Home / Blog / News / [Neue Analyse] Schützen längere Passwörter besser vor Cyberangriffen?

[Neue Analyse] Schützen längere Passwörter besser vor Cyberangriffen?

Die Specops-Datenbank zum Schutz vor kompromittierten Passwörtern umfasst jetzt über 5 Milliarden eindeutige kompromittierte Passwörter

We’re sharing some new findings from the Specops research team about password length and how it can still be circumvented by attackers. These findings coincide with the latest addition of 10.2 million passwords to the Specops Breached Password Protection service, which now tops over 5 billion unique compromised passwords.

According to Verizon, 86% of initial attack access is gained through stolen credentials. One way to strengthen the passwords within an organization is to make them longer, which means they’re harder to guess and crack through brute force and hybrid dictionary attacks. But increased length doesn’t protect from other risks, such as phishing and password reuse.

„Längere Passwörter sind besser“, sagte Darren James, Senior Product Manager bei Specops Software. „Und ich glaube nicht, dass das für die meisten IT-Teams neu ist. Es ist jedoch wichtig zu verstehen, dass die Ausstattung der Benutzer mit starken, langen Passwörtern keine narrensichere Methode ist, um kompromittierte Anmeldedaten zu vermeiden. Angreifer können immer noch Workarounds finden – und das Benutzerverhalten kann eine gute Passwortrichtlinie zunichte machen.“

Methodik

We wanted to know the most common length of a compromised password, and how many longer passwords were being breached. To find out, the Specops research team analyzed the lengths of over 800 million compromised passwords (a subset of our larger Breached Password Protection list of over 5 billion unique compromised passwords). For the purpose of this research, we considered a password over 12 characters to be long.

Längen kompromittierter Passwörter: die Ergebnisse

In absteigender Reihenfolge sind dies die acht häufigsten Längen für kompromittierte Passwörter. Wie erwartet steht 8 Zeichen (genau 212,5 Millionen kompromittierte Passwörter waren 8 Zeichen lang) an der Spitze – wahrscheinlich, weil dies die Standardpasswortlänge in Active Directory ist. Sie können auch sehen, dass mit zunehmender Zeichenlänge die Gesamtmenge der kompromittierten Passwörter abnimmt. Dies bedeutet jedoch nicht, dass wir von kleinen Zahlen sprechen.

1. 8
2. 10
3. 9
4. 11
5. 12
6. 13
7. 14
8. 15

Die folgende Tabelle zeigt, wie viele kompromittierte Passwörter wir über fünf gegebenen Längen gefunden haben. Wenn wir 12 und mehr als ein „längeres Passwort“ zählen, wurden 121,5 Millionen kompromittierte Passwörter als lang befunden. Wie Sie sehen können, nimmt die Anzahl der kompromittierten Passwörter mit zunehmender Zeichenlänge ab, aber es gibt immer noch 31,1 Millionen kompromittierte Passwörter mit einer Länge von über 16 Zeichen.

Dies zeigt, dass längere Passwörter Sie nicht vor Angriffen schützen. Selbst wenn die Gesamtzahlen im Vergleich zu 8-Zeichen-Passwörtern kleiner sind, stellen diese Zahlen immer noch zig Millionen Möglichkeiten für Angreifer dar, Organisationen mit längeren Passwörtern zu kompromittieren.

Tatsächliche kompromittierte Passwörter

Nachfolgend sind die drei häufigsten kompromittierten Passwörter für jede der von uns analysierten Zeichenlängen zwischen 8 und 15 aufgeführt. Es gibt einige interessante Dinge zu untersuchen, insbesondere an beiden Enden der Tabelle. Es ist keine Überraschung, „Passwort“ als das am häufigsten kompromittierte 8-Zeichen-Passwort zu sehen.

Der Ausdruck „neuer Mitarbeiter“ erscheint in den zweit- und dritthäufigsten kompromittierten 15-Zeichen-Passwörtern, was hervorhebt, dass IT-Administratoren vorhersehbare, wiederholbare Passwortmuster beim Onboarding neuer Benutzer vermeiden sollten. Es könnte auch darauf hindeuten, dass diese neuen Benutzer nicht gezwungen wurden, ihr Passwort zu ändern, und die von der IT bereitgestellten Standardpasswörter seit einiger Zeit verwenden.

Sollten wir weiterhin längere Passwörter erstellen?

