Cyberattacken: Passwort-Diebstahl erreicht Rekordniveau

Ein dramatischer Anstieg identitätsbasierter Cyberangriffe bedroht Unternehmen und Privatpersonen weltweit. Kriminelle umgehen zunehmend traditionelle Passwort-Schutzmaßnahmen und verschaffen sich unbefugten Zugang zu sensiblen Systemen. Aktuelle Berichte führender Cybersicherheitsfirmen zeigen einen deutlichen Anstieg credential-fokussierter Attacken – die Einführung von Multi-Faktor-Authentifizierung wird damit kritischer denn je.

Microsofts neuester Digital Defense Report enthüllt einen erschreckenden 32-prozentigen Anstieg identitätsbasierter Angriffe allein im ersten Halbjahr 2025. Der Bericht unterstreicht: Überwältigende 97 Prozent dieser Attacken sind Passwort-Angriffe, bei denen Cyberkriminelle gestohlene Zugangsdaten nutzen, um sich einfach einzuloggen – anstatt sich ins Netzwerk zu hacken.

“Die Angreifer brechen nicht ein; sie loggen sich ein”, erklärt Amy Hogan-Burney, Corporate Vice President bei Microsoft. Diese Aussage verdeutlicht den grundlegenden Wandel in der Angreifer-Methodik.

Dunkles Web als Quelle für Millionen gestohlener Passwörter

Der rasante Anstieg des Credential-Missbrauchs wird durch die massenhafte Verfügbarkeit gestohlener Benutzernamen und Passwörter im Darknet befeuert. Diese stammen häufig aus früheren Datenlecks. Cyberkriminelle setzen automatisierte Techniken wie Credential Stuffing und Password Spraying in großem Maßstab ein – sie nutzen dabei die weit verbreitete Angewohnheit der Passwort-Wiederverwendung bei verschiedenen Online-Diensten aus.

Die Natur der Passwort-Angriffe hat sich entwickelt und wird sophistizierter sowie schwerer erkennbar. Während traditionelle Brute-Force-Attacken das Erraten von Passwörtern für einzelne Konten umfassten, sind moderne Methoden deutlich heimtückischer.

Password Spraying funktioniert nach der “Low-and-Slow”-Taktik: Angreifer testen wenige häufige Passwörter gegen große Listen von Benutzerkonten. Dieser Ansatz vermeidet Konto-Sperrungen, die normalerweise nach mehreren fehlgeschlagenen Login-Versuchen bei einem einzelnen Konto ausgelöst werden.

Bei Credential Stuffing verwenden automatisierte Bots riesige Listen gestohlener Benutzername-Passwort-Kombinationen aus vergangenen Datenlecks und testen diese systematisch auf verschiedenen Websites. Eine aktuelle Studie zeigt: 94 Prozent der Passwörter werden bei mehreren Konten wiederverwendet – das macht diese Methode für Angreifer hocheffektiv.

Infostealer-Malware: Die stille Gefahr

Zusätzlich verzeichnen Experten einen Anstieg bei Infostealer-Malware. Diese sammelt heimlich Zugangsdaten und andere sensible Informationen von infizierten Geräten. Die gestohlenen Daten werden anschließend oft in Cybercrime-Foren verkauft und liefern kontinuierlich Munition für weitere Angriffe.

Diese entwickelten Taktiken zeigen bereits erhebliche Auswirkungen in der Realität. Der Annual Cyber Threat Report des Australian Signals Directorate für 2024-25 unterstrich die anhaltende Bedrohung: Über 84.700 Cybercrime-Berichte gingen ein – durchschnittlich einer alle sechs Minuten. Für kleine Unternehmen stiegen die selbst gemeldeten Kosten pro Cybercrime um 14 Prozent auf umgerechnet 51.000 Euro.

Multi-Faktor-Authentifizierung: Der entscheidende Schutzschild

In diesem verschärften Bedrohungsumfeld sind sich Cybersicherheits-Experten einig: Multi-Faktor-Authentifizierung ist die effektivste Verteidigung. MFA fügt eine entscheidende zweite Sicherheitsebene hinzu und verlangt von Nutzern zwei oder mehr Verifizierungsfaktoren für den Kontozugang.

Selbst wenn Cyberkriminelle über korrekte Benutzernamen und Passwörter verfügen, werden sie ohne den zweiten Faktor gestoppt – etwa einen Code aus einer Authenticator-App, einen Fingerabdruck oder einen physischen Sicherheitsschlüssel.

