Die Sicherheitsexperten von Kaspersky haben in einer Studie herausgefunden, dass sich dank steigender Rechenleistung von Computern ein großer Prozentsatz von Passwörtern (59 Prozent) in weniger als einer Stunde knacken lässt.

Passwörter, die vor ein paar Jahren noch unmöglich zu erraten waren, könnten im Jahr 2024 von Angreifern innerhalb weniger Sekunden geknackt werden, berichten die Forscher. Der RTX 4090-Grafikprozessor von Nvidia sei etwa in der Lage, ein achtstelliges Passwort, das aus gleich großen englischen Buchstaben und Ziffern oder 36 kombinierbaren Zeichen besteht, in nur 17 Sekunden zu erraten, heißt es weiter.

Für die Studie hat Kaspersky 193 Millionen Passwörter untersucht, die auf verschiedenen Dark-Web-Seiten frei zugänglich waren, teilt der Sicherheitsexperte mit.

Die Brute-Force-Methode, die Kaspersky angewandt hat, sei nach wie vor eine der einfachsten und unkompliziertesten: Der Computer probiert alle möglichen Kennwortoptionen aus, bis eines funktioniert. Längere Passwörter lassen sich damit deutlich schlechter erraten als kürzere.

Die Zeit, die benötigt werde, um ein Kennwort mit der Brute-Force-Methode zu knacken, hänge von der Länge und der Anzahl der Zeichentypen ab. Die Ergebnisse seien für die RTX 4090 GPU und den MD5-Hashing-Algorithmus mit einem Salt berechnet worden. Die Geschwindigkeit der Aufzählung habe in dieser Konfiguration bei 164 Milliarden Hashes pro Sekunde gelegen.

Die beliebteste Art von Passwörtern (28 Prozent) umfasse Klein- und Großbuchstaben, Sonderzeichen und Ziffern. Die meisten dieser Passwörter in der untersuchten Stichprobe seien nur schwer zu knacken gewesen. Etwa 5 Prozent können innerhalb eines Tages erraten werden, aber bei 85 Prozent dieser Art von Passwörtern dauere es mehr als ein Jahr, bis sie geknackt sind. Die Knackzeit hänge von der Länge des Kennworts ab: Ein Kennwort mit neun Zeichen kann innerhalb eines Jahres erraten werden, ein Kennwort mit 10 Zeichen jedoch erst nach mehr als einem Jahr, berichtet Kaspersky.

Am wenigsten widerstandsfähig gegen Brute-Force-Angriffe seien Passwörter, die nur aus Buchstaben, nur aus Ziffern oder nur aus Sonderzeichen bestehen. Die Stichprobe enthielt 14 Prozent dieser Zeichen. Die meisten von ihnen können innerhalb von weniger als einem Tag geknackt werden. Starke Passwörter, die nur aus Buchstaben bestehen, beginnen bei 11 Zeichen, teilt Kaspersky mit.

Ergebnisse der Untersuchung nebst Hinweisen zur Methode sind online zu finden.