Home » Fachbeiträge » Cybersecurity » Effektiver Schutz vor kompromittierten Passwörtern

Effektiver Schutz vor kompromittierten Passwörtern

Kompromittierte Passwörter ermöglichen es Angreifern, Benutzerkonten zu übernehmen. Doch die Wiederverwendung von Kennwörtern in geschäftlichen und privaten Accounts ist eine wahre Goldgrube für Hacker und ein großes Sicherheitsrisiko für Unternehmen. Wie sich das Risiko minimieren lässt, zeigen wir in diesem Beitrag auf.

3 Min. Lesezeit
©iStock/Piscine

Advertorial

Gefährliche Mehrfachnutzung von Passwörtern

Tagtäglich werden Unternehmen mit unzähligen Angriffen über Brute Force, Password Spraying oder Credential Stuffing konfrontiert. Der Einstieg gelingt häufig über bereits kompromittierte oder schwache, leicht zu erratende Passwörter oder Passwortbestandteile. Insbesondere die mehrfache Nutzung derselben Kennwörter in geschäftlichen und privaten Accounts macht es Kriminellen leicht. Die Wiederverwendung von Passwörtern über mehrere Anwendungen hinweg führt dazu, dass diese wahrscheinlicher via Datenlecks oder durch Attacken auf weniger geschützte Plattformen erbeutet werden können und dann für Angriffe auf Organisationen missbraucht werden. Hat der Täter einmal gültige Authentifizierungsdaten erraten, dann ist es für ihn ein Kinderspiel, ausgehend von einem geknackten Konto immer tiefer in die IT- und Datenwelt des angegriffenen Unternehmens einzudringen und großen Schaden zu verursachen.

Auf dem Darknet-Basar: Passwörter und Passwort-Hashes

Um sich gegen diese betrügerischen Attacken zu wappnen, ist es wichtig zu wissen, wie Kriminelle bei Brute Force, Password Spraying oder Credential Stuffing vorgehen. Für diese sind die im Darknet verfügbaren und geteilten Datendumps von Passwort-Hashes oder Klartextpasswörtern eine der wichtigsten und bevorzugten Quellen. Mithilfe dieser Informationen werden gleichzeitig zahlreiche Benutzerkonten von Unternehmen attackiert und im schlimmsten Fall geknackt. Denn die Angreifer gehen davon aus, dass die geleakten Anmeldedaten – oftmals bestehend aus Benutzername und Passwort – bei mehreren Diensten gleichzeitig verwendet werden. Und sie liegen mit ihrer Annahme richtig: Die Chance, dass in einem Unternehmen kompromittierte Passwörter, die – beziehungsweise Bestandteile von diesen – in den Datendumps zu finden sind, eingesetzt werden, ist hoch. Laut aktuellen Erhebungen des Digitalverbands Bitkom nutzen 35 Prozent der Internetnutzer dasselbe Passwort für verschiedene Onlinedienste. Laut einer Google-Umfrage verwenden sogar mehr als 65 Prozent das gleiche Passwort über mindestens mehr als einen Account hinweg!

Abwehr durch den Einsatz einer Third Party Password Policy und eines Password-Filters

Um das Risiko einer Attacke zu minimieren, muss verhindert werden, dass Benutzer einfach zu erratende oder kompromittierte Passwörter verwenden. Hilfreich ist hierbei der Einsatz eines Third Party Password Filters, wie Specops Password Policy. Diese erhöhen die Passwortsicherheit in Unternehmen signifikant und ermöglichen es, die aktuellen Empfehlungen der Sicherheitsbehörden wie BSI oder NIST an Passwortsicherheit einfach und schnell umzusetzen. Durch den Einsatz von Specops Password Policy für das Active Directory können darüber hinaus ergänzende Modifikationen, zum Beispiel zu längenbasierten Ablaufdaten für Kennwörter und separaten Richtlinien für Passphrasen und gewöhnliche Kennwörter sowie zum Verhindern von Iterationen oder L337Speak und dem Blockieren kompromittierter Passwörter, durchgesetzt werden. Gerade letzteres gewinnt Angesicht der zunehmenden Bedrohung durch Password Spraying und Co. sowie in Hinblick auf die Arbeitsweise der Cyberkriminellen immer stärker an Bedeutung.

Bei Specops erfolgt das Blockieren kompromittierter Kennwörter im Abgleich mit der Specops Breached Password Protection List. Sie enthält mehr als drei Milliarden kompromittierte Passwörter. Die Liste wird von den Forschungsteams von Specops Software zusammengestellt und ständig erweitert. Sie ist eine Kombination aus Tausenden von verschiedenen Quellen geleakter Passwörter, einschließlich solcher, die auf bekannten Zusammenstellungen kompromittierter Kennwörter zu finden sind oder aktuell in realen Angriffen verwendet werden. Sie wird täglich aktualisiert, unter anderem mithilfe von globalen Honeypot-Systemen, so wird sichergestellt, dass die Netzwerke der Nutzer der Specops Password Policy kontinuierlich vor realen Passwortangriffen geschützt sind.

Fazit

Nach wie vor können Cyberattacken nicht hundertprozentig verhindert werden. Jedoch gibt es wirksame Schutzmaßnahmen, um diesen effektiv entgegenzuwirken. Dazu gehört neben modernen und nutzerfreundlichen Passwortrichtlinien und der Einhaltung gesetzlicher Empfehlungen auch der Einsatz von Softwarelösungen zur optimalen Gefahrenabwehr in Echtzeit. Diese verhindern, dass kompromittierte Passwörter in Unternehmen eingesetzt werden und schließen so ein bedeutendes Einfallstor für Kriminelle.

Kontakt:

Specops Software GmbH
Gierkezeile 12
10585 Berlin

Patrick Patrick, Marketing Manager
Tel: +49 160 3484013
E-Mail: Patrick.Lehnis@specopssoft.com
Webseite

 

Andere interessante Fachbeiträge

Goldgrube Zugangsdaten

Der Diebstahl von Zugangsdaten hat sich in den letzten Jahren zu einer hochprofessionellen und besorgniserregenden Form der Cyberkriminalität entwickelt. Die Zahl der Initial-Access-Broker (IAB) ist nahezu explodiert, Ransomware-Gruppen haben sich rasant vermehrt, die Preise für Malware sind in die Höhe geschnellt und zu allem Überfluss sind sogenannte Traffers auf der Bildfläche aufgetaucht.

Pentests: Fusionen, Übernahmen und Expansionen absichern

Das schnelle Wachstum von Unternehmen, sei es durch Fusionen, Übernahmen oder einfach durch Expansion, kann zu unbekannten Schwachstellen führen. Penetrationstests sind der Schlüssel zur Identifizierung dieser Sicherheitslücken.

Welche Backup-Lösung für Microsoft 365?

Bei der Abwehr von Cyberangriffen spielt die Datensicherung eine zentrale Rolle. Im Fall eines Angriffs müssen Unternehmen schnell reagieren können, indem sie ihre wichtigsten Daten und Anwendungen schützen und wiederherstellen. Unser Autor erklärt, wie Unternehmen ihre Daten in Microsoft-365-Produkten sichern können und worauf sie beim Kauf einer Backup-Lösung für den Dienst achten sollten.