Der Spickzettel: sechs Risiken, sechs Reflexe

🔑 Starke Passwörter

Risiko: „Sommer2024!" fällt in Minuten; ein wiederverwendetes Passwort öffnet bei einem Leak alle Konten.

So machst du's richtig

• Lange Passphrase (4+ zufällige Wörter) statt kurzer „komplexer" Passwörter.
• Passwort-Manager für zufällige, einzigartige Passwörter pro Dienst.
• MFA / 2FA überall aktivieren.
• Nie dasselbe Passwort mehrfach.

📊 Wusstest du? 8 Zeichen ist die häufigste Passwortlänge, über 80 % sind ≤ 10 Zeichen — die meisten nehmen genau das Minimