Cloudflare-Studie: Fast jeder zweite Login erfolgt mit gestohlenen Passwörtern

Dass schwache und mehrfach genutzte Passwörter ein Problem sind, ist bekannt. Doch eine neue Analyse von Cloudflare zeigt jetzt, wie gravierend die Lage wirklich ist: Ganze 41 Prozent aller erfolgreichen Logins im Web basieren auf kompromittierten Zugangsdaten.

Alarmierende Zahlen aus dem Netz

Zwischen September und November 2024 hat Cloudflare den Datenverkehr von rund 30 Millionen Websites ausgewertet - das entspricht etwa 20 Prozent des gesamten Webs. Im Fokus: die Prüfung, ob bei Login-Versuchen bekannte, in Datenlecks veröffentlichte Passwörter verwendet wurden. Cloudflare nutzt dafür ein Verfahren, das Passwörter in Hashes verwandelt, um sie datenschutzfreundlich mit Datenbanken abzugleichen.

Das Ergebnis: Fast jeder zweite erfolgreiche Login stützt sich auf ein gestohlenes Passwort.

Passwort-Recycling: Ein riskantes Spiel

Ein weiteres Problem ist das Verhalten der Nutzer. Laut einer Studie von Forbes verwenden viele Menschen dasselbe Passwort durchschnittlich für vier verschiedene Dienste. Und selbst nach Datenlecks ändern viele ihre Passwörter entweder gar nicht oder nur minimal.

Besonders erschreckend: 95 Prozent aller Loginversuche mit kompromittierten Passwörtern stammen von Bots. Diese Programme testen automatisiert tausende Login-Kombinationen in Sekundenschnelle - ein Klassiker unter den Brute-Force-Angriffen.

WordPress-Seiten besonders im Visier

Webseiten, die auf WordPress laufen, sind laut der Analyse ein bevorzugtes Ziel. Hier sind 76 Prozent der Loginversuche mit gestohlenen Passwörtern tatsächlich erfolgreich. Fast die Hälfte dieser Angriffe läuft automatisiert über Bots.

Erschreckend ist auch, dass nur 5 Prozent der Versuche mit kompromittierten Passwörtern tatsächlich abgewehrt werden.

Was hilft gegen das Passwort-Chaos?

Sicherheitsexperten raten dringend:

• Nutze für jeden Dienst ein einzigartiges und starkes Passwort.
• Aktiviere Zwei-Faktor-Authentifizierung (2FA), wo immer es möglich ist.
• Prüfe Alternativen wie Passkeys, die langfristig als sicherer gelten und Phishing-Angriffe besser abwehren können.

Website-Betreiber sollten zudem auf Bot-Management, Rate-Limiting und Tools zur Erkennung kompromittierter Zugangsdaten setzen. Auch regelmäßige Sicherheitstests und Schulungen für Nutzer bleiben wichtige Maßnahmen.