Das BACS hat Ende April einen Wochenrückblick dem Thema Passwort-Wiederverwendung gewidmet. Die Botschaft: Wer dasselbe Passwort bei mehreren Diensten nutzt, riskiert, dass ein einziger Datendiebstahl alle Konten kompromittiert. Klingt nach einer Binsenweisheit, oder? Ist es aber offenbar nicht – wenn man sich die Zahlen anschaut, wird einem etwas mulmig.
Credential Stuffing – so heisst der automatisierte Missbrauch gestohlener Zugangsdaten – ist kein Randphänomen. Es ist eine der häufigsten Bedrohungen für Unternehmen jeder Grösse. Und eine, die erstaunlich viele unterschätzen.
Die Dimension des Problems
193 Milliarden. So viele Credential-Stuffing-Versuche hat Akamai im vergangenen Jahr weltweit registriert. Das sind keine gezielten Angriffe von irgendwelchen Hackern, die nachts vor dem Bildschirm sitzen und Passwörter raten. Das sind vollautomatisierte Skripte, die gestohlene Benutzername-Passwort-Kombinationen gegen tausende Websites testen. Rund um die Uhr. Sieben Tage die Woche.
Woher kommen die Daten? Über 24 Milliarden gestohlene Zugangsdatensätze kursieren derzeit im Darknet. Jeder grössere Datenleak der letzten zehn Jahre hat dazu beigetragen – LinkedIn, Adobe, Dropbox, Yahoo, und dutzende weitere. Und das Unangenehme daran: Diese Daten verschwinden nicht. Sie werden gehandelt, zusammengeführt, angereichert und in Angriffswerkzeuge geladen.
Verizon beziffert den Anteil von Credential Stuffing an allen Datenpannen auf 22 Prozent. Fast jeder vierte Breach beginnt also damit, dass jemand ein Passwort wiederverwendet hat. Laut IBM kostet ein solcher Vorfall durchschnittlich 4,67 Millionen Dollar. Das ist eine teure Gewohnheit.
Warum das Passwort-Problem nicht verschwindet
Hand aufs Herz: Die meisten Menschen wissen, dass sie Passwörter nicht wiederverwenden sollten. Sie tun es trotzdem. Studien zeigen, dass über 60 Prozent der Nutzer mindestens ein Passwort bei mehreren Diensten einsetzen. Bei Privatpersonen ist die Quote sogar noch höher.
Aber kann man es ihnen verübeln? Ein durchschnittlicher Berufstätiger verwaltet über 100 Online-Konten. Für jedes ein einzigartiges, starkes Passwort zu haben und sich daran zu erinnern – ohne technische Hilfsmittel ist das schlicht unrealistisch. Und genau da liegt das eigentliche Problem. Nicht das Wissen fehlt. Die Werkzeuge und Prozesse fehlen.
Was Credential Stuffing für KMU bedeutet
Ein konkretes Szenario, das wir bei Kunden leider regelmässig sehen: Ein Mitarbeiter nutzt sein privates E-Mail-Passwort auch für den Firmenzugang. Sein privater E-Mail-Anbieter wird gehackt. Innerhalb von Stunden sind seine Zugangsdaten in einer Datenbank, die Angreifer gegen Unternehmenslogins testen. VPN, Microsoft 365, CRM-System – alles, was denselben Benutzernamen und dasselbe Passwort verwendet, ist kompromittiert. So schnell geht das.
Für grosse Unternehmen mit dedizierten Security-Teams und Identity-Management-Systemen ist das beherrschbar. Aber für ein KMU mit 30 Mitarbeitenden, wo der IT-Verantwortliche gleichzeitig die Buchhaltung macht? Da wird es eng. Es gibt kein SIEM, das ungewöhnliche Logins erkennt. Es gibt oft nicht einmal eine einheitliche Passwort-Richtlinie.
Drei Massnahmen mit sofortiger Wirkung
Erstens – und das ist die wichtigste: Ein Passwort-Manager für alle Mitarbeitenden. Bitwarden, 1Password, KeePass – welches Tool ist ehrlich gesagt zweitrangig. Entscheidend ist, dass es verbindlich eingeführt wird. Nicht als nettes Angebot, sondern als Pflicht. Die Kosten? Wenige Franken pro Mitarbeiter und Monat. Die Alternative kostet im Ernstfall ein Vielfaches.
Zweitens: Multi-Faktor-Authentifizierung (MFA) auf allem, was es unterstützt. Microsoft 365, VPN, Banking, Cloud-Dienste. MFA macht gestohlene Passwörter weitgehend wertlos. Nicht komplett – es gibt Umgehungsmethoden, und die werden auch genutzt – aber es hebt die Hürde für Angreifer drastisch an. Die Einrichtung dauert pro Dienst wenige Minuten. Wenige Minuten für deutlich mehr Sicherheit.
Drittens: Prüfen Sie, ob Ihre Unternehmens-E-Mail-Adressen bereits in bekannten Datenlecks auftauchen. Have I Been Pwned ist kostenlos und gibt sofort Aufschluss. Wer dort auftaucht, sollte alle betroffenen Passwörter sofort ändern – und diesmal ein einzigartiges verwenden.
Das strukturelle Problem dahinter
Passwort-Wiederverwendung ist im Kern kein Nutzerproblem – es ist ein Organisationsproblem. Solange ein Unternehmen keine Passwort-Manager bereitstellt, keine MFA vorschreibt und keine regelmässige Überprüfung durchführt, wird Passwort-Recycling die Norm bleiben. Den Mitarbeitenden die Schuld zu geben, ist bequem. Aber es löst nichts.
Die BACS-Warnung ist berechtigt. Aber Warnungen allein nützen wenig – sie müssen in konkrete Massnahmen übersetzt werden. Die gute Nachricht: Die drei genannten Massnahmen kosten zusammen weniger als ein halber Beratertag. Sie schliessen aber einen Angriffsvektor, der für fast ein Viertel aller Datenpannen verantwortlich ist. Das ist ein ziemlich guter Deal.
Wir helfen KMU bei der Einführung von Passwort-Management und MFA – inklusive Mitarbeiterschulung, damit es auch wirklich im Alltag funktioniert. Und in unseren Penetration Tests prüfen wir standardmässig, ob Credential Stuffing gegen Ihre Systeme funktionieren würde. Melden Sie sich, wenn Sie wissen möchten, wo Sie stehen.
Quellen und weiterführende Informationen: BACS Wochenrückblick KW 16, Verizon Data Breach Investigations Report 2025, Have I Been Pwned, Akamai State of the Internet Report