Rapid ist beliebter als Sex

PRESSEAUSSENDUNG | Wien, 25. August 2026 | Sperrfrist: zur sofortigen Veröffentlichung frei

Was knapp zwei Millionen geleakte Passwörter aus dem Darknet über Österreich verraten

# Rapid ist beliebter als Sex

Im Darknet kursieren die Zugangsdaten von fast jedem dritten Österreicher. Eine Wiener Auswertung von knapp zwei Millionen im Klartext lesbaren Passwörtern zeigt: Wenn Österreicher beim Login an etwas Emotionales denken, denken sie häufiger an ihren Fußballklub als an Erotik. Rapid liegt vor „sex“, und Rapid liegt vor „austria“.

Wien.

Es gibt einen Ort, an dem Österreich ehrlicher ist als in jeder Umfrage. Er heißt Darknet, und dort liegen die Zugangsdaten von 2,9 Millionen Österreicherinnen und Österreichern zum Download bereit, gestohlen, gehandelt, weitergereicht. Die Wiener Daten-Forscher von Risikomonitor.com haben diese Sammlungen systematisch ausgewertet und dabei eine Frage gestellt, die noch niemand für ein ganzes Land beantwortet hat: Woran denken Menschen, wenn sie sich ein Passwort ausdenken und niemand zusieht? Die Antwort fällt für ein Land, das sich gern als Kulturnation sieht, bemerkenswert aus. Der Fußball gewinnt. Nicht knapp gegen die Gleichgültigkeit, sondern knapp gegen die Erotik.

Zuerst das Wichtigste: Was ist das Darknet überhaupt?

Das Darknet ist kein geheimer Ort und kein eigenes Internet. Es ist ein Teil des Netzes, der über einen normalen Browser wie Chrome oder Safari technisch nicht erreichbar ist. Zugang gibt es nur über spezielle Software, in aller Regel den Tor-Browser. Tor steht für „The Onion Router“ und beschreibt das Prinzip: Der Datenverkehr wird verschlüsselt und über mindestens drei zufällig gewählte, freiwillig betriebene Server geleitet, ähnlich den Schichten einer Zwiebel. Kein einzelner dieser Server kennt gleichzeitig Absender und Ziel. Genau das macht die Nutzer anonym.

Websites im Darknet enden nicht auf .at oder .com, sondern auf .onion und bestehen aus einer langen, unlesbaren Zeichenfolge. Sie stehen in keiner Suchmaschine, sie sind nicht verlinkt, man muss die Adresse kennen. Wer sie kennt, findet dort neben Kriminellem auch völlig Legales: verschlüsselte Briefkästen für Whistleblower, Spiegelseiten der BBC und der New York Times für Menschen in zensierten Ländern, anonyme Zugänge zu Facebook und DuckDuckGo.

Wichtige Abgrenzung: Das Darknet ist nicht dasselbe wie das „Deep Web“. Als Deep Web bezeichnet man schlicht alles, was hinter einem Login oder einer Bezahlschranke liegt und deshalb nicht in Suchmaschinen auftaucht, also auch Ihr Online-Banking und Ihr Firmen-Intranet. Das Darknet ist ein sehr kleiner, technisch anonymisierter Ausschnitt davon.

Wie groß ist das Darknet wirklich?

Hier lohnt sich Nüchternheit, denn kaum ein Thema wird so konsequent überdramatisiert. Die belastbaren Zahlen stammen vom Tor Project selbst, das seine Netzwerkdaten offen dokumentiert:

Übersetzt heißt das: Das Darknet ist winzig. Die überwiegende Mehrheit der Tor-Nutzer surft damit ganz normale Websites an, nur eben ohne Spuren zu hinterlassen. Die Bedeutung des Darknets ist nicht seine Größe, sondern seine Funktion. Es ist ein Marktplatz, auf dem gestohlene Daten dauerhaft und weitgehend risikofrei gehandelt werden. Die Analysefirma Chainalysis beziffert allein die Kryptowährungs-Zuflüsse an Darknet-Marktplätze für 2025 auf rund 2,6 Milliarden Dollar. Ein kleiner Raum also, in dem sehr viel Geld und sehr viele fremde Identitäten liegen.

