800 Mio. Anmeldeinformationen analysiert: Welche kompromittierten Feiertagspasswörter haben es auf die Negativliste geschafft?

Mit der schnell näher rückenden Feiertagssaison wollten wir herausfinden, wie viele Menschen diese Zeit des Jahres bereits als Inspiration für Passwörter genutzt haben, die später kompromittiert wurden. Wir haben 800 Millionen geleakte Passwörter analysiert – und die Zahlen sprechen eine deutliche Sprache: Hunderttausende Endnutzer haben sich für einprägsame, festliche Passwörter entschieden, die letztlich in Datenlecks gelandet sind.

Diese Untersuchung zeigt, wie saisonales Denken Sicherheitsblindstellen schafft. Im Folgenden erläutern wir, was wir herausgefunden haben, warum Feiertagspasswörter so verbreitet sind und was IT-Teams dagegen tun können – ohne gleich zum Grinch zu werden. Die Ergebnisse fallen zusammen mit der neuesten Erweiterung unserer Specops Breached Password Protection Datenbank von über 203 Millionen kompromittierten Passwörtern. Diese Passwörter stammen aus einer Kombination unseres Honeypot-Netzwerks und verschiedener Threat-Intelligence-Quellen.

Was 800 Millionen Passwörter über Feiertagssicherheit verraten

Wir fanden rund 750.000 Instanzen von feiertagsbezogenen Passwörtern in unserem Datensatz mit 800 Millionen Einträgen. Darunter waren auch häufige Zeichenersetzungen und Variationen wie „Chr1stm@s“ oder „S@nt@“. Die Daten bestätigen, was IT-Teams längst vermuten: Nutzer neigen zu einprägsamen Passwörtern – und nichts ist einprägsamer als die Feiertage. Leider bedeutet „einprägsam“ für Nutzer meist „vorhersehbar“ für Angreifer.

Schlummern kompromittierte Kennwörter in Ihrem Active Directory?

Endnutzer sind nicht faul – sie sind überfordert. Im Durchschnitt besitzt eine Person Zugangsdaten für 168 Konten. Wenn es Zeit für ein Passwort-Update ist (vor allem nach erzwungenen Zurücksetzungen), greifen sie zu etwas, das sie sich merken können. Und was bleibt besser im Gedächtnis als die aktuelle Feiertagssaison? Interessant ist dabei, dass diese geleakten Passwörter wahrscheinlich im 4. Quartal 2024 oder früher erstellt wurden. Wer also 2025 erneut nach dem gleichen Muster verfährt, wählt womöglich ein Passwort, das bereits in Credential-Stuffing-Angriffen verwendet wird.

Die beliebtesten Feiertagspasswörter

• „Snow“ dominierte den Datensatz mit 211.207 Treffern – vermutlich, weil es ein kurzes, einfaches Wort ist, das Nutzer leicht mit Jahreszahlen oder anderen Elementen kombinieren, um Richtlinien zu erfüllen.
• „Noel“, das französische Wort für Weihnachten, folgt mit 101.277 Vorkommen (wobei das Wort auch als Name oder Namensbestandteil interpretiert werden kann).
• „Santa“ landet mit 95.222 Vorkommen auf Platz drei.
• „Winter“ tauchte 66.643 Mal auf.
• „Yule“ erreichte 34.435 – erstaunlich hoch für einen eher seltenen Begriff.
• „Xmas“ und „Christmas“ kamen zusammen auf rund 35.000 Vorkommen.
• „November“ erschien 30.989 Mal und „December“ 26.849 Mal. Monatlich inspirierte Passwörter häufen sich während der Jahresend-Zyklen von Passwortzurücksetzungen – ein vorhersehbares Muster, das Angreifer gezielt ausnutzen.

Warum diese Passwörter ein Risiko darstellen

Moderne Passwort-Cracking-Tools enthalten Wörterbücher mit Hunderttausenden gängigen Begriffen – inklusive aller Feiertagsthemen, die wir gefunden haben. Diese Tools testen automatisch Millionen von Kombinationen pro Sekunde, indem sie Zahlen anhängen, Buchstaben durch Symbole ersetzen, den ersten Buchstaben großschreiben oder Jahreszahlen hinzufügen.

Ein Passwort wie „Chr1stm@s!“ mag für den Endnutzer sicher wirken, da es Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen enthält – und möglicherweise alle Anforderungen der Organisation erfüllt. Doch da es auf einem gängigen Wörterbuchbegriff basiert, ist es anfällig. Angreifer können es schnell knacken, weil ihre Tools genau wissen, dass „1“ oft „i“ ersetzt und „@“ für „a“ steht. Im Vergleich dazu ist eine 20+ Zeichen lange Passphrase, bestehend aus drei völlig zufälligen Wörtern, deutlich robuster. Selbst mit moderner Rechenleistung dauert das Durchprobieren solcher Kombinationen exponentiell länger. Die Mathematik ist einfach: mehr mögliche Kombinationen = mehr Zeitaufwand = bessere Sicherheit.

Die Wiederverwendung von Passwörtern verstärkt das Risiko zusätzlich – ein Leak bei einem fremden Dienst kann plötzlich das Active-Directory-Passwort eines Endnutzers gefährden. Auch der Zeitpunkt spielt eine Rolle: Feiertagspasswörter tauchen häufig im 4. Quartal und im Januar während erzwungener Passwortresets auf. Angreifer wissen das und passen ihre Strategien entsprechend an, um in diesen vorhersehbaren Zeitfenstern gezielte Kampagnen zu starten.

Schwache und kompromittierte Passwörter im Netzwerk finden

Das aktuelle Update des Breached Password Protection-Dienstes umfasst knapp 4,7 Millionen neue kompromittierte Passwörter, die nun auch in Specops Password Auditor verfügbar sind. Diese Liste enthält ebenfalls die 800 Millionen Passwörter aus dieser Studie. Mit einem schreibgeschützten Scan Ihres Active Directory über den Specops Password Auditor können Sie feststellen, wie viele Passwörter Ihrer Endnutzer kompromittiert oder identisch sind. Sie erhalten einen kostenlosen, anpassbaren Bericht über passwortbezogene Schwachstellen – einschließlich schwacher Richtlinien, kompromittierter Kennwörter und inaktiver Konten.
 Laden Sie Ihr kostenloses Auditing-Tool hier herunter.

Schwache und kompromittierte Passwörter kontinuierlich blockieren

Specops Password Auditor ist ein hervorragender Ausgangspunkt, um aktuelle Passwortrisiken zu bewerten – doch er zeigt nur eine Momentaufnahme. Mit Specops Password Policy und Breached Password Protection können Organisationen sich fortlaufend gegen über 4 Milliarden bekannte, einzigartige kompromittierte Passwörter schützen.

Die Angriffsdaten unserer Forschungsteams werden täglich aktualisiert, um sicherzustellen, dass Netzwerke vor realen Passwortangriffen geschützt sind, die gerade stattfinden. Dazu gehören auch Passwörter aus Leaks im Dark Web und anderen Quellen. Breached Password Protection überwacht Ihr Active Directory kontinuierlich auf kompromittierte Passwörter und ermöglicht es Ihnen, Endnutzer durch anpassbare Benachrichtigungen zu warnen – was gleichzeitig die Anzahl der Helpdesk-Anrufe reduziert.

Interessiert, wie das in Ihrer Organisation funktionieren könnte? Haben Sie Fragen zur Anpassung an Ihre Umgebung? Kontaktieren Sie uns oder sehen Sie sich eine Demo oder kostenlose Testversion an.