Das Awareness-Jahrzehnt und sein Ergebnis: Warum das Passwort Angriffsvektor Nr. 1 bleibt

Fachbeitrag | Cybersecurity & Compliance | Stand: August 2026 · Autor: Manuel Löw-Beer, Risikomonitor.com

Abstract

Die vergangene Dekade war von beispiellosen Sensibilisierungskampagnen zur Passwortsicherheit geprägt. Dieser Beitrag stellt der Aufklärungsrhetorik das messbare Verhalten gegenüber: eine Vollerhebung von 1,88 Millionen Klartext-Passwörtern aus 2,9 Millionen österreichischen Konten bei 5,9 Millionen Fundstellen. Das zentrale Ergebnis ist ernüchternd: „123456“ steht über den gesamten Beobachtungszeitraum stabil in der Spitzengruppe. Verhaltensappelle haben die Passwortwahl kaum verändert; messbare Verbesserungen stammen ausschliesslich aus strukturell-technischen Massnahmen wie Passwort-Managern, Blocklists und MFA beziehungsweise Passkeys.

1. Ein Jahrzehnt Aufklärung und sein Outcome

Seit rund 2015 gilt Passworthygiene als Gemeingut der Sicherheitskommunikation: Safer Internet Day, verpflichtende Awareness-Trainings, Stärkeanzeigen in jedem Registrierungsformular. Wäre Aufklärung ein wirksames Instrument, müsste sich das im Verhalten niederschlagen. Der empirische Befund widerspricht: „123456“ gehört in nahezu jedem Breach-Jahrgang zu den drei häufigsten österreichischen Klartext-Passwörtern. Die Persistenz ist kein Altlasten-Effekt, sondern gegenwärtig.

Damit reiht sich die Beobachtung in Herleys These ein, wonach Nutzer Sicherheitsratschläge nicht aus Dummheit, sondern aus rationaler Kosten-Nutzen-Abwägung ablehnen [1]. Das Awareness-Jahrzehnt hat sein Ziel – die freiwillige Verhaltensänderung der Masse – nicht erreicht.

2. Datenbasis und Methodik

Grundlage ist eine Vollerhebung ohne Sampling über drei aggregierte, deduplizierte Breach-Korpora mit Österreich-Bezug: 5,9 Millionen Fundstellen, 2,9 Millionen distinkte E-Mail-Konten, davon 1,88 Millionen mit Klartext-Passwort und rund 889.000 distinkten Zeichenketten. Klartextfilter: Länge 3 bis 64 Zeichen, Ausschluss reiner Hex-Artefakte. Kohortenbildung (C-Level gegenüber regulären Beschäftigten) über verifizierte Berufs-Mail-Domänen. Cluster-Zahlen zählen distinkte Konten mit Substring-Treffer und bilden eine konservative Untergrenze. Stichtag: 25. August 2026, Datenbasis CC-BY-4.0.

Verglichen mit etablierten wissenschaftlichen Korpora – etwa Bonneaus Analyse von 70 Millionen Yahoo-Passwörtern [2] oder der Feldstudie von Florêncio und Herley [3] – ist der hier ausgewertete nationale Korpus aussergewöhnlich dicht und erlaubt kulturell aufgelöste Aussagen.

3. Befund: Stabilität der Schwäche und die Zwei-Klassen-Gesellschaft

Zwei Muster dominieren. Erstens die Persistenz trivialer Passwörter. Zweitens eine wachsende Bimodalität: Eine Minderheit – typischerweise Passwort-Manager-Nutzer – erzeugt hochentropische Zufallsstrings, während die Mehrheit bei memorierbaren und damit ratbaren Mustern bleibt. Dieselbe Spaltung dokumentieren Pearman et al. [4].

Bemerkenswert ist die Gleichverteilung der Schwäche über Hierarchieebenen hinweg: 1.832 C-Level-Identitäten kommen auf eine durchschnittliche Passwortlänge von 8,47 Zeichen, 36.345 reguläre Beschäftigte auf 8,43 Zeichen; der Sonderzeichen-Anteil liegt bei 6,6 gegenüber 6,3 Prozent. Beide Differenzen liegen im statistischen Rauschen. Die verbreitete Annahme, Führungskräfte verhielten sich sicherer, ist empirisch nicht haltbar.

4. Seniorität, Wiederverwendung, Erpressbarkeit

Die eigentliche Gefahr liegt nicht im einzelnen schwachen Passwort, sondern in seiner Wiederverwendung über Kontexte hinweg; Das et al. weisen sie für einen Grossteil der Nutzer nach [5]. Je höher die Position, desto stärker verschmelzen private und berufliche digitale Identität: Dieselben wenigen Passwörter sichern Firmen-VPN, privates Postfach, Cloud-Speicher und Social-Media-Account. Ein einziges geleaktes privates Passwort wird zum Generalschlüssel – aus dem IT-Problem wird ein Erpressbarkeitsproblem.

