Credentials

Wenn du dich bei einem Online-Dienst anmeldest, musst du beweisen, dass du wirklich du bist. Dafür gibst du etwas an, das nur du kennen oder besitzen solltest. Genau das sind Credentials, auf Deutsch Zugangsdaten. Der Klassiker ist die Kombination aus Benutzername und Passwort. Es gibt aber auch andere Formen: eine lange Zeichenkette, die ein Programm statt eines Passworts vorzeigt, ein Zertifikat auf dem Gerät oder ein Fingerabdruck. Allen gemeinsam ist der Zweck: Sie sollen belegen, dass der Zugriff berechtigt ist.

Warum gestohlene Zugangsdaten die häufigste Einbruchstür sind

Für Angreifer sind Credentials das attraktivste Ziel überhaupt. Ein echter Zugang ist bequemer als jede technische Sicherheitslücke. Wer sich mit korrekten Daten anmeldet, sieht für das System wie ein normaler Nutzer aus. Es gibt keinen Alarm, keine verdächtige Datei, keinen Absturz. Sicherheitsberichte großer Anbieter nennen gestohlene oder erratene Zugangsdaten seit Jahren als eine der häufigsten Ursachen von Datenlecks.

Das Problem verstärkt sich durch ein menschliches Verhalten: Viele Leute benutzen dasselbe Passwort bei mehreren Diensten. Wird ein kleiner Online-Shop gehackt, landen dort abgegriffene Kombinationen in Listen. Angreifer probieren diese Listen automatisiert bei Banken, Mailanbietern und Firmenportalen durch. Dieses Vorgehen heißt Credential Stuffing. Es funktioniert schon dann gut, wenn nur ein Bruchteil der Nutzer sein Passwort mehrfach verwendet.

In Unternehmen kommt eine zweite Ebene hinzu. Nicht nur Menschen haben Zugangsdaten, sondern auch Programme, Server und KI-Systeme. Solche maschinellen Credentials liegen oft in Konfigurationsdateien oder im Programmcode. Werden sie versehentlich veröffentlicht, etwa in einem offen zugänglichen Code-Archiv, kann jeder sie einsammeln. Automatische Suchprogramme scannen das Internet gezielt nach solchen Funden.

Vom Passwort zum Token: Wie der Nachweis technisch abläuft

Ein gut gebauter Dienst speichert dein Passwort nicht im Klartext. Stattdessen berechnet er daraus eine Prüfsumme, einen sogenannten Hash. Das ist eine Zeichenfolge, aus der man das ursprüngliche Passwort praktisch nicht zurückrechnen kann. Beim Anmelden wird dein eingegebenes Passwort erneut durch dieselbe Rechnung geschickt. Stimmen die Ergebnisse überein, bist du drin. Selbst wenn Angreifer die Datenbank stehlen, haben sie damit nur die Hashes.

Nach der Anmeldung nutzen die meisten Systeme kein Passwort mehr. Du bekommst ein Token: eine befristete Zeichenkette, die bei jeder weiteren Anfrage mitgeschickt wird. Man kann sich das wie das Bändchen am Handgelenk auf einem Festival vorstellen. Am Eingang wurde einmal geprüft, danach reicht das Bändchen. Läuft es ab, muss man sich neu ausweisen. API-Keys für Programme funktionieren ähnlich, gelten aber oft sehr lange.

Weil ein einzelner Nachweis leicht gestohlen wird, kombiniert man mehrere Arten. Bei der Zwei-Faktor-Anmeldung braucht es etwas, das du weißt, und etwas, das du besitzt. Also Passwort plus Code aus einer App. Passkeys gehen noch weiter: Dort bleibt der eigentliche geheime Schlüssel auf deinem Gerät und wird nie übertragen. Ein Angreifer kann ihn dann nicht auf einer Phishing-Seite abfangen.

Credentials in News, Cloud-Diensten und KI-Werkzeugen

In Wirtschaftsnachrichten tauchen Credentials meist im Zusammenhang mit Sicherheitsvorfällen auf. Formulierungen wie « Angreifer verschafften sich Zugang über kompromittierte Zugangsdaten » bedeuten schlicht: Jemand hatte ein gültiges Passwort. Für Unternehmen ist das teuer, weil daraus oft Datenlecks und Meldepflichten folgen. Ein ganzer Markt an Software beschäftigt sich damit, Zugangsdaten zentral zu verwalten und regelmäßig auszutauschen.

Auch beim Arbeiten mit KI begegnet dir der Begriff. Wer ein Sprachmodell über eine Schnittstelle nutzt, erhält vom Anbieter einen API-Key. Dieser Schlüssel ist ein Credential und gleichzeitig eine Rechnungsadresse: Jede Anfrage kostet Geld. Wird der Schlüssel öffentlich, rechnen Fremde auf deine Kosten. Deshalb warnen Anbieter ausdrücklich davor, solche Schlüssel in Apps oder Webseiten einzubauen.

Im Alltag hilft vor allem ein Passwortmanager, ein Programm, das für jeden Dienst ein eigenes langes Passwort erzeugt und speichert. Ein verbreiteter Irrtum ist, dass komplizierte Zeichen wichtiger als Länge seien. Tatsächlich schützt ein langes Passwort besser gegen automatisiertes Durchprobieren. Und: Kein noch so gutes Passwort hilft, wenn du es freiwillig auf einer gefälschten Login-Seite eingibst.