Was ist passiert?
Diese Textdatei erregt Aufsehen: Sicherheitsforscher haben in einem beliebten Hacker-Forum eine Datei namens rockyou2024.txt entdeckt. Sie enthält laut cybernews.com 9'948'575'739 einzigartige Passwörter von Benutzern aus der ganzen Welt, die im Klartext gespeichert sind. Die Datei kursiert an verschiedenen Orten im Internet. Sie wurde am 4. Juli von einem Nutzer mit dem Pseudonym ObamaCare hochgeladen. Es soll sich um das grösste Passwort-Leak aller Zeiten handeln.
Woher stammen die Daten?
Laut dem Beitrag im Hacker-Forum handelt es sich um eine Zusammenstellung von Daten aus verschiedenen Quellen, die in den letzten Jahren geleakt wurden. Darauf deutet auch eine Analyse von Sicherheitsforschern hin. Auch sie gehen davon aus, dass es sich um eine Mischung von Passwörtern aus Datenlecks der letzten Jahre handelt. Es sind also nicht per se neue Daten. Bereits 2021 kursierte eine Datei namens rockyou2021.txt, vermutlich von den gleichen Absendern, mit 8,5 Milliarden Passwörtern im Klartext. Rockyou geht auf das Jahr 2009 zurück, damals enthielt die Datei «nur» 35 Millionen Passwörter.
Bin ich betroffen?
Die Wahrscheinlichkeit ist hoch, dass viele Menschen betroffen sind. Den meisten ist gar nicht bewusst, wie oft ihre Passwörter und Zugangsdaten im Internet kursieren. Überprüfen kann man das zum Beispiel mit dem Dienst Have I been pwned. Hier gibt man seine E-Mail-Adresse ein und bekommt dann angezeigt, in welchen Leaks man bereits aufgetaucht ist. Hinter dem Dienst steckt Troy Hunt, ein Sicherheitsforscher von Microsoft.
Bin ich in Gefahr?
Ja und Nein. Es besteht keine direkte Gefahr. Bei der aufgetauchten Datei handelt es sich um eine reine Passwortliste. Benutzernamen, zugehörige E-Mail-Adressen oder andere Daten sind nicht enthalten. Indirekt besteht aber durchaus Gefahr: Cyberkriminelle können die Passwortliste beispielsweise für Brute-Force-Angriffe nutzen. Dabei werden alle möglichen Passwörter ausprobiert, um Zugang zu einem Konto oder System zu erhalten.
Was ist nun zu tun?
Es ist an der Zeit, über die eigene Cybersicherheit nachzudenken. Dabei helfen diese Tipps, um die Gefahren zu minimieren:
- Passwörter sollten nie mehrfach verwendet werden. Das ist das grösste No-Go. Das ist so, als würde man sein Auto an einem unbekannten Ort auf dem Parkplatz abstellen, die Türen offen und den Schlüssel stecken lassen.
- Wer mehrfach verwendete Passwörter hat, sollte diese schnellstmöglich ändern.
- Klar, niemand kann sich Dutzende oder gar Hunderte verschiedener Passwörter merken. Hier hilft ein Passwort-Manager.
- Wo immer möglich, sollte die Zwei-Faktor-Authentifizierung aktiviert werden. Diese Funktion bietet zusätzlichen Schutz, selbst dann, wenn das eigene Passwort geleakt wurde. Denn jeder Login muss zusätzlich mit einem SMS-Code oder einer PIN autorisiert werden. Diese Funktion bieten heute fast alle grossen Plattformen an.