Unter der NIS2-Richtlinie, die Leitungsorgane persönlich in die Verantwortung nimmt, wird diese Gleichverteilung der Schwäche zum unmittelbaren Governance- und Haftungsthema. Erschwerend kommt hinzu, dass MFA trotz jahrelanger Empfehlung nicht flächendeckend durchgesetzt ist.

5. Der Angriffsvektor Nummer 1 – für Menschen und für KI

Gestohlene Zugangsdaten sind seit Jahren der meistgenutzte Erstzugangsvektor bei realen Sicherheitsvorfällen; der Verizon DBIR weist Credentials regelmässig als führende Kategorie aus [6]. Die ökonomische Logik dahinter ist Credential Stuffing – ein Angriff, der ausschliesslich von Wiederverwendung lebt.

Neu und unterschätzt ist die KI-Dimension. Bereits 2016 zeigten Melicher et al., dass neuronale Netze die Ratbarkeit von Passwörtern präziser modellieren als klassische Verfahren [7]; PassGAN übertrug den Ansatz 2019 auf generative adversarielle Netze [8]. Grosse Sprachmodelle beschleunigen heute beide Enden der Angriffskette: das Generieren kulturell passender Passwort-Kandidaten und das Personalisieren von Phishing. Ein Angreifer, der weiss, dass „rapid“, „audi“ und „maria“ dominante österreichische Motive sind, verkleinert seinen Rateraum drastisch.

6. Was tatsächlich wirkt: von Verhalten zu Struktur

Die NIST-Richtlinie SP 800-63B [9] hat den Paradigmenwechsel vollzogen: weg von erzwungener Rotation und starren Komplexitätsregeln, hin zu Länge statt Komplexität und verpflichtendem Abgleich gegen Blocklists kompromittierter Passwörter. Für Österreich folgt daraus die Forderung nach kulturell sensitiven Blocklists, die neben der internationalen Top-Liste auch nationale Muster ausschliessen: Klubs, Regionen sowie – aus Gründen historischer Verantwortung – NS-Begriffe.

• Breite Ausrollung von Passwort-Managern, damit Zufallsstrings zum Normalfall werden.
• Verpflichtender Abgleich jedes neuen Passworts gegen eine Blocklist.
• Umstieg auf phishing-resistente Verfahren (FIDO2 / Passkeys) und flächendeckende MFA.
• Abkehr von erzwungener Rotation und starren Komplexitätsregeln, die Muster erzeugen statt Entropie.

Wie Schneier seit Jahren pointiert, ist die Lösung nicht, bessere Passwörter zu verlangen, sondern das Passwort als alleinigen Faktor abzuschaffen [10].

7. Schlussfolgerung

Aufklärung allein verändert Passwortverhalten nicht. Die Daten zeigen ein Land, dessen digitale Identitätswahl von Fussball, Auto und Vornamen bestimmt wird – leicht memorierbar und damit leicht ratbar. Solange dieselbe Handvoll Passwörter privates und berufliches Leben absichert, bleibt jede Führungskraft erpressbar und jedes Unternehmen über seine Menschen angreifbar. In einer Bedrohungslage, in der KI das Erraten und Personalisieren industrialisiert, ist die Verlagerung zu strukturellen Kontrollen keine Empfehlung mehr, sondern eine Sorgfaltspflicht der Unternehmensleitung.

Wie exponiert ist Ihr Unternehmen?

Wir prüfen, welche Ihrer Firmen-Zugangsdaten bereits im Darknet stehen, und begleiten den Umbau von Awareness zu strukturellen Kontrollen. [Jetzt Kontakt aufnehmen](/kontakt) – oder direkt starten mit dem kostenlosen [Darknet-E-Mail-Check](/tools/darknet-email-check), laufender Überwachung via [Darknet-Monitoring](/darknet-monitoring) und der Absicherung Ihrer Zulieferer über das [Lieferantenmonitoring](/lieferantenmonitoring).

Literatur

[1] C. Herley, „So Long, And No Thanks for the Externalities“, NSPW 2009. [2] J. Bonneau, „The Science of Guessing“, IEEE S&P 2012. [3] D. Florêncio, C. Herley, „A Large-Scale Study of Web Password Habits“, WWW 2007. [4] S. Pearman et al., „Let’s Go in for a Closer Look“, ACM CCS 2017. [5] A. Das et al., „The Tangled Web of Password Reuse“, NDSS 2014. [6] Verizon, „Data Breach Investigations Report“, jährlich. [7] W. Melicher et al., „Fast, Lean, and Accurate“, USENIX Security 2016. [8] B. Hitaj et al., „PassGAN“, ACNS 2019. [9] NIST SP 800-63B, „Digital Identity Guidelines“. [10] B. Schneier, „Choosing Secure Passwords“.

Manuel Löw-Beer, MBA MPA, ist Geschäftsführer der Risikomonitor.com GmbH in Wien und war zuvor in leitenden IT-Funktionen (CIO, CISO) in kritischer Infrastruktur tätig. Beitrag und Datenbasis stehen unter CC-BY-4.0 zur Nachnutzung bereit.