In einem Hackerforum wurde kürzlich eine fast 50 GByte große Passwortliste mit dem Namen Rockyou2024 veröffentlicht. Diese Liste soll fast zehn Milliarden Passwörter umfassen und wird von dem Bedrohungsakteur “Obamacare” als die bisher größte Sammlung kompromittierter Anmeldedaten bezeichnet. Doch Experten äußern Zweifel, ob von Rockyou2024 tatsächlich eine ernsthafte Bedrohung ausgeht.
Der Ursprung von Rockyou2024
Die Liste wird als aktualisierte Version der Rockyou2021-Datei dargestellt, die damals bereits 8,4 Milliarden Passwörter enthalten haben soll. Sie soll Daten aus verschiedenen, über die Jahre hinweg geleakten Datenbanken sammeln und sowohl alte als auch neue Passwörter umfassen. Interessanterweise behauptet Obamacare, er habe einige der älteren Passwörter mit Hilfe einer leistungsstarken “4090” GPU geknackt.
Der Name “Rockyou” ist kein neues Phänomen. Die erste Version der Liste erschien bereits 2009, nachdem das Unternehmen Rockyou – damals bekannt für Apps in sozialen Netzwerken – gehackt wurde. Damals wurden 32 Millionen Passwörter kompromittiert, was zu einem der ersten großen Passwort-Leaks der Geschichte führte.
Die Zweifel an der Gefahr von Rockyou2024
Obwohl die schiere Größe der Liste alarmierend erscheint, sind viele Sicherheitsexperten skeptisch. Der dänische Sicherheitsforscher Lars Karlslund, der die Passwortliste analysiert hat, weist darauf hin, dass ein großer Teil der Passwörter wahrscheinlich nutzlos ist. Seiner Analyse zufolge sind 1,5 Milliarden Einträge Hexadezimalwerte, die mit hoher Wahrscheinlichkeit unentschlüsselte Hashes darstellen. Diese Einträge könnten somit keinen direkten Schaden verursachen. Karlslund streicht diesen Teil der Liste daher als irrelevant.
Darüber hinaus enthält die Liste über eine Milliarde Passwörter, die aus mindestens 32 Zeichen bestehen. Der Anteil solcher extrem langen Passwörter erscheint unrealistisch hoch, da die meisten Benutzer kürzere Passwörter wählen. Dies verstärkt die Vermutung, dass die Liste zu einem erheblichen Teil aus generierten oder nicht realen Daten besteht.
Veränderungen in der Bedrohungslage?
Auch wenn Rockyou2024 mit zwei Milliarden zusätzlichen Passwörtern aufwartet, ändert dies wenig an der Realität von Cyberangriffen. Sicherheitsforscher wie Daniel Card betonen, dass solche Listen in der Praxis oft überschätzt werden. Tools wie Hashcat und bereits bestehende Passwortlisten sind für Angreifer oft effektiver, da sie gezielt eingesetzt werden können. Zudem haben viele Onlinedienste Maßnahmen wie IP-Sperren implementiert, die das systematische Ausprobieren solcher Listen verhindern.
Ein wesentlicher Punkt, den Card hervorhebt, ist, dass Cyberkriminelle bereits jetzt Zugang zu umfangreichen Passwortdatenbanken und automatisierten Angriffswerkzeugen haben. Die Veröffentlichung weiterer Passwörter ändert somit wenig an den Fähigkeiten der Angreifer, da der Großteil dieser Daten ohnehin in verschiedenen Kontexten verfügbar ist.
Bedeutung von starken Passwörtern und Multi-Faktor-Authentifizierung (MFA)
Angesichts der zunehmenden Bedrohungen durch Passwort-Leaks bleibt es für Unternehmen und Nutzer entscheidend, auf grundlegende Sicherheitsmaßnahmen zu setzen. Dies beinhaltet die Verwendung starker, einzigartiger Passwörter für verschiedene Konten, die regelmäßig aktualisiert werden sollten. Besonders empfehlenswert ist die Implementierung von Passwort-Managern, um den Überblick über komplexe Passwörter zu behalten.
Eine der effektivsten Schutzmaßnahmen gegen Passwort-Leaks bleibt jedoch die Multi-Faktor-Authentifizierung (MFA). Selbst wenn ein Passwort kompromittiert wird, kann die zusätzliche Sicherheitsebene durch MFA Angreifer daran hindern, auf ein Konto zuzugreifen.
KI-gestützte Passwortsicherheit als Zukunftsperspektive
Ein Aspekt, der zunehmend an Bedeutung gewinnt, ist der Einsatz von KI in der Passwortsicherheit. Unternehmen können KI-Algorithmen verwenden, um verdächtige Anmeldeaktivitäten in Echtzeit zu erkennen, ungewöhnliche Muster zu identifizieren und proaktiv Maßnahmen zu ergreifen. KI-gestützte Systeme können darüber hinaus automatische Passwort-Audits durchführen, um schwache oder kompromittierte Passwörter zu erkennen und zu ersetzen, bevor sie von Angreifern ausgenutzt werden.
In einer Zeit, in der Passwort-Leaks wie Rockyou2024 immer häufiger auftreten, könnte die Kombination aus traditionellen Sicherheitsmaßnahmen und KI-gestützten Lösungen eine entscheidende Rolle spielen, um den wachsenden Bedrohungen durch Cyberkriminalität standzuhalten.
Fazit: Ein kritischer Blick auf Passwort-Leaks
Obwohl der Rockyou2024-Leak in den Medien viel Aufmerksamkeit erregt hat, bleibt seine tatsächliche Bedrohung fraglich. Ein Großteil der enthaltenen Passwörter scheint entweder unbrauchbar oder bereits in anderen Datenbanken aufgetaucht zu sein. Für Unternehmen und Nutzer gilt es, ihre Sicherheitsstrategien kontinuierlich zu verbessern, auf starke Passwörter zu setzen und Multi-Faktor-Authentifizierung als Standard zu etablieren. Nur so kann die Gefahr durch Passwort-Leaks wie Rockyou2024 effektiv minimiert werden.
