Was sind Passwörter im Klartext und warum sind sie eine schlechte Idee?

Im Juli 2024 wurde die Nachricht über das RockYou2024-Datenleck bekannt: Die größte Sammlung von gehackten Passwörtern in der Geschichte, bestehend aus mehr als 10 Milliarden einzelnen Anmeldedaten, war in einem in Cyberkriminellen-Kreisen bekannten Forum aufgetaucht. Die im Klartext gespeicherte Datei enthielt Daten, die im Laufe der Jahre aus zahlreichen Hacks zusammengestellt wurden.

Klartext-Dateien stellen ein enormes Risiko für die Datensicherheit dar. Aber dabei geht es nicht allein um Dateien in irgendwelchen Nachrichtenforen im Tor-Browser – auch viele Unternehmen verlassen sich für die Speicherung wichtiger Informationen auf Dokumente im Klartext Sprechen wir also einmal über Klartext-Dateien und warum Ihr Unternehmen besser eine verschlüsselte Lösung finden sollte.

Was bedeutet „Klartext“?

Klartext ist nicht nur ein Begriff aus der Cybersicherheit. Er bezieht sich auf jede Datei, auf die ohne eine zusätzliche Sicherungsebene zugegriffen werden kann. Denken Sie nur an ein Word-Dokument oder eine Tabelle, für deren Zugang kein eigener Schlüssel benötigt wird. In der Kryptografie wird es ein wenig spezieller, hier bezieht sich der Begriff „Klartext“ auf eine Nachricht vor ihrer Verschlüsselung, die außer für den beabsichtigten Empfänger oder Absender auch für alle anderen sichtbar ist.

Bei der Verschlüsselung wird der Inhalt der Nachricht mithilfe eines Algorithmus chiffriert und in eine unverständliche Zeichenkette verwandelt, die auch als Chiffre-, Cipher- oder Schlüsseltext bezeichnet wird. Um einen solchen Chiffretext zu entsperren und wieder in lesbaren Text zu verwandeln, benötigen Sie Zugriff auf einen Chiffrierschlüssel. Die Verschlüsselung einer Klartext-Nachricht hilft, ihren Inhalt vor unbefugtem Zugriff zu schützen.

Unternehmen und Behörden verwenden zunehmend Verschlüsselung für ihre interne und externe Kommunikation, Finanzoperationen und die Speicherung von Dateien. Verschlüsselung spielt außerdem eine entscheidende Rolle bei der Authentifizierung, da sich mit ihrer Hilfe die Identität einer Person bestätigen lässt, ohne dass sensible Informationen preisgegeben werden.

Die Gefahren von Klartext-Passwörtern

Leider sind Dokumente im Klartext noch immer alltäglich – schließlich sind sie die am einfachsten zugängliche Option für die Speicherung von Passwörtern und anderen sensiblen geschäftlichen Daten. Sie sind in der Regel völlig kostenlos oder kosten im Vergleich zu Verschlüsselungssoftware nur wenig. Es ist nicht ungewöhnlich, dass Mitarbeiter gemeinsam eine Tabelle mit häufig verwendeten Anmeldedaten nutzen oder Passwörter per E-Mail senden, jeweils in Klartext.

Der Nachteil macht sich schnell bemerkbar. Benötigen Mitarbeiter keine Authentifizierung, um sensible Daten zu sehen, so ist es für externe Parteien – ob autorisiert oder nicht – ebenso einfach, an Anmeldedaten zu gelangen. Solche Unternehmen werden zu einem leichten Ziel für Cyberkriminelle, die nur an eine einzige Datei kommen müssen, um sämtliche wichtigen Accounts entsperren zu können.

Jedoch können nicht nur Login-Daten aus Klartext-Dateien gestohlen werden. Mitarbeiter- und Kundeninformationen, personenbezogene Daten, Sozialversicherungsnummern, Bankdaten – alles, was in Klartext gespeichert ist, läuft Gefahr, unautorisiert offengelegt zu werden. Klartext-Dateien sind kaum sicherer, als ein Passwort auf einen Notizblock zu schreiben und diesen dann auf dem Tisch in der Büroküche liegen zu lassen. Ein leichtes Ziel, das eine sehr hohe Belohnung verspricht.

Welche Alternativen gibt es?

Die Speicherung von Daten im Klartext kann eine ernsthafte Bedrohung für die Sicherheit eines Unternehmens darstellen. Gehackte leicht zugängliche Informationen können alle Aspekte eines Unternehmens in Mitleidenschaft ziehen, von den Mitarbeitern bis zu den Kunden. Daher ist es unerlässlich, nach Alternativen zu suchen, die dem Datenschutz höchste Priorität einräumen.

Wie eingangs erwähnt, ist Verschlüsselung das wesentliche Element für den Schutz von Klartext-Informationen vor unerwünschter Offenlegung. Doch ein Umstieg von Klartext- auf Chiffretext-Speicherung bedeutet nicht, dass die Schritte zum Zugriff wesentlich komplizierter werden. Vielmehr können Authentifizierungsmethoden so schnell ablaufen wie die Nutzung eines Fingerabdrucks auf einem privaten Gerät.

