Innerhalb einer Stunde werden über 60 % der Passwörter aus dem MD5‑Hash mit einer einzigen GeForce RTX 5090 entsperrt.

Wie schnell können MD5-Passwörter geknackt werden: Ergebnisse der Studie „Kaspersky Lab“

*Im Jahr 2024 haben Forscher des Kaspersky Labs über 231 Millionen gestohlene Passwörter, die aus Dark‑Net-Lecks gesammelt wurden, analysiert. Nach dem Hashen mit dem MD5-Algorithmus stellte sich heraus, dass:*

- 60 % der Passwörter in weniger als einer Stunde geknackt werden können.

- 48 % – bereits innerhalb einer Minute.

*Dazu reicht lediglich eine Nvidia GeForce RTX 5090.*

Warum ist das so schnell
1. Geringe Komplexität von MD5

Der MD5‑Algorithmus gilt seit langem als veraltet; seine Hashes lassen sich leicht mit modernen GPUs bruteforcen.

2. Optimierung für konkrete Passwörter

Die Analyse von über 200 Millionen Passwörtern zeigte Muster (häufige Vorlagen, einfache Wörter usw.), die die Suchzeit verkürzen.

3. Zunahme der Grafikprozessorleistung

Seit dem ersten Studium im Jahr 2024 hat sich die GPU-Leistung deutlich verbessert, während die Passwörter selbst nicht komplexer wurden.

Was bedeutet das für Nutzer
- Passwörter, die nur mit MD5‑Hashes geschützt sind, gelten bereits nicht mehr als sicher. Wenn ein Angreifer sie aus einem Leak erhält, kann er schnell Zugriff auf Konten erhalten.

- Professionelle Hacker können GPU-Leistung von Cloud-Anbietern mieten; selbst günstige Karten stellen daher keine Gefahr dar.

Warum das Problem komplexer ist als „einfach zu SHA wechseln“
Experten des The Register weisen mehrere Faktoren hin:

1. Unzureichendes Bewusstsein

Nutzer und Organisationen sind kaum über die Risiken schwacher Passwörter informiert.

2. Schwache Passwortanforderungen

Auf vielen Plattformen bleiben die Regeln mild, ohne Mindestlänge, Komplexität oder regelmäßige Aktualisierung zu verlangen.

3. Mangel an zusätzlichen Schutzmaßnahmen

- Zwei‑Faktor‑Authentifizierung (2FA) wird noch als „ausreichend“ angesehen; Biometrie gilt als der sicherste zweite Faktor.

- Systeme sind nicht immer gegen horizontale Bewegungen des Angreifers nach dem ersten Eindringen geschützt.

Was kann man tun
- Wechsel zu robusteren Hashes (bcrypt, Argon2) und Einsatz von Salt.

- Einführung strenger Passwortregeln: mindestens 12 Zeichen, Kombination aus Buchstaben, Zahlen und Sonderzeichen.

- Pflicht‑Zwei‑Faktor‑Authentifizierung, vorzugsweise mit Biometrie oder Hardware‑Token.

- Regelmäßige Sicherheitsüberprüfungen und Mitarbeiterschulungen.

Damit stellen selbst einfache MD5‑Passwörter bereits eine ernsthafte Bedrohung dar. Umfassende Schutzmaßnahmen sind der einzige Weg, das Risiko von Cyberangriffen in der heutigen Zeit zu reduzieren.