Passwörter sind seit der Entstehung der menschlichen Sprache ein wichtiger Bestandteil der Sicherheit. Dieses gemeinsame Geheimnis kann dazu dienen, sowohl physische als auch digitale Türen zu öffnen. Doch wie jedes Geheimnis kann es, wenn es der falschen Person offenbart wird, für ruchlose Taten missbraucht werden.
Passwörter bieten Cyberkriminellen eine Möglichkeit, die Sicherheitsbarriere zu umgehen. Diese Barriere steht weit offen, wenn ein Passwort unsicher ist, weitergegeben wird oder durch Phishing erlangt wurde. Die Verwaltung von Passwörtern trägt dazu bei, Risiken in einem Unternehmen zu minimieren.
Im Folgenden finden Sie einen Überblick über einige der Risiken bei der Verwendung von Passwörtern sowie Tipps zum Umgang mit Passwörtern.
Das Problem mit Passwörtern
Passwörter haben sich bewährt, weil die Nutzer sie verstehen; sie werden von Web- und App-Entwicklern verstanden und bieten ein grundlegendes Maß an Sicherheit. Aus diesen Gründen werden Passwörter auch weiterhin bestehen bleiben, selbst angesichts von Initiativen wie dem passwortlosen System FIDO.
Ein sicheres Passwort ist die grundlegendste Anmeldeinformation, doch Passwörter sind bei weitem keine robuste Sicherheitsmaßnahme. Da ein Passwort zahlreiche Türen öffnen kann, ist diese Anmeldeinformation zu einem Hauptziel von Cyberangriffen geworden. Der „Data Breach Investigations Report“ (DBIR) aus dem Jahr 2022 identifizierte den Diebstahl von Anmeldedaten als eine der vier häufigsten Methoden, mit denen Daten gestohlen werden.
Der „Annual Identity Exposure Report 2022“ hat einige erschreckende Zahlen zum Thema Passwörter aufgezeigt:
● Im Jahr 2021 wurden 1,7 Milliarden Zugangsdaten (Kombinationen aus E-Mail-Adresse und Passwort bzw. Benutzername und Passwort) von Hackern missbraucht
● 70 % der Nutzer verwendeten auch ein Jahr später noch kompromittierte Passwörter
● Das am häufigsten wiederverwendete Passwort im Klartext (d. h. unverschlüsselt) war „password“
● 60 % der Nutzer verwenden Passwörter mehrfach. Eine Google-Umfrage ergab, dass 52 % Passwörter für mehrere Konten wiederverwenden.
● Nur 20 % der Nutzer verfügen über einen Passwort-Manager
Die Kosten, die durch die Offenlegung von Passwörtern, Passwortdiebstahl und unbefugten Zugriff entstehen, summieren sich. Der Bericht des Ponemon Institute aus dem Jahr 2022 zu den Kosten von Insider-Bedrohungen ergab Folgendes:
● Die Kosten durch den Diebstahl von Zugangsdaten stiegen um 65 % von 2,79 Millionen US-Dollar im Jahr 2020 auf 4,6 Millionen US-Dollar im Jahr 2021/2022
● Die Eindämmung einer internen Bedrohung dauert etwa 85 Tage
● Vorfälle, deren Eindämmung mehr als 90 Tage dauerte, verursachten im Durchschnitt Kosten in Höhe von 17,19 Millionen Dollar
Wie Passwörter in die Hände von Cyberkriminellen gelangen
Zu den typischsten Methoden, mit denen Passwörter gestohlen oder kompromittiert werden, gehören:
Malware-Infektion
Malware, die zum Diebstahl von Daten entwickelt wurde, übermittelt alle von einem Nutzer eingegebenen Kombinationen aus Passwort, Benutzername und E-Mail-Adresse an die Cyberkriminellen, die die Malware steuern.
Ein Bericht von SpyCloud ergab, dass die Malware „RedLine Stealer“ im Jahr 2021 in großem Umfang eingesetzt wurde, um Anmeldedaten und andere Daten von Windows-Nutzern zu stehlen. Die Malware konnte auf einer Dark-Web-Seite für 800 US-Dollar erworben werden oder im Rahmen eines „Malware-as-a-Service“-Abonnements für 200 US-Dollar pro Monat genutzt werden.
