Niemand hat dein Passwort geraten. Sie haben es nur wiederverwendet.

Ein Bot in irgendeinem Rechenzentrum versucht gerade deine E-Mail-Adresse auf 130 verschiedenen Websites, und er kennt das Passwort bereits. Keine Vermutung. Kein Wörterbuch häufiger Passwörter. Die exakte Zeichenkette, die du eingegeben hast — weil du sie vorher irgendwo eingegeben hast, wo es zu einer Datenpanne kam, und Angreifer wetten, dass du faul genug bist, es zweimal zu verwenden.

Diese Wette geht erschreckend oft auf. Eine Umfrage von Google und Harris Poll ergab, dass 65% der Menschen dasselbe Passwort auf mehreren Websites wiederverwenden, und einige geben zu, ein Passwort fast überall zu nutzen. Du hast diese Zahl wahrscheinlich gelesen und gedacht, klar, andere Leute. Das ist das ganze Geschäftsmodell. Der Angreifer verlässt sich nicht darauf, dass du persönlich fahrlässig bist. Er verlässt sich darauf, dass 65% einer gestohlenen Liste fahrlässig sind, und er braucht nur einen kleinen Teil, um zu treffen.

Das ist Credential Stuffing, und der Name ist buchstäblich gemeint. Jemand nimmt einen Dump von durchgesickerten E-Mail- und Passwort-Paaren — Have I Been Pwned indexiert inzwischen mehr als 14 Milliarden kompromittierte Konten über Tausende von Datenpannen hinweg — und „stuffed" diese Paare in Login-Formulare im ganzen Internet. Banken. Streaming-Services. Treueprogramme. Deine E-Mail selbst. Sie automatisieren das, rotieren durch Proxy-IPs, damit nichts verdächtig aussieht, und lassen das Volumen die Arbeit leisten.

Und dieses Volumen ist absurd. Akamai, das vor einem großen Teil des Webverkehrs sitzt, hat Zehner Milliarden Credential-Stuffing-Versuche in einem einzigen Jahr protokolliert, wobei einige Berichte weit über hundert Milliarden pro Jahr messen. Ein kompromittiertes Passwort öffnet nicht eine Tür. Es ist ein Generalschlüssel, der gegen jeden Schloss in der Straße versucht wird, schnell, von etwas, das nie müde wird.

Hier kommt der Teil, der deine Sichtweise auf das Thema neu rahmen sollte. Die Login-Seite, auf der du dieses Passwort wiederverwendet hast, brauchte nicht gehackt zu werden. Die schwache Website, die es durchgesickert hat — ein defektes Forum, ein Einzelhandelshändler von 2014, eine Trivia-App — gibt Angreifern den Schlüssel zu den starken Seiten. Deine Bank kann perfekte Sicherheit haben und trotzdem verlieren, weil das Passwort, das sie schützt, bereits in einer Textdatei saß, die für Cent verkauft wurde, geerntet von irgendwo mit der Sicherheit einer Fliegengittertür.

Woher weißt du also, ob du in einem dieser Dumps bist? Oft wurde dir das bereits mitgeteilt. Nicht durch ein Sicherheits-Briefing — durch deinen Spam-Ordner. Diese E-Mails über „ungewöhnliche Anmeldeversuche", „bestätige dein Konto" und „wir haben eine Anmeldung von einem neuen Gerät bemerkt", die du reflexartig löschst, sind häufig die echten, legitimen Alarme, die auslösen, weil ein Bot deine Anmeldedaten versucht hat und ein Rate Limit ausgelöst hat. Echte Datenpannen-Benachrichtigungen und echte Login-Warnungen landen ständig im Spam, direkt neben den gefälschten, die sie nachahmen. Das Signal ist da. Es ist nur unter dem Lärm begraben, der so aussieht, als wäre er identisch.

Die Lösung ist langweilig und funktioniert. Höre auf, Passwörter wiederzuverwenden — ein Passwort-Manager macht jede Anmeldung zu einer eindeutigen zufälligen Zeichenkette, sodass ein Leak von einer Website genau ein Konto vergiftet statt alle. Aktiviere Zwei-Faktor-Authentifizierung, was bedeutet, dass ein korrektes gestohlenes Passwort beim zweiten Schritt immer noch fehlschlägt. Und überprüfe tatsächlich, ob deine Adresse in einer bekannten Datenpanne ist; Have I Been Pwned wird es dir kostenlos sagen, und die meisten Passwort-Manager kennzeichnen jetzt automatisch wiederverwendete und kompromittierte Einträge.

Die unbequeme Wahrheit ist, dass der fleißigste Angreifer, der dich ins Visier nimmt, kein Hacker in einem Hoodie ist. Es ist ein Skript, das eine Liste durchläuft und gewöhnlich die eine Gewohnheit ausnutzt, die fast jeder hat und die fast jeder davon ausgeht, dass sie ihn nicht betrifft.