Wie der erste Password-Breach den heutigen Ansatz zum Schutz digitaler Identitäten geprägt hat

Wenn von Passwortdiebstahl die Rede ist, denken die meisten an Phishing-Kampagnen, geleakte Datenbanken oder Ransomware-Gruppen, die Millionen von Zugangsdaten im Dark Web verkaufen. Der erste dokumentierte Password-Breach ereignete sich jedoch zu einer Zeit, als es das Internet noch nicht gab.

Es gab keine WLAN-Netzwerke, keine Cloud-Services, keine sozialen Netzwerke und nicht einmal Personal Computer. Computer füllten ganze Räume und wurden hauptsächlich von Universitäten und Forschungszentren genutzt. Dennoch existierte das Problem, das heute zu den größten Bedrohungen der Cybersicherheit zählt, schon damals.

Wie das erste Computerpasswort entstand

Anfang der 1960er-Jahre wurde am MIT das Compatible Time-Sharing System (CTSS) entwickelt – eines der ersten Betriebssysteme, das es mehreren Nutzern ermöglichte, gleichzeitig denselben Computer zu verwenden. Das war ein revolutionäres Konzept in einer Zeit, in der ein Computer in der Regel nur eine Aufgabe ausführen konnte. Doch es entstand ein neues Problem: Wenn mehrere Forschende dasselbe System nutzen, wie verhindert man, dass jeder auf die Dateien anderer zugreifen kann?

Die Lösung, die Professor Fernando Corbató entwickelte, war einfach: Jeder Nutzer erhielt ein eigenes Konto und ein eigenes Passwort. Niemand konnte damals ahnen, dass genau diese Idee zu einem der Grundpfeiler moderner digitaler Sicherheit werden würde.

Den ersten Passwortdiebstahl verübte kein hochentwickelter Hacker

Nur wenige Jahre nachdem Passwörter als Schutz für Benutzerkonten eingeführt wurden, zeigte sich, dass auch sie nicht unfehlbar sind. Am MIT hatte jeder Nutzer nur eine begrenzte Zeit zur Arbeit am Computer, da sich mehrere Personen einen Rechner teilten. Als dem damaligen Studenten Allan Scherr die zugeteilte Zeit ausging, fand er statt einer neuen Zuteilung eine Schwachstelle im System. Er konnte auf eine Datei zugreifen, in der die Passwörter der Nutzer gespeichert waren, deren Inhalt ausdrucken und sich in fremde Konten einloggen, um deren verfügbare Zeit zu nutzen. Dieses Ereignis wird häufig als der erste dokumentierte Fall einer Passwortkompromittierung in der Geschichte der Informatik genannt.

Ironischerweise war einer der ersten Sicherheitsvorfälle der Geschichte nicht das Ergebnis eines ausgeklügelten Angriffs, sondern eine Kombination aus Neugier, unzureichend entwickelten Sicherheitskontrollen und der Tatsache, dass Passwörter nicht so geschützt waren, wie wir es heute voraussetzen.

Was hat sich in 60 Jahren wirklich verändert?

Auf den ersten Blick fast alles. Heute nutzen Organisationen Multi-Faktor-Authentifizierung, Zero Trust-Architekturen, biometrische Authentifizierung, fortschrittliche Systeme zur Bedrohungserkennung und KI-Tools zur Analyse des Nutzerverhaltens. Doch wenn wir auf die Motive der Angreifer schauen, sieht das Bild fast genauso aus wie 1962. Damals war das Ziel, an Benutzerkonten zu gelangen. Heute ist das Ziel immer noch dasselbe – nur die Werkzeuge haben sich geändert.

Statt eine Textdatei mit Passwörtern auszudrucken, nutzen Angreifer heute:

• Phishing-Seiten, die legitime Services täuschend echt imitieren,
• Infostealer-Malware, die gespeicherte Zugangsdaten aus dem Browser ausliest,
• den Diebstahl von Session-Cookies (session cookies),
• Angriffe auf Authentifizierungs-Tokens,
• den Kauf kompromittierter Zugangsdaten auf illegalen Marktplätzen,
• Techniken wie MFA fatigue, um Nutzer dazu zu bringen, den Zugriff selbst zu bestätigen.

Mit anderen Worten: Angreifer versuchen heute viel seltener, ein Passwort zu erraten. Viel häufiger versuchen sie, es zu stehlen.

Das Problem sind nicht mehr Passwörter, sondern Identitäten

Jahrelang versuchten Organisationen, die Sicherheit zu erhöhen, indem sie immer komplexere Passwörter verlangten. Mindestens 12 Zeichen, Groß- und Kleinbuchstaben, Zahlen, Sonderzeichen, regelmäßiger Passwortwechsel.

Die moderne Praxis zeigt jedoch, dass selbst das komplexeste Passwort keinen Schutz bietet, wenn der Nutzer es dem Angreifer über eine Phishing-Seite selbst übergibt oder wenn es durch Infostealer-Malware kompromittiert wird. Deshalb verlagert sich der Fokus der Cybersicherheit in den letzten Jahren vom Schutz des Passworts selbst hin zum Schutz der digitalen Identität.

Mit anderen Worten: Es reicht nicht mehr aus zu prüfen, was der Nutzer weiß. Es muss bestätigt werden, wer der Nutzer ist, von welchem Gerät aus er zugreift, von wo aus er sich anmeldet, wie sein übliches Verhalten aussieht und ob es Hinweise auf eine Kompromittierung gibt.

Genau deshalb führen immer mehr Organisationen Passkeys, adaptive Authentifizierung, Privileged Access Management (PAM) und Identity Threat Detection and Response (ITDR) als Antwort auf die wachsenden identitätsbezogenen Bedrohungen ein.

Die Geschichte ist eine Warnung

Fernando Corbató erklärte Jahre später, er habe nicht ahnen können, wie sehr die einfache Idee von Benutzerpasswörtern die Zukunft der Informatik prägen würde. Ironischerweise beschrieb der Mann, der zur Entstehung des modernen Computerpassworts beigetragen hat, es später als eine Art Albtraum – und wies darauf hin, wie schwer es Nutzern fällt, eine große Anzahl unterschiedlicher Zugangsdaten zu verwalten.

Mehr als sechs Jahrzehnte später ist seine Geschichte weiterhin äußerst relevant. Nicht, weil wir noch immer dieselben Passwörter verwenden, sondern weil Angreifer weiterhin dasselbe Ziel verfolgen: die Identität einer Person zu übernehmen. Vom ersten Password-Breach am MIT bis zu heutigen, auf Identitätsdiebstahl basierenden Angriffen haben sich Technologie, Werkzeuge und das Ausmaß der Angriffe verändert.

Doch die grundlegende Lektion ist gleich geblieben: Das wertvollste Ziel war nie das Passwort. Es war schon immer nur der kürzeste Weg zur Identität eines Menschen. Wenn Identitäten heute das wertvollste Ziel für Angreifer sind, muss ihr Schutz Priorität jeder Organisation sein. PULSEC unterstützt Unternehmen dabei, einen zuverlässigen Schutz digitaler Identitäten durch IAM-, PAM-, MFA- und Zero-Trust-Lösungen aufzubauen – mit fachkundiger Unterstützung bei Implementierung und Zugriffsmanagement. Entdecken Sie unsere Services oder kontaktieren Sie uns, damit wir gemeinsam die Sicherheit Ihrer Identitätsumgebung bewerten können.