Kurz gesagt, ja. Unsere Daten zeigen, dass im Durchschnitt 85 % der kompromittierten Passwörter weniger als 12 Zeichen lang sind. Wie in der folgenden Tabelle gezeigt, ist es viel schwieriger, ein längeres Passwort zu knacken. Wie die zweite Tabelle jedoch hervorhebt, sollte die Erhöhung der Passwortlänge allein Organisationen kein falsches Sicherheitsgefühl geben, da dies nur ein Teil des Passwortsicherheitskampfes ist.

Es ist wichtig, sich daran zu erinnern, dass lange Passwörter immer noch durch Phishing und andere Formen des Social Engineering kompromittiert werden können. Das größere Risiko besteht jedoch darin, dass Angreifer eine Datenbank mit Passwörtern von einer weniger sicheren Website oder SaaS-Anwendung in die Hände bekommen. Nehmen wir zum Beispiel an, ein Hacker dringt in einen Online-Shop ein und erhält eine ganze Datenbank mit Passwörtern. Selbst wenn die Passwörter gehasht sind, hat der Angreifer alle Zeit der Welt, um zu versuchen, sie zu knacken und dann herauszufinden, wer diese Leute sind und wo sie arbeiten. Wenn eines dieser Passwörter bei der Arbeit wiederverwendet wurde, ist dies ein einfacher Weg in die Organisation des Mitarbeiters.

Aus diesem Grund kann die Wiederverwendung von Passwörtern eine große Achillesferse einer ansonsten starken Passwortrichtlinie sein. Eine Organisation kann Endbenutzer zwingen, längere, starke Passwörter bei der Arbeit zu verwenden, aber es gibt nichts, was die Leute daran hindert, diese Passwörter in persönlichen Anwendungen und Geräten mit schwacher Sicherheit oder in unsicheren Netzwerken wiederzuverwenden.

Thanks to the explosion in SaaS, the average knowledge worker has to remember passwords for more than 25 sites or apps. LastPass data shows more than 60% of knowledge workers use the same passwords or slight variations – with Bitwarden estimating this to be even higher at 84%. Organizations who have gone down the ‘never expire’ route are even more at risk of passwords becoming compromised without their knowledge.

Dies bedeutet Organisationen benötigen eine zusätzliche Sicherheitsebene zusätzlich zu einer starken Passwortrichtlinie – sie benötigen eine Möglichkeit, zu überprüfen, ob eines ihrer bestehenden Passwörter kompromittiert wurde. Die meisten Lösungen, einschließlich Azure AD (Entra ID), tun dies jedoch nur bei einer Passwortänderung oder einem Reset-Ereignis, was eine lange Wartezeit bedeuten könnte, bevor eine Kompromittierung entdeckt wird.

Wie können wir die Wiederverwendung von Passwörtern und kompromittierte Anmeldedaten mindern?

Download our free tool Specops Password Auditor for a quick health check of your Active Directory against a condensed list of over 950 million compromised passwords – including those discussed in this article and 4.4 million added today. It’ll give you a read-only scan and report on how many of your passwords are weak or have already been compromised.

Auditing offers is a valuable first step for finding out your password-related vulnerabilities, but true protection comes from automated and ongoing checking and remediation. With Specops Password Policy and Breached Password Protection, your Active Directory will be scanned against a list of over 5 billion unique compromised passwords – including ones being used in attacks on honeypot accounts today. Our research team’s attack monitoring data collection systems update the API daily, ensuring you stay protected against newly discovered compromised passwords.

Tägliche Scans gepaart mit intelligenteren und umfassenderen Daten zu kompromittierten Passwörtern

Specops Password Policy mit Breached Password Protection kann Ihrer Organisation jetzt noch mehr Schutz vor der ständigen Bedrohung durch Angriffe bieten. Unsere neue kontinuierliche Scanfunktion überprüft alle Active Directory-Passwörter einmal täglich anhand der Breached Password Protection API auf Kompromittierungen, im Gegensatz zu anderen Lösungen auf dem Markt, bei denen Überprüfungen nur während Resets oder Abläufen durchgeführt werden.

Die tägliche Aktualisierung der Breached Password Protection API, gepaart mit kontinuierlichen Scans auf die Verwendung dieser Passwörter in Ihrem Netzwerk, ergibt eine viel umfassendere Verteidigung gegen die Bedrohung durch Passwortangriffe und das Risiko der Passwortwiederverwendung. Alle kompromittierten Passwörter werden in Active Directory blockiert und Endbenutzer, die sie verwenden, werden mit einer anpassbaren SMS oder E-Mail benachrichtigt, sodass es keine zusätzliche Belastung für den Service Desk gibt.

Interested in seeing how this might work for your organization? Have questions on how you could adapt this for your needs? Contact us or see how it works with a demo or free trial.

Zuletzt aktualisiert am 09/11/2026