Schauen wir uns zunächst die gemeinsam genutzten Anmeldedaten in Unternehmen an. Diese können eine enorme Schwachstelle für Arbeitsabläufe und die Produktivität darstellen. Wer hat die Anmeldedaten zuletzt verwendet? Und muss der- oder diejenige sich abmelden, damit jemand anderes auf die Daten zugreifen kann? Ist das Passwort für ein gemeinsam genutztes Dokument das aktuellste oder ist es noch das alte? Hat jemand versehentlich eine Zeile mit Login-Daten gelöscht oder war dieser Account von Anfang an nicht verfügbar? Fragen wie diese lassen sich durch einen Umstieg auf eine sicherere Passwort-Management-Lösung leicht beantworten.

Mit einem Passwort-Manager können Unternehmen ihre firmeneigenen Anmeldedaten speichern und gemeinsam nutzen, ohne sich auf Dokumente im Klartext verlassen zu müssen. Ein solches Tool verwendet eine Verschlüsselung – üblicherweise AES-256 oder XChaCha20 –, um die Daten zu sichern und ausschließlich autorisierten Zugriff zuzulassen. Neben Passwörtern können die Teammitglieder auch Informationen wie Adressen, Bankdaten und Ausweisnummern speichern.

Doch beschränken sich die Funktionen von Passwort-Managern für Unternehmen selten nur auf die verschlüsselte Speicherung. Nehmen wir NordPass als Beispiel. Zusätzlich zu ihrem mit XChaCha20 verschlüsselten Tresor bietet die Lösung fortschrittliche Sicherheitswerkzeuge sowohl für Administratoren als auch für normale Mitarbeiter.

Wenn Ihr Unternehmen die obligatorische Zwei-Faktor-Authentifizierung umsetzt, hilft NordPass dank der integrierten Authenticator. Diese Funktion ermöglicht es Mitarbeitern, zeitliche begrenzte Einmalpasswörter (TOTPs) direkt in ihrem NordPass Tresor zu speichern und zu generieren, sodass die Anmeldung sicher und unkompliziert ist.

Die Verwaltungsoberfläche gibt Unternehmen eine zentrale Stelle, von der aus sie Sicherheitsrichtlinien erstellen und sämtliche Account-Aktivitäten überwachen können. NordPass verfügt über Integrationen wie Vanta und Splunk, um effektiv Workflows zu verwalten und eine audit-fähige Dokumentation zu erstellen.

Die Datenleck-Scanners, bietet zweifachen Schutz. Er überwacht alle Unternehmensbereiche nach einem Vorkommen dieser Informationen im Dark Web und erlaubt es den Mitarbeitern zudem, auch ihre individuellen Anmeldedaten auf solche Verstöße zu überprüfen.

Wie Sie sehen, leistet die Einrichtung eines Passwort-Managers viel mehr als nur die Beendigung der unsicheren Verwendung von Klartext-Anmeldedaten in Ihrem Unternehmen. Eine solche Lösung leistet einen Beitrag zur Stärkung Ihrer gesamten Sicherheitsrichtlinien und hilft Ihrem Unternehmen, rasch auf unerwartete Datenschutzverstöße zu reagieren.

Bewährte Verfahren für die Passwortsicherheit

Wenn Sie erst einmal alle E-Mails, die Klartext-Passwörter enthalten, gelöscht und die gemeinsam genutzten Tabellen ad acta gelegt haben, finden Sie hier die Empfehlungen für eine sichere Verwaltung von Anmeldedaten in Ihrem Unternehmen:

• Verwenden Sie starke, einzigartige Passwörter für sämtliche Unternehmens-Accounts. Je komplexer, desto besser. Stellen Sie sicher, dass alle Passwörter ausreichend komplex sind und aus mindestens 12 Zeichen bestehen. Achten Sie ganz besonders darauf, dass gemeinsam genutzte Anmeldedaten stark sind, und verwenden Sie niemals dasselbe Passwort für mehr als einen Account.

• Stellen Sie sicher, dass alle Anmeldedaten regelmäßig aktualisiert werden und strengen Passwort-Standards genügen. Dies lässt sich leicht erreichen, indem Ihr Unternehmen die in NordPass enthaltene Passwortrichtlinien-Funktion nutzt, mit der Sie festlegen können, wie lang Passwörter sein sollen und wie häufig sie geändert werden müssen.

• Verwenden Sie immer eine verschlüsselte Speicherung. Vergessen Sie die Speicherung von Passwörtern im Klartext – importieren Sie Ihre Tabellen als CSV-Datei in NordPass und löschen Sie diese anschließend endgültig. Von nun an brauchen Sie nur noch Ihren Passwort-Manager, um die benötigten Passwörter zu finden.

• Benutzen Sie ausschließlich verschlüsselte Kanäle, um Anmeldedaten zu teilen. Geben Sie niemals Notizen oder Login-Daten von E-Mail-Adressen an andere weiter. Verwenden Sie stattdessen NordPass, um Daten sicher zu teilen, und legen Sie Ihre gewünschten Zugriffsrechte fest, sodass Sie stets die Kontrolle über diese Daten behalten.