Wie kommen österreichische Passwörter überhaupt dorthin?

Kaum jemand verliert sein Passwort durch einen persönlichen Angriff. Der Weg ins Darknet ist industriell und verläuft fast immer in denselben vier Schritten:

• Ein Onlinedienst wird kompromittiert. Ein Webshop, ein Forum, ein Reiseportal, ein Fitnessstudio. Die Kundendatenbank mit E-Mail-Adressen und Passwörtern wird kopiert.
• Die Datenbank wird gehandelt. Zuerst exklusiv und teuer in geschlossenen Foren, nach Monaten oder Jahren öffentlich und gratis. Kein Datensatz verschwindet je wieder.
• Infizierte Rechner liefern nach. Sogenannte Infostealer, also Schadsoftware auf privaten PCs, greifen Zugangsdaten direkt beim Eintippen oder aus dem Browser-Speicher ab. Diese Daten sind naturgemäß immer im Klartext lesbar.
• Alles wird zusammengeführt. Aus hunderten Einzelvorfällen entstehen aggregierte Sammlungen, in denen zu einer E-Mail-Adresse sämtliche je geleakten Passwörter dieser Person stehen. Genau diese Sammlungen sind der Rohstoff für Angriffe.

Dass Passwörter im Klartext lesbar sind, hat zwei Ursachen: Entweder hat der betroffene Dienst sie unverschlüsselt oder mit längst gebrochenen Verfahren gespeichert, oder sie wurden von einem Infostealer abgegriffen, bevor überhaupt eine Verschlüsselung greifen konnte. In beiden Fällen kann der Angreifer sie unmittelbar verwenden.

Woher die ausgewerteten Daten stammen

Grundlage sind öffentlich zugängliche Leak-Quellen mit Österreich-Bezug, also jene Sammlungen kompromittierter Zugangsdaten, die im Netz frei zirkulieren und im Untergrund weitergereicht werden. Aus diesem Bestand ließen sich knapp zwei Millionen Passwörter im Klartext lesen. Genau diese bilden die Basis der folgenden Auswertung.

Methodische Klarstellung: Die folgenden Cluster-Zahlen zählen distinkte österreichische Konten, deren Klartext-Passwort den genannten Begriff als Bestandteil enthält. Ein Mensch mit drei geleakten Passwörtern, in denen jeweils „rapid“ vorkommt, zählt als ein Konto. Es handelt sich um Substring-Treffer im Klartext und damit um eine konservative Untergrenze, weil verschlüsselt vorliegende Passwörter gar nicht mitgezählt werden. Aus allen Ranglisten ausgeschlossen sind maschinelle Artefakte, also Hash-Reste, technisch generierte Zugangs-Token und Default-Passwörter, die keine menschliche Wahl abbilden.

Der Befund: Der Fußball schlägt die Erotik

Zwei Motivgruppen wurden gegeneinander gestellt, beide gelten als die emotionalsten Anker, die ein Mensch beim Erfinden eines Passworts abrufen kann: der Lieblingsverein und die Sexualität.

Fußball-Cluster (distinkte AT-Konten)

Sex- und Erotik-Cluster (distinkte AT-Konten)

Damit steht es 1.500 zu 1.426. Der Fußballklub schlägt den Geschlechtsakt. Knapp, aber unzweifelhaft, und über eine Datenbasis von knapp zwei Millionen Passwörtern hinweg ist dieser Abstand kein Zufallsprodukt. Wer geglaubt hat, die Österreicher hätten beim Login nur eines im Kopf, irrt: Sie haben zwei Dinge im Kopf, und der Fußball kommt zuerst.

Das Derby im Passwort-Feld: Rapid schlägt sogar den Landesnamen

Hier wird es für jeden Anhänger pikant. Das ewige Wiener Derby zwischen SK Rapid und FK Austria Wien entscheidet sich auch beim Einloggen, und es entscheidet sich eindeutig: 1.500 Konten tragen „rapid“ im Passwort, nur 1.030 tragen „austria“.

