Verschlüsselte Passwörter mit moderner GPU oft in Minuten knackbar

Selbst wenn Nutzer sich besonders komplexe Passwörter aussuchen, hilft dies wenig, wenn Nutzerdatenbanken gestohlen und leicht entschlüsselt werden können. Angreifern genügt hier oft schon eine moderne Grafikkarte, um schnell Erfolge zu erzielen.

MD5 noch oft im Einsatz

Für eine aktuelle Analyse werteten Sicherheitsforscher von Kaspersky mehr als 231 Millionen einzigartige Passwörter aus Datenlecks im Darknet aus. Darunter befanden sich rund 38 Millionen Datensätze, die seit der letzten Untersuchung hinzugekommen waren. Die Passwörter wurden für den Test mit dem veralteten aber noch immer häufig genutzten Hash-Verfahren MD5 verschlüsselt und anschließend mit einer Nvidia-RTX-5090-Grafikkarte angegriffen.

Das Ergebnis: Rund 60 Prozent der Passwörter konnten innerhalb einer Stunde geknackt werden, fast die Hälfte sogar in weniger als einer Minute. Die Experten weisen darauf hin, dass Kriminelle dafür nicht einmal selbst teure Hardware besitzen müssen. Leistungsstarke Grafikprozessoren lassen sich inzwischen günstig über Cloud-Anbieter mieten. Dadurch sinkt die Einstiegshürde für Angriffe erheblich. Infografik: Regelmäßige Passwortänderung für Deutsche kaum ein Thema Besonders problematisch sei allerdings weiterhin, dass viele Nutzer noch immer leicht vorhersehbare Passwörter verwenden. Wiederkehrende Muster und einfache Zeichenkombinationen erleichterten die beschriebenen automatisierten Angriffe enorm.


Im Vergleich zu einer ähnlichen Untersuchung aus dem Jahr 2024 habe sich die Situation sogar leicht verschlechtert, hieß es. Moderne Grafikkarten würden immer leistungsfähiger, während die Qualität vieler Passwörter kaum zunehme. Deshalb gelten reine Passwort-Systeme zunehmend als unsicher, sobald Angreifer Zugriff auf gestohlene Datenbanken erhalten.

Passwörter allein reichen nicht mehr

Sicherheitsexperten fordern daher ein Umdenken bei digitalen Zugangssystemen. Chris Gunner, Sicherheitsberater des IT-Dienstleisters Thrive, empfiehlt, Passwörter künftig nur noch als Teil eines umfassenderen Sicherheitskonzepts einzusetzen. Entscheidend sei die Kombination mit zusätzlichen Schutzmechanismen wie biometrischer Zwei-Faktor-Authentifizierung, etwa per Fingerabdruck oder Gesichtserkennung.

Auch der Cybersecurity-Professor Steven Furnell von der University of Nottingham sieht Unternehmen und Plattformbetreiber in der Pflicht. Viele Internetdienste böten noch keine modernen Alternativen wie Passkeys an oder setzten weiterhin zu schwache Passwortregeln durch. Nutzer würden auf diese Weise allein gelassen.


Siehe auch: