Passwortlisten

Passwortlisten sind Sammlungen von Anmeldeinformationen, die in unterschiedlicher Form vorliegen. In der Praxis bezeichnet der Begriff Listen von Benutzernamen zusammen mit zugehörigen Passwörtern oder deren Hashwerten. Solche Listen können zu Sicherheitszwecken erstellt werden, dienen aber häufig dem unbefugten Zugriff auf Konten, zum Beispiel durch automatisierte Anmeldeversuche.

Quellen und Typen: Hauptquellen sind Datenlecks und Sicherheitsverletzungen, bei denen Nutzerdaten gestohlen und in Dumps veröffentlicht werden. Zusätzlich entstehen Hashlisten durch das Sammeln von Passwort-Hashes, oft mit Salt, oder durch den Einsatz von Rainbow Tables. In autorisierten Sicherheitsprüfungen können Prüfer kontrollierte Prüflisten verwenden, die keine echten Nutzerdaten enthalten.

Risiken und Regulierung: Die Verwendung von Passwortlisten für Angriffe (Credential Stuffing, Brute Force) ist in der Regel rechtswidrig oder verletzt Nutzungsbedingungen. Sie kann Konten kompromittieren, Identitätsdiebstahl ermöglichen und organisatorische Schäden verursachen. Sicherheitsforschung und Penetrationstests erfordern klare Genehmigungen und ethische Richtlinien.

Schutzmaßnahmen: Um Risiken zu reduzieren, setzen Organisationen auf MFA, starke, einzigartige Passwörter, Passwortmanager, Ratenbegrenzung, Monitoring und Anomalieerkennung. Technische Absicherungen umfassen sicheres Hashing mit Salt (z. B. Argon2, bcrypt, scrypt) und regelmäßige Sicherheitsüberprüfungen. Privatpersonen sollten Leaks prüfen und MFA aktivieren.