Passwort-Recycling: Eine alltägliche Praxis mit Folgen für Unternehmen : Aktuelle Studie zeigt: Jeder zweite Deutsche verwendet Zugangsdaten mehrfach – und gefährdet damit auch die Unternehmenssicherheit
Die Mehrfachverwendung von Passwörtern ist bequem, weit verbreitet – und ein erhebliches Risiko, nicht nur für Privatpersonen. Eine neue Studie belegt, dass die Hälfte aller Deutschen Passwörter recycelt. Für CISOs bedeutet das: Die Angriffsfläche für ihre Organisationen vergrößert sich durch diese externen Gewohnheiten massiv.
Die Mehrfachverwendung von Passwörtern ist eine Gewohnheit, die wohl jeder kennt – und die dennoch gefährlicher ist als viele denken. Eine aktuelle Umfrage von NordPass, durchgeführt im Februar 2024 unter 1.000 repräsentativ ausgewählten deutschen Internetnutzern zwischen 18 und 74 Jahren, zeigt: Die Hälfte der Deutschen verwendet ihre Zugangsdaten für mehrere Konten parallel.
Bequemlichkeit schlägt Sicherheitsbewusstsein
Die Gründe für das risikoreiche Verhalten liegen auf der Hand: Ein Drittel der Befragten gibt an, schlicht zu viele Online-Konten zu besitzen, um für jedes ein individuelles Passwort zu verwalten. Mehr als ein Viertel (28 %) empfindet die Erstellung und Verwaltung einzigartiger Passwörter als zu umständlich.
Karolis Arbaciauskas, Head of Business Product bei NordPass, erklärt die Motivation und die Gefahr: „Die Leute verwenden Passwörter mehrfach, weil es einfacher ist.“ Er findet es jedoch besorgniserregend, dass trotz wiederholter Warnungen etwa 10 % der Befragten immer noch nicht glauben, dass die Mehrfachverwendung ein erhebliches Risiko darstellt. Diese Denkweise könne aber zum Problem werden, so Arbaciauskas weiter. Angreifer könnten dadurch Zugriff auf alle Konten erhalten, die Identität stehlen, die Kreditkarte bis zum Limit ausschöpfen oder einen Kredit auf den Namen des Betroffenen aufnehmen.
Auch im Unternehmenskontext relevant
Die Statistiken zeichnen ein beunruhigendes Bild: Ein Viertel der Nutzer, die Passwörter mehrfach verwenden, nutzt nur ein bis zwei Standardpasswörter, während 40 Prozent sogar vier oder mehr Passwörter mehrfach nutzen. Im Durchschnitt werden identische Zugangsdaten für fünf verschiedene Konten verwendet, wobei jeder Fünfte dasselbe Passwort sogar bei zehn oder mehr Diensten einsetzt.
Die tatsächlichen Zahlen dürften noch höher liegen. Arbaciauskas führt aus: „Es ist möglich, dass sich die Menschen nur an die fünf Passwörter erinnern, die sie regelmäßig nutzen. Unsere aktuelle Studie zeigt, dass der durchschnittliche Internetnutzer mehr als 160 Passwörter hat (einschließlich Arbeitskonten). Einige Menschen haben aber möglicherweise das Gefühl, dass sie nur wenige Passwörter und Konten haben, weil sie nur etwa fünf Plattformen regelmäßig nutzen“.
Scheinbare Sicherheit durch minimale Änderungen
Zwar modifizieren 61 Prozent der Nutzer ihre Standard-Passwörter zumindest geringfügig, bevor sie sie wiederverwenden. Häufig beschränken sich diese Änderungen jedoch auf das Hinzufügen oder Ändern einzelner Zahlen, Symbole oder Buchstaben. Diese minimalen Anpassungen bieten nur eine trügerische Sicherheit. Etwa die Hälfte derjenigen, die nur ein oder zwei Standardpasswörter nutzen, nimmt bei der wiederholten Verwendung keine Änderungen vor.
Die Studienergebnisse werfen auch ein Schlaglicht auf die Herausforderungen für Unternehmen. Wenn Mitarbeiter ihre privaten Passwort-Gewohnheiten in den Arbeitskontext übertragen, entstehen zusätzliche Risiken für die Unternehmenssicherheit. Besonders problematisch: Häufig werden Passwörter verwendet, die bereits bei Datenlecks anderer Dienste kompromittiert wurden.
Fazit: Handlungsbedarf für Unternehmen und Nutzer
Die Studie offenbart eine gefährliche Diskrepanz zwischen Bequemlichkeit und Sicherheit, die weit über den privaten Bereich hinausgeht. Für Unternehmen und ihre Sicherheitsverantwortlichen bedeutet dies: Die Absicherung von Identitäten und Zugängen muss höchste Priorität haben. Neben technischen Maßnahmen wie Multi-Faktor-Authentifizierung (MFA) und der Überwachung auf kompromittierte Zugangsdaten bleibt die Sensibilisierung der Mitarbeiter für sichere Passwort-Praktiken eine Daueraufgabe.
Gleichzeitig sind auch private Nutzer gefordert, ihre Gewohnheiten zu überdenken. Als Alternative rücken passwortlose Authentifizierungsverfahren immer stärker in den Fokus, sowohl für Unternehmen als auch für Privatanwender.
Nur durch ein Zusammenspiel von technischen Lösungen, Bewusstseinsschärfung und der Bereitschaft zur Veränderung lässt sich die Kluft zwischen digitaler Bequemlichkeit und effektivem Schutz sensibler Daten überbrücken.