Zugangsdaten

Zugangsdaten sind die Angaben, mit denen ein Dienst prüft, ob du wirklich du bist. Am bekanntesten ist die Kombination aus Benutzername und Passwort. Es gibt aber auch andere Formen: einen Zahlencode aus einer App, einen Fingerabdruck oder eine lange Zeichenkette, die ein Programm statt eines Menschen benutzt. Gemeinsam ist ihnen die Rolle eines Schlüssels. Wer den Schlüssel hat, kommt hinein – egal, ob er der Eigentümer ist oder nicht. Genau darin liegt sowohl der Nutzen als auch das Risiko.

Der Schlüssel zum ganzen digitalen Leben

Hinter einem einzigen Konto steckt heute oft sehr viel. In einem E-Mail-Postfach liegen Rechnungen, private Nachrichten und die Möglichkeit, andere Passwörter zurückzusetzen. Deshalb gilt das Mail-Konto in der Sicherheitsbranche als Hauptschlüssel. Wer es übernimmt, kann sich Zugang zu Onlineshops, sozialen Netzwerken und teilweise sogar zum Bankkonto verschaffen.

Für Unternehmen ist der Einsatz noch höher. Gestohlene Zugangsdaten eines Mitarbeiters sind einer der häufigsten Einstiegspunkte bei großen Hackerangriffen. Der Angreifer muss dann nichts knacken, sondern läuft einfach durch die Vordertür. Er sieht für das System wie ein normaler Nutzer aus, was den Angriff schwer erkennbar macht.

Auf gestohlene Zugangsdaten existiert ein regelrechter Markt. Nach großen Datenlecks werden Listen mit Millionen Kombinationen im Netz gehandelt. Angreifer probieren diese Listen automatisch bei anderen Diensten durch. Das funktioniert erschreckend oft, weil viele Menschen dasselbe Passwort mehrfach verwenden. Fachleute nennen dieses Durchprobieren Credential Stuffing.

Was beim Anmelden tatsächlich passiert

Seriöse Dienste speichern Passwörter nicht im Klartext. Stattdessen berechnen sie daraus einen sogenannten Hash, eine Art unumkehrbaren Fingerabdruck. Aus dem Passwort lässt sich der Hash leicht berechnen, aus dem Hash das Passwort praktisch nicht. Beim Anmelden wird deine Eingabe erneut umgerechnet und mit dem gespeicherten Fingerabdruck verglichen. Passt er, bekommst du Zutritt.

Ein Passwort allein hat eine Schwäche: Es ist ein einzelnes Geheimnis. Deshalb setzen viele Dienste auf einen zweiten Faktor, meist einen Code aufs Handy oder einen Fingerabdruck. Der Angreifer bräuchte dann etwas, das du weißt, und zusätzlich etwas, das du besitzt. Diese Kombination nennt man Zwei-Faktor-Authentifizierung.

Neuere Verfahren verzichten ganz auf das Passwort. Bei Passkeys erzeugt dein Gerät ein Schlüsselpaar. Der geheime Teil bleibt auf dem Gerät, nur der öffentliche Teil geht zum Dienst. Es gibt damit kein Geheimnis mehr, das man abtippen und dadurch verraten könnte. Ein häufiger Irrtum ist übrigens, dass komplizierte Sonderzeichen ein Passwort sicher machen. Entscheidend ist vor allem die Länge – und dass es nur an einer Stelle benutzt wird.

Passwortmanager, Phishing und KI-Systeme

Im Alltag begegnen dir Zugangsdaten bei jedem Login und bei jeder Warnung deines Browsers, ein Passwort sei in einem Leck aufgetaucht. Ein Passwortmanager löst das Grundproblem am elegantesten. Er erzeugt für jeden Dienst ein eigenes langes Passwort und merkt sich alles. Du selbst brauchst nur noch ein einziges starkes Hauptpasswort.

Der häufigste Weg, wie Zugangsdaten verloren gehen, ist Phishing. Dabei schickt jemand eine gefälschte Mail mit einem Link auf eine nachgebaute Anmeldeseite. Wer dort seine Daten eingibt, übergibt sie direkt dem Angreifer. Textgeneratoren haben solche Mails deutlich überzeugender gemacht, weil holprige Sprache als Warnsignal wegfällt.

In der Technikwelt tauchen Zugangsdaten auch als API-Schlüssel auf. Das sind lange Zeichenketten, mit denen ein Programm einen KI-Dienst benutzt und über die die Kosten abgerechnet werden. Landet so ein Schlüssel versehentlich in öffentlichem Programmcode, rechnen Fremde auf deine Rechnung. Genau solche Fälle stehen regelmäßig in den Tech-News.