Auch wenn sich Ransomware in den Fachmedien etabliert hat, der Diebstahl von Zugangsdaten im Web bleibt so problematisch wie eh und je. Jedes Mal, wenn das passiert, muss der Nutzer zu den wichtigsten Diensten rennen und die Passwörter ändern, aber eine latente Frage ist, ob sie wirklich durchgesickert sind. Das hervorragende Portal Have I Been Pwned hat gerade eine Datenbank mit mehr als 300 Millionen kompromittierte Passwörter integriert. Wenn eines deiner Passwörter in Kopien bösartiger Listen gelandet ist, hilft dir das dabei, es herauszufinden.
Die Beziehung zwischen Nutzern und Passwörtern hat sich in keiner Hinsicht verbessert. Die wichtigsten Geräte und Betriebssysteme des Marktes bieten Alternativen wie Fingerabdruck und Gesichtserkennung, aber der Rest des Webs ist weiterhin auf die Kombination „Benutzername-Passwort“ angewiesen. Wenn wir dazu den deutlichen Anstieg von Cyberangriffen und das Ausmaß der Datenlecks hinzunehmen, ist die Lage ziemlich besorgniserregend. Die Empfehlung, lokale Verwaltungstools wie KeePass zu verwenden, bleibt aus zwei Gründen bestehen: Der Nutzer ist nicht gezwungen, sich Passwörter zu merken, und die Wiederverwendung wird vermieden.
Alle verstehen, dass das Wiederverwenden von Passwörtern bequem ist, aber aus Sicherheitssicht ist es eine sehr schlechte Idee, und wenn sie offengelegt werden, wirkt sich das auf mehrere Dienste auf einmal aus. Das Portal Have I Been Pwned schlägt vor, zu überprüfen, ob eines unserer Passwörter bereits im Web kursiert. Sein Verantwortlicher Troy Hunt hat uns immer erlaubt, nach Benutzernamen und E-Mail-Adressen zu suchen, ohne auf Passwörter zu verweisen, aber jetzt dreht er diesen Mechanismus um. Die neue Datenbank enthält mehr als 300 Millionen Passwörter, die in den letzten Jahren durch Dutzende von Angriffen gewonnen wurden. Wenn du ein Passwort suchst, empfiehlt Have I Been Pwned, dass es keines in Verwendung ist, oder dass du es unabhängig vom Ergebnis ersetzt.
Ein sehr interessanter Aspekt ist, dass wir die gesamte Datenbank herunterladen können. Die Originaldatei und ihr sofortiges Update überschreiten 5,5 GB im komprimierten Zustand und übersteigen 12 GB im Klartext. Die Idee ist, dass die wichtigsten Anbieter diese Datenbank in eine automatische Blacklist umwandeln, um jedes Passwort abzulehnen, das zuvor kompromittiert wurde.