Datenschutzverletzung
Datendiebstähle bieten Cyberkriminellen die Möglichkeit, auf gestohlene Passwörter und Kombinationen aus Benutzernamen und E-Mail-Adressen, d. h. Anmeldedaten, zuzugreifen. So wurden beispielsweise bei dem Datendiebstahl „Collection 1-5“ im Jahr 2019 2,2 Milliarden Passwörter und E-Mail-Adressen offengelegt.
Datenpannen treten in der Regel durch unbefugten Zugriff auf eine Datenbank, eine fehlerhafte Sicherheitskonfiguration, die die Datenbank angreifbar macht, versehentliche Offenlegung durch falsch zugestellte E-Mails oder gezielte Hackerangriffe auf. Im Rahmen eines Cyberkriminalitätszyklus werden aus einer kompromittierten Datenbank dann weitere Anmeldedaten offengelegt, um weitere Angriffe durchzuführen.
Phishing
Eine beliebte Methode zum Diebstahl von Passwörtern ist das Phishing. Tatsächlich wurde im DBIR 2022 Phishing als eine der vier häufigsten Methoden bei Datenpannen genannt, mit denen sich Zugriff auf Anmeldedaten verschafft wird. Spear-Phishing stellt ein besonderes Problem für Systemadministratoren und privilegierte Benutzer dar, die aufgrund ihrer Zugangsdaten mit privilegierten Zugriffsrechten ins Visier genommen werden.
Drittanbieter sind bei Passwort-bezogenen Angriffen ein beliebtes Ziel für Hacker. So wurde beispielsweise im Fall des Ransomware-Angriffs auf Colonial Pipeline im Jahr 2021 ein einziges gestohlenes Passwort eines ehemaligen Mitarbeiters mit dem Angriff in Verbindung gebracht, der dazu führte, dass die Hälfte der Kraftstoffversorgung der USA vorübergehend unterbrochen wurde.
Unbeabsichtigte Offenlegung und interne Sicherheitsrisiken
Mitarbeiter geben ihre Passwörter gerne an Kollegen weiter und verwenden sie zudem wiederholt. Eine kürzlich durchgeführte Umfrage ergab, dass fast 42 % der Mitarbeiter ihre Passwörter an Kollegen weitergeben. Dieselbe Studie ergab, dass jeder vierte Mitarbeiter auch nach seinem Ausscheiden aus dem Unternehmen noch Zugriff auf alte Konten hatte.
Die versehentliche Offenlegung von Passwörtern oder unbefugter Zugriff sind wesentliche Ursachen für Cyberangriffe und Datenpannen. Dem DBIR 2022 zufolge sind bei 82 % der Angriffe Menschen beteiligt.
Fünf kurze Tipps zum Umgang mit Passwörtern
Hier sind fünf Tipps zur Verwaltung von Passwörtern und zur Risikominimierung:
Passwortrichtlinien einrichten und durchsetzen
Passwortrichtlinien sind der erste Schritt zur Risikominimierung bei der Verwendung von Passwörtern. Passwortrichtlinien umfassen alle Aspekte, die mit der Verwaltung und der sicheren Aufbewahrung von Passwörtern zusammenhängen. So sollte eine Richtlinie beispielsweise die sichere Speicherung von Passwörtern sowie die Häufigkeit, mit der ein Passwort geändert werden muss, regeln.
In den Passwortrichtlinien sollte zudem klar festgelegt werden, wie Mitarbeiter Passwörter erstellen und verwalten sollen. Die Richtlinien sollten an die Mitarbeiter verteilt werden, und die Verwaltung der Richtlinien sollte über deren gesamten Lebenszyklus hinweg automatisiert erfolgen, um sicherzustellen, dass sie im gesamten Unternehmen akzeptiert und verstanden werden.
Verwenden Sie einen Passwort-Manager
Passwortmanager wie Lastpass und Passwortgeneratoren verringern die Passwortmüdigkeit und können somit dazu beitragen, die Wiederverwendung und Weitergabe von Passwörtern zu vermeiden. Wenn Sie einen Passwortmanager verwenden, müssen Sie sich technisch gesehen nur noch einen Satz von Zugangsdaten merken – nämlich das Master-Passwort für die Anmeldung bei Ihrem Passwortmanager.
Sobald Sie sich mit Ihrem Master-Passwort beim Passwortmanager angemeldet haben, übernimmt dieser den Rest – er speichert, generiert, synchronisiert und aktualisiert Passwörter. Ihr Master-Passwort dient dazu, die in Ihrem Passwort-Tresor gespeicherten Passwörter zu verschlüsseln.
Passwortmanager werden in Unternehmen jedoch nach wie vor zu selten genutzt. Es gibt zahlreiche Passwortmanager, doch cloudbasierte Dienste lassen sich oft einfacher bereitstellen und verwalten. Suchen Sie nach einem Passwortmanager, der auch systemübergreifend funktioniert und andere Datentypen – einschließlich Passwörtern – schützt.
Verwenden Sie eine zweistufige Authentifizierung (2FA/MFA)
Die Verwendung eines zweiten Authentifizierungsfaktors, wie beispielsweise eines Authentifizierungscodes vom Mobiltelefon, ist eine sinnvolle Möglichkeit, den Zugriff auf eine Anwendung um eine weitere Sicherheitsebene zu ergänzen. Sie sollten sich jedoch nicht darauf verlassen, dass die Zwei-Faktor-Authentifizierung (2FA) eine zu 100 % risikofreie Zugriffskontrolle gewährleistet.
Cyberkriminelle arbeiten bereits daran, Wege zu finden, die Zwei-Faktor-Authentifizierung zu umgehen. Wenn möglich, sollten Sie die Zwei-Faktor-Authentifizierung (2FA) einrichten und diese Maßnahme zusätzlich durch die folgenden zwei Tipps zur Verringerung des Passwortrisikos ergänzen:
Schulen Sie Ihre Mitarbeiter in Bezug auf die Passwort-Sicherheit
Passwortrichtlinien sollten die Branchenstandards der Cybersicherheit für die Erstellung, Verwendung und Verwaltung von Passwörtern widerspiegeln. Die Durchsetzung dieser Richtlinie setzt jedoch voraus, dass die Mitarbeiter verstehen, warum sichere Passwörter unerlässlich sind.
Schulungsprogramme zur Sensibilisierung für Cybersicherheit umfassen in der Regel Module zur Erstellung sicherer Passwörter und zum sicheren Umgang mit Passwörtern.
Nutzen Sie Phishing-Simulationen, um Passwortdiebstahl zu reduzieren
Phishing ist eine der gängigsten Methoden, um Passwörter und andere Zugangsdaten zu stehlen. Indem Mitarbeiter darüber geschult werden, wie Phishing funktioniert und woran sich eine Phishing-Nachricht erkennen lässt, kann ein Unternehmen dazu beitragen, den Diebstahl von Zugangsdaten durch Phishing zu verhindern.
Phishing-Simulationsplattformen bieten eine zentralisierte und konfigurierbare Möglichkeit, simulierte Phishing-Nachrichten an Ihre Mitarbeiter zu versenden. Eine fortschrittliche Phishing-Simulationsplattform ermöglicht es Ihnen zudem, die simulierten Phishing-Nachrichten so anzupassen, dass sie den verschiedenen Rollen in Ihrem Unternehmen Rechnung tragen.
Unternehmen werden wahrscheinlich noch eine Weile lang Passwörter verwenden, was das Risiko eines Cyberangriffs erhöht. Durch die Umsetzung der fünf hier vorgestellten Tipps können Sie jedoch die mit der Verwendung von Passwörtern durch Ihre Mitarbeiter verbundenen Risiken mindern. Diese Tipps tragen dazu bei, Datenlecks und Ransomware-Infektionen zu verhindern und Ihrem Unternehmen die Einhaltung der Datenschutzbestimmungen zu erleichtern.