44 Millionen Microsoft-Nutzer verwenden ein Passwort für mehrere Dienste

Microsofts Threat Research Team hat alle Microsoft-Konten gescannt und mit Daten abgeglichen, die nach Hackerangriffen und Datenverlusten im Internet veröffentlicht wurden. Dabei stellte sich heraus, dass 44 Millionen Besitzer eines Microsoft-Kontos ihr Passwort zur Anmeldung bei mindestens einem weiteren Dienst hinterlegt haben. Der Abgleich fand zwischen Januar und März 2019 statt – danach durchgesickerte Anmeldedaten wurden also nicht berücksichtigt.

Nach Angaben des Unternehmens wurde für den Vergleich eine Datenbank mit mehr als drei Milliarden durchgesickerten Nutzernamen und Passwörtern benutzt. Die Daten stammen aus verschiedenen Quellen, darunter auch Strafverfolgungsbehörden und öffentlich zugängliche Datenbanken.

Die 44 Millionen Konten verteilen sich allerdings nicht nur auf reguläre Microsoft-Dienste, sondern auch auf Azure-Active-Directory-Konten. „Für die durchgesickerten Anmeldeinformationen, für die wir eine Übereinstimmung gefunden haben, erzwingen wir einen Passwort-Reset. Es sind keine zusätzlichen Maßnahmen auf Seiten von Verbrauchern erforderlich“, teilte der Softwarekonzern mit. „Für Enterprise-Konten wird Microsoft das Benutzerrisiko heraufstufen und den Administrator alarmieren, so dass ein Zurücksetzen der Anmeldeinformationen erzwungen werden kann.“

Bei der Einrichtung eines Kontos gibt Microsoft auch Regeln für Passwörter vor. Sie müssen mindestens acht Zeichen haben und zwei von vier Bedingungen erfüllen: Großbuchstaben, Kleinbuchstaben, Zahlen und Symbole – ein Passwort wie „ankunft1“ wird also akzeptiert. Auf das Risiko, das sich durch die mehrfache Verwendung von Kennwörtern ergibt, weist Microsoft nicht hin.

Allerdings ist das Unternehmen auch als Befürworter einer Anmeldung in zwei Schritten bekannt. Erst kürzlich fand Microsoft heraus, dass eine Mehrfaktor-Authentifizierung bis zu 99,9 Prozent aller Angriffe auf Nutzerkonten aufhalten kann. Versuche, die Anmeldung in zwei Schritten auszuhebeln, seien so selten, dass darüber keine Statistiken vorlägen.

Das Problem bei der mehrfachen Verwendung von Passwörtern ist, dass im Fall eines Datenverlusts ein komplexes Kennworts keinen zusätzlichen Schutz bietet. Hacker können ein durchgesickertes Passwort benutzen, um zu versuchen, sich bei anderen Diensten anzumelden, was im Fall eines wiederverwendeten Passworts dann wahrscheinlich von Erfolg gekrönt ist.

Schon 2018 hatte eine Untersuchung von 28,8 Millionen Nutzerkonten gezeigt, dass 52,2 Prozent der Nutzer ihre Passwörter unverändert oder mit nur geringen Veränderungen für mehr als ein Konto verwenden. Die Studie fand auch heraus, dass sich 30 Prozent der modifizierten Kennwörter und alle wiederbenutzten Passwörter nach maximal zehn Versuchen geknackt sind.

WEBINAR

Webinar-Aufzeichnung: Zugangsdaten unter Kontrolle behalten

Sicherheit beginnt bei Identitäten, hört aber nicht dort auf. Wie Identity Management, Active Directory und Privileged Access Management (PAM) zusammenpassen, erfahren Sie in diesem Webinar.

Stefan Beiersmann @beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Mozilla verbannt in zwei Wochen mehr als 200 schädliche Firefox-Add-ons

Sie schleusen Schadcode ein oder stehlen vertrauliche Daten. Auch Codeverschleierung stuft Mozilla als Risiko und damit als unerwünscht ein. Mozilla…

15 Stunden ago

Hacker verteilen Ransomware über Sicherheitslücke in Citrix-Servern

Mindestens zwei Ransomware-Kampagnen richten sich inzwischen gegen ungepatchte Citrix-Produkte. Andere Hacker kapern Citrix-Geräte und bieten die Zugänge in Foren an.…

17 Stunden ago

Workaround für Zero-Day-Lücke in IE legt Windows-Druckfunktion lahm

Betroffen sind offenbar Drucker von HP und USB-Drucker anderer Hersteller. Auch der Windows Media Player und das Wartungstool sfc haben…

19 Stunden ago

Shlayer: Mac-Malware betrifft vor allem Nutzer in den USA und Deutschland

Die Schadsoftware bedroht Nutzer schon seit 2018. Seitdem hat mehr als ein Zehntel aller Mac-Nutzer Kontakt mit Shlayer. Die Malware…

21 Stunden ago

Mitsubishi Electric über Zero-Day-Lücke in Trend Micro OfficeScan angegriffen

Trend Micro schließt die Lücke im Oktober 2019. Zu dem Zeitpunkt ist Mitsubishi bereits ein Opfer der Schwachstelle. Offiziell bestätigt…

23 Stunden ago

Betrugsversuche: Google sperrt kostenpflichtige Erweiterungen für Chrome

Die Zahl der Betrugsversuche steigt im Januar offenbar deutlich an. Entwickler können derzeit weder neue kostenpflichtige Erweiterungen veröffentlichen, noch Updates…

1 Tag ago