Und das, obwohl „austria“ einen gewaltigen unfairen Vorteil genießt. Der Begriff ist nicht nur der Name des violetten Klubs, sondern zugleich der Name des ganzen Landes. Jeder Patriot, jede Stolz-Regung, jedes „I am from Austria“ fließt in diese 1.030 mit ein. Selbst mit diesem Rückenwind unterliegt „austria“ dem Klub aus Hütteldorf.

Man kann es auch so lesen: Der Name des eigenen Landes ist den Österreichern als Passwort-Motiv weniger wert als der Name ihres Lieblingsvereins. Nationalstolz endet, wo der Fußball beginnt. Sehr österreichisch.

O-Ton zur freien Verwendung

> „Als Austrianer muss ich zugeben: Wir haben das Ergebnis gefühlt hundert Mal kontrolliert. Leider ist hier Rapid stärker. Rapid-Fans kennen offenbar keine Grenzen in der Liebe zu ihrem Verein, als ständiger Begleiter bis hin zum Passwort. Hut ab vor der Hingabe. Dennoch die klare Empfehlung: einen Passwortmanager nutzen und sich davon komplexe Passwörter erzeugen lassen.“

Manuel Löw-Beer, Geschäftsführer Risikomonitor.com GmbH

Warum das mehr ist als eine Kuriosität

Ein Passwort, das aus einem Vereinsnamen besteht, ist nicht deshalb schlecht, weil es kurz wäre. Es ist deshalb schlecht, weil es vorhersehbar ist. Angreifer raten längst nicht mehr blind, sie arbeiten mit Wortlisten, und diese Wortlisten werden regional zugeschnitten. Wer weiß, dass in Österreich „rapid“ das dominante Motiv ist, verkleinert seinen Suchraum drastisch.

Dazu kommt das eigentliche Geschäftsmodell hinter den Darknet-Sammlungen, das Credential Stuffing: Angreifer spielen Milliarden geleakter Kombinationen aus E-Mail-Adresse und Passwort automatisiert gegen fremde Dienste. Dieser Angriff lebt ausschließlich davon, dass Menschen dasselbe Passwort mehrfach verwenden. Ein einziges vor Jahren geleaktes Vereins-Passwort öffnet so möglicherweise heute noch das Mailkonto, den Cloudspeicher oder den Firmenzugang.

Für Unternehmen folgt daraus eine konkrete Maßnahme: Passwort-Sperrlisten dürfen sich nicht auf die internationale Top-100 beschränken. Sie müssen kulturell zugeschnitten sein und die Vereinsnamen, Regionalbegriffe und Motive des eigenen Landes enthalten. Risikomonitor stellt eine solche österreichspezifische Sperrliste unter CC-BY-4.0 zur Nachnutzung bereit.

Vom Vereinsnamen zum Angriff: wie Passwörter heute gebrochen werden

Drei Verfahren prägen die Praxis. Sie sind historisch nacheinander entstanden und werden heute kombiniert eingesetzt.

Der dritte Punkt ist der eigentliche Bruch mit allem, was Nutzer über Passwörter gelernt haben. Angreifer raten nicht mehr blind, sie interpolieren menschliches Verhalten. Aus Millionen echter Passwörter aus früheren Leaks lässt sich ableiten, wie Menschen ein Passwort konstruieren: welches Wort sie wählen, wo sie die Ziffer anhängen, welchen Buchstaben sie großschreiben, welches Sonderzeichen am Ende steht. Wer diese Regelmäßigkeiten kennt, muss nicht Milliarden Varianten testen, sondern beginnt mit den wahrscheinlichsten. Genau dort wird die kulturelle Färbung gefährlich: Ein Modell, das gelernt hat, dass in Österreich der Lieblingsverein das dominante Motiv ist, setzt „rapid“ nicht an Position eine Million, sondern weit vorne.

Der Sprung von der Person zum Unternehmen

Besonders unterschätzt wird, was passiert, wenn nicht ein einzelnes Konto, sondern mehrere Konten derselben Firma in Leaks auftauchen. Dann wird nicht mehr ein Passwort sichtbar, sondern eine Struktur: die interne Konvention, die Vorgaben der Passwortrichtlinie, das typische Muster aus Firmenbezug, Jahreszahl und Zeichen am Ende. Aus wenigen bekannten Beispielen lässt sich mit erheblicher Trefferwahrscheinlichkeit ableiten, wie die Passwörter jener Kolleginnen und Kollegen aussehen, die nie geleakt wurden. Ein einziger unachtsam gesetzter privater Zugang wird so zum Modell für die ganze Belegschaft.