Microsoft zufolge kann MFA über 99,9 Prozent aller Konto-Kompromittierungsangriffe blockieren. Trotz dieser bewiesenen Wirksamkeit bleiben die Adoptionsraten, besonders bei kleineren Unternehmen, alarmierend niedrig.
Anzeige: Passend zum Thema Identitätsschutz: Ihr Smartphone ist oft der Schlüssel zu Ihren Konten (Authenticator-Apps, SMS-Codes, Banking). Viele Android-Nutzer übersehen dabei 5 entscheidende Sicherheitsmaßnahmen. Ein kostenloser Ratgeber zeigt Schritt für Schritt, wie Sie WhatsApp, Online-Banking, PayPal & Co. ohne teure Zusatz-Apps absichern – inklusive Checklisten und leicht umsetzbarer Einstellungen. Kostenloses Android-Sicherheitspaket jetzt anfordern

Gefährliche Sicherheitslücke bei kleineren Firmen

Forschungsergebnisse zeigen dramatische Unterschiede: Während 87 Prozent der Großunternehmen (über 10.000 Mitarbeiter) MFA verwenden, fällt die Rate bei Firmen mit 26-100 Angestellten auf nur 34 Prozent. Bei Unternehmen mit bis zu 25 Mitarbeitern sind es sogar nur 27 Prozent. Diese Lücke macht einen erheblichen Teil der Geschäftswelt hochverwundbar.

Die inhärenten Schwächen von Passwörtern beschleunigen den Übergang der Industrie zu passwortlosen Authentifizierungsmethoden. Technologien wie Biometrie (Fingerabdruck- und Gesichtserkennung) und Passkeys, die auf kryptografischen Prinzipien basieren, bieten sicherere und nutzerfreundlichere Alternativen.

Milliarden-Markt: Passwortlose Zukunft nimmt Fahrt auf

Der globale Markt für passwortlose Authentifizierung wird voraussichtlich deutlich wachsen – ein klarer Trend weg von traditionellen Zugangsdaten. Große Technologie-Unternehmen wie Apple, Google und Microsoft treiben diesen Wandel voran und integrieren Passkey-Unterstützung in ihre Plattformen.

Dieser Übergang zielt darauf ab, die mit Passwörtern verbundenen Risiken wie Phishing und Credential Stuffing vollständig zu eliminieren. Der Anstieg identitätsbasierter Angriffe stellt eine grundlegende Verschiebung in der Cybersicherheits-Landschaft dar.

Jahre lang konzentrierte sich die Sicherheit auf den Aufbau starker Netzwerk-Perimeter. Heute, mit dem Aufstieg von Remote-Arbeit und Cloud-Services, gilt: “Identität ist der neue Perimeter.” Angreifer haben erkannt, dass die Ausnutzung legitimer Zugangsdaten oft einfacher und effektiver ist als der Versuch, ein befestigtes Netzwerk zu durchbrechen.

Diese Realität erfordert eine strategische Neuausrichtung für Organisationen jeder Größe. Der Fokus muss sich von reinen netzwerkbasierten Verteidigungen zu einer robusteren Identity and Access Management-Strategie verschieben.

Das Versäumnis, MFA durchzusetzen, wird heute als kritische Sicherheitslücke betrachtet. Ein aktueller Bericht stellte fest: 36 Prozent der Identitätsverletzungen wurden durch schwache oder fehlende MFA verursacht. Besonders der Finanzsektor und das Gesundheitswesen sind aufgrund der sensiblen Daten, die sie verwalten, attraktive Ziele und sehen sich einer hohen Anzahl und Schwere von Angriffen gegenüber.

Die Schlacht um die digitale Identität wird sich weiter intensivieren. Angreifer werden ihre Techniken weiter verfeinern und Künstliche Intelligenz nutzen, um überzeugendere Phishing-Betrugsversuche zu schaffen und Angriffe in beispiellosem Maßstab zu automatisieren.

Als Antwort darauf wird die Einführung stärkerer, phishing-resistenter MFA-Methoden zur Grundanforderung für Unternehmen. Der Übergang zu einer passwortlosen Zukunft wird weiter an Dynamik gewinnen – auch wenn Herausforderungen bei Implementierung und Nutzerakzeptanz bestehen bleiben.