Die Datenpakete aus großen Datenbank-Hacks landen am Ende immer im Darknet. Danach greifen Sicherheitsforscher die Daten auf und katalogisieren die Zugangsdaten in Forschungsdatenbanken. „Eine der bekanntesten Breach-Datenbanken und öffentliche Ressource ist der Service von „Have I Been Pwned“. Derzeit sind dort Zugangsdaten von 17,5 Milliarden kompromittierten Konten aus 972 Databreach-Quellen vereint. Nutzer können mit Hilfe ihrer E-Mail-Adresse kostenlos abfragen, ob sie in der Datenbank auftauchen und bei welchem Breach das war. Das Passwort wird natürlich nicht genannt, nur der Hinweis, ob es ebenfalls bekannt ist“, so Erik Heyland, Head of Testing Labs bei AV-TEST.

Passwörter wechseln ist meist sinnlos

In der Vergangenheit rieten Experten dazu, vergebene Passwörter immer wieder zu ändern. Aber das ist angesichts vielfältiger Angriffstechniken und Malware wie Infostealer keine sichere Lösung. Denn Cyberangreifer versuchen, sich permanent mit neuen Zugängen zu versorgen. Eine gute Schutz-Software kann das erfolgreich verhindern, wie etwa die regelmäßigen ATP-Test von AV-TEST belegen. Dass es noch viele andere Wege gibt, wie Bedrohungen auf Ihrem Gerät landen, zeigt ein schneller Blick auf das Echtzeit-Portal AV-ATLAS: Phishing, Betrug-E-Mails, Downloads, verseuchte Anhänge und vieles mehr.

Die besseren Lösungswege zum Schutz von Accounts und Passwörtern sind Zwei-Faktor-Authentifizierung (2FA), Multi-Faktor-Authentifizierung (MFA), Passkeys und biometrische Schutzmaßnahmen. Ein Beispiel für Endanwender: Wird bei einem Zugang zu einem Shopping-Anbieter nur eine E-Mail-Adresse und ein einfaches Passwort genutzt, wäre dieser Account leicht zu knacken. Wird aber 2FA verwendet, ist der Zugang durch die zusätzliche Eingabe eines SMS-Codes, eines Passkeys oder durch Gesichtserkennung geschützt. Ohne diesen zweiten Faktor, auf den Cyberangreifer keinen Zugriff haben, sind E-Mail und Passwort nichts wert.