Daraus folgt eine unbequeme Konsequenz für Unternehmen: Eine Passwortrichtlinie, die alle Mitarbeiter zwingt, nach demselben Schema zu bauen, erzeugt keine Sicherheit, sondern Vorhersehbarkeit. Wirksam ist das Gegenteil, nämlich Passwörter, die kein Mensch mehr selbst erfindet.

Die Regeln, die tatsächlich schützen

• Trennen Sie Ihr Passwort namentlich von Ihrem Leben. Der Lieblingsverein, der eigene Vorname, die Namen von Partnerin oder Partner, Kindern, Eltern und Haustieren, dazu Geburtsdaten, Hochzeitstage und liebgewonnene Gewohnheiten haben im Passwort nichts verloren. Genau dort suchen Angreifer zuerst, weil genau dort Menschen zuerst hinlangen.
• Pro Dienst ein eigenes Passwort. Mail, Bank, Amazon und Netflix dürfen niemals dasselbe haben, sonst öffnet ein einziger Leak alles auf einmal.
• Länge schlägt Komplexität. Ein langes Passwort ist schwerer zu berechnen als ein kurzes mit vielen Sonderzeichen.
• Passwortmanager nutzen. Er erfindet die Passwörter, merkt sie sich und tippt sie ein, und niemand muss sie je wieder im Kopf behalten.
• Zwei-Faktor-Authentifizierung oder Passkeys aktivieren, wo immer möglich. Selbst ein geleaktes Passwort ist dann allein wertlos.

Gute Passwortmanager, die nichts kosten

Der häufigste Einwand gegen Passwortmanager lautet, sie kosten Geld. Das stimmt nicht. Für den privaten Gebrauch gibt es mehrere kostenlose Programme, die den Zweck vollständig erfüllen:

Wer keine Lust auf ein zusätzliches Programm hat, nimmt schlicht jenes, das im eigenen Handy oder Browser bereits eingebaut ist. Jeder dieser Wege ist besser als das Passwort, das man sich selbst ausdenkt und dann überall wiederverwendet.

Über die Auswertung

Die Analyse beruht auf öffentlich zugänglichen Leak-Quellen mit Österreich-Bezug und wertet knapp zwei Millionen im Klartext lesbare Passwörter aus. Maschinelle Artefakte, also Hash-Reste, technisch generierte Zugangs-Token und Default-Passwörter, sind ausgeschlossen. Cluster-Zahlen zählen distinkte Konten mit Substring-Treffer im Klartext und bilden eine konservative Untergrenze. Stichtag: 25. August 2026. Eine ausführliche Aufbereitung der Methodik erscheint gesondert.

Die Angaben zur Größe des Tor-Netzwerks stammen aus den offen dokumentierten Netzwerkdaten des Tor Project (Tor Metrics), die Angabe zu den Zuflüssen an Darknet-Marktplätze aus dem Crypto Crime Report 2026 von Chainalysis.

Über Risikomonitor.com

Die Risikomonitor.com GmbH mit Sitz in Wien analysiert Darknet- und Leak-Daten für Unternehmen, Behörden und Kanzleien und unterstützt bei Background-Checks sowie bei NIS2- und DSGVO-Compliance.

Pressekontakt

Manuel Löw-Beer, MBA MPA, Geschäftsführer · Risikomonitor.com GmbH · Wien · [email protected]

Wie exponiert ist Ihr Unternehmen?

Wir prüfen, welche Ihrer Firmen-Zugangsdaten bereits im Darknet stehen. [Jetzt Kontakt aufnehmen](/kontakt) – oder direkt starten mit dem kostenlosen [Darknet-E-Mail-Check](/tools/darknet-email-check) und laufender Überwachung via [Darknet-Monitoring](/darknet-monitoring).