Passwörter. Sie sind die erste Verteidigungslinie in der digitalen Welt vor unbefugten Zugriffen. Doch die aktuelle Analyse von NordPass und NordStellar offenbart eine beunruhigende Tatsache: Mitarbeitende nutzen immer noch schwache, leicht zu knackende Passwörter – eine Tür, die Cyberkriminelle gern nutzen.
Werbung, Branding und revolutionäre Innovationen – dafür geben Unternehmen einen großen Teil ihres Budgets aus, um letztlich der Konkurrenz einen Schritt voraus zu sein. Jedoch lassen viele Unternehmen im Hinblick auf die Cybersicherheit eine der grundlegendsten Sicherheitsmaßnahmen außer Acht: starke Passwörter.
In Zusammenarbeit mit NordStellar, analysierte NordPass die verwendeten Passwörter in elf Branchen. Das Ergebnis, in der neuesten NordPass-Studie festgehalten, bestätigt: Unternehmen aller Branchen – Gesundheits- bis Finanzwesen, Tech-Firmen bis Bildungswesen – verlassen sich nach wie vor auf leicht zu erratende Passwörter. Somit ist es für Cyberkriminelle ein leichtes auf sensible Daten zuzugreifen.
„Es ist erschreckend, dass Unternehmen trotz jahrelanger Warnungen immer noch diese schwachen Passwörter verwenden, die von Hackern superleicht geknackt werden können. Cyberkriminelle brauchen dann nämlich keine ausgeklügelten Tools, um in die Unternehmenssysteme einzudringen, wenn die Mitarbeiter „passwort“ oder ihren eigenen Namen verwenden, um sensible Daten zu schützen“, sagt Karolis Arbaciauskas, Head of Business Product bei NordPass.
Gleicher Fehler in verschiedenen Branchen
In allen untersuchten Branchen neigen die Mitarbeitenden zur Nutzung der gleichen schwachen Passwörter. Vor allem einfache Zahlenfolgen wie „123456“ und „123456789“ stehen ganz oben auf der Beliebtheitsliste. Dabei ist es egal, ob das Unternehmen dem Einzelhandel, der Automobilindustrie oder dem Hotel- und Gastgewerbe zugeordnet wird. Die am häufigsten verwendeten Passwörter sind dieselben. Und diese Tatsache deutet daraufhin, dass es sich um ein grundlegendes Problem in der Sicherheitsstruktur vieler Unternehmen handelt.
Ebenso alarmierend ist, dass oftmals ebenso Personennamen in Firmenpasswörtern genutzt werden. Hier tauchen vorrangig wiederholend „John“, „Michael“ und „Anna“ auf. Jene sind ein leichtes Ziel für Hacker, die auf Brute-Force-Angriffe setzen – Anmeldeinformationen durch reines Ausprobieren erraten. Zudem setzt eine Vielzahl von Mitarbeitenden auch ihre Firmen-E-Mail-Adresse als Passwort ein. Eine sehr risikoreiche Praxis, denn dadurch liefern sie den Hackern bereits die Hälfte der Zugangsdaten, die jenen den Zugriff auf sensible Daten erlauben.
Es ist erstaunlich, dass Unternehmen in Sicherheitstools und millionenschwere Cybersicherheitskampagnen investieren, es aber versäumen strenge Passwortrichtlinien durchzusetzen und den Angreifern so die digitale Tür öffnen.
„Passwörter sind die erste Sicherheitsbarriere, aber sie sind nach wie vor das schwächste Glied in der Unternehmenssicherheit. Hacker benötigen keine ausgeklügelten Techniken, wenn Unternehmen ihnen einfache Einstiegspunkte bieten. Solange Unternehmen die Passwortsicherheit nicht priorisieren, sind sie anfällig für Angriffe“, sagt Arbaciauskas.
Ein globales Problem
Doch das aus der Analyse hervorgehende Ergebnis, nicht nur auf eine bestimmte Region beschränkt. Im Gegenteil: Die Untersuchung zu den am häufigsten verwendeten Unternehmenspasswörtern erfolgte in 44 Ländern. Und in allen machen vorhersehbare Anmeldeinformationen – wie einfache Zahlenfolgen, allgemein gebräuchliche Wörter, unternehmensbezogene Begriffe – Unternehmen zum leichten Ziel für Cyberbedrohungen.
Und ein weiterer Trend bereitet Experten Sorgen: Standardpasswörter wie „newmember“, „admin“, „newuser“ oder „welcome“ werden für Geschäftskonten vermehrt genutzt. Auch die eigentlich als temporäre Platzhalter gedachten Passwörter, wie „newpass“ und „temppass“, werden oft weiterverwendet und nicht geändert. Dadurch haben Cyberkriminelle auch an dieser Stelle einfachen Zugang.
TOP 20 der besonders unsicheren, deutschen Firmenpasswörter
Über alle Branchen und Regionen hinweg ist ein klares Muster bei den am häufigsten geknackten Firmenpasswörtern erkennbar: Mitarbeitende verlassen sich zu sehr auf leicht zu erratende Anmeldedaten. Die TOP 20 der besonders unsicheren Firmenpasswörter in Deutschland sieht daher so aus:
- 123456
- 123456789
- 12345678
- password
- 1234567890
- 1234567
- 111111
- 123123
- abc123
- 000000
- password1
- iloveyou
- dragon
- 1g2w3e4r
- zag12wsx
- gwerty123
- target123
- monkey
- gwerty
- asdfghjkl
Vorprogrammiertes Datenleck
Neben der Nutzung von einfachen Passwörtern, begehen Unternehmen auch oftmals die folgenden Fehler, welche ebenso eine offene Tür für Cyberkriminelle bieten.
- Wiederverwendete Passwörter: Nicht selten nutzen Mitarbeitende dieselben Passwörter für mehrere Konten und erleichtern Hackern so den Zugriff.
- Risiko bei der Weitergabe von Passwörtern: Auch werden Passwörter gern per E-Mail oder Messaging-Apps weitergegeben. Dies erhöht ebenfalls die Wahrscheinlichkeit von Datenschutzverletzungen.
- Fehlverhalten: Einige der Datenschutzverletzungen sind auf einfache Fehler zurückzuführen. Dies verdeutlicht, dass bessere Schulungen zum Thema Cybersicherheit notwendig sind.
- Fehlende sichere Infrastruktur: Unternehmen ohne robuste Systeme und strikte Sicherheitsrichtlinien sind einfache Ziele für Cyberkriminelle.
Nach Arbaciauskas stehen Unternehmen in der Pflicht, der Cybersicherheit die höchste Priorität einzuräumen. Sie müssen mehr Pläne für die Cyber-Resilienz und Netzwerksicherheitslösungen (z. B. Business-VPNs) implementieren sowie Mitarbeiterschulungen durchführen. Auch die Multi-Faktor-Authentifizierung (MFA) stellt einen weiteren, wichtigen Schutz dar, da sie das Risiko des unbefugten Zugriffs deutlich verringert. Überdies ist die unzureichende Verwaltung von Passwörtern, eine schwerwiegende Schwachstelle, die behoben werden muss. Denn viele der Datenschutzverletzungen werden durch kompromittierte Anmeldedaten verursacht. Karolis Arbaciauskas empfiehlt für die sichere Passwort-Speicherung die Nutzung von Passwort-Managern. Außerdem sollten Unternehmen prüfen, ob ein Einsatz von Passkeys möglich ist. Branchenführer, wie Google oder Apple, haben diese als sichere Alternative zu herkömmlichen Passwörtern bereits eingeführt.