit der flächendeckenden Einführung von zusätzlichen Sicherheitsmaßnahmen wie Zwei-Faktor-Authentifizierung sind geleakte Passwörter zwar nicht mehr ganz zu dramatisch wie früher, dennoch stellen publik gewordene Name- und Kennword-Kombinationen ein ernsthaftes Sicherheitsrisiko dar. Viele Nutzer verwenden die identische Variante für viele Dienste, was effizientere Brute-Force-Angriffe möglich macht.

Nun ist die wahrscheinlich größte Sammlung geknackter Passwörter aller Zeiten in einem Hackerforum veröffentlicht worden. Unter dem Namen "RockYou2024" erhält man 9,9 Milliarden Klartext-Passwörter – zwar ohne den entsprechenden Account, doch als Munition für groß angelegte Attacken ausreichend.


Alte Daten und 1,5 Milliarden neue Einträge
Die RockYou-Liste ist ein alter Bekannter im Bereich der Cybersicherheit und macht bereits seit einigen Jahren mit derlei Aufstellungen von sich reden. Bei RockYou2024 handelt es sich daher auch nicht um ganz neue Daten, sondern um die schon früher kursierenden Leaks, ergänzt um rund 1,5 MIlliarden neuer Einträge aus Leaks zwischen 2021 und 2024. Letztere sind das eigentlich Interessante, da noch recht frischer Natur. Insgesamt sollen schon mehr als 4000 geknackte Datenbanken Futter bieten.


Obwohl viele Zugangsdaten inzwischen veraltet sind, kommt Hackern eine weitere Eigenart unbedarfter Anwender zugute: Sie trennen sich nicht gerne von bewährten Log-ins. Die beiden Faktoren "überall dasselbe Passwort" und "dieses jahrelang nicht ändern" sind für Angreifer eine sehr vorteilhafte Kombi, für Nutzer nicht.

Datenbank: Bin ich von Leaks betroffen?
Cybernews pflegt ein Online-Tool, welches nach Eingabe der Mail-Adresse oder Telefonnummer direkt ausspuckt, ob man Opfer eines Cyberangriffs wurde. In Kürze sollen alle neuen Einträge aus RockYou2024 mit in die Ergebnisse einfließen, das Team arbeitet derzeit am Import der Daten.

macOS- und iOS-Systemtools: Passwörter aus Leaks
Unter macOS und iOS haben viele sicherlich ebenfalls schon einmal die Warnung vor geleakten Passwörtern gesehen. Eine Übersicht gibt es in den Systemeinstellungen unter "Passwörter", dort stehen die "Sicherheitsempfehlungen" – eine oft ziemlich lange Liste an Passwörtern, welche in namhaften Datenbanken kursieren. Auch wenn die dort aufgeführten Accounts oft nicht geleakt sind, sondern nur das verwendete Kennwort vielfach Verwendung findet, ist dennoch Vorsicht geboten: Natürlich werden derlei Einträge bei Angriffen mit Priorität durchprobiert.

Die üblichen Tipps, sich zu schützen
Eigentlich sollten sich die einfachen, dennoch wirkungsvollen Tipps für mehr Passwort-Sicherheit längst herumgesprochen haben, die Realität sieht jedoch weiterhin oft anders aus. Folgenden Empfehlungen können nicht oft genug wiederholt werden:

• Regelmäßig Kennwörter ändern, nicht erst als Reaktion auf Leaks
• Keine einfach zu erratenden Standardpasswörter verwenden ("12345", Name der Katze, gebräuchliche Begriffe)
• Passwortmanager einsetzen, die komplexe Passwörter zufällig erzeugen
• Mehr-Faktor-Authentifizierung aktivieren – oder ganz auf Alternativen wie "Passkeys" setzen