Ein gutes Passwort sollte mindestens 8 Zeichen lang sein, lautet oftmals die Empfehlung. Neue Untersuchungen zeigen jedoch: Die Zeit ist reif für mehr.

Passwörter mit einer Länge von mindestens 8 Zeichen gelten seit Jahren als sicher, sofern sie zugleich eine hohe Komplexität aufweisen. Ein neuer Bericht des Cybersecurity-Unternehmens Hive Systems zeigt jedoch, dass sich 8-Zeichen-Passwörter je nach verwendetem Hashing-Algorithmus und verfügbarer GPU-Leistung inzwischen in einer überschaubaren Zeit knacken lassen.

Wer beispielsweise im Besitz einer Nvidia-Grafikkarte vom Typ RTX 4090 ist, kann ein zufällig generiertes 8-Zeichen-Passwort mit Groß- und Kleinbuchstaben sowie Zahlen und Sonderzeichen innerhalb von nur 59 Minuten aus dem zugehörigen MD5-Hash rekonstruieren. Kommt als Hashing-Algorithmus stattdessen bcrypt (mit 32 Iterationen) zum Einsatz, so dauert der gleiche Vorgang deutlich längere 99 Jahre.

Das Problem dabei: Anwender wissen in der Regel nicht, welcher Algorithmus bei den genutzten Diensten genutzt wird. MD5 gilt zwar schon länger als unsicher, jedoch wird das Verfahren noch bei vielen Onlinediensten verwendet. Obendrein nutzt längst nicht jeder Anwender die maximal mögliche Passwortkomplexität, sofern diese nicht durch Richtlinien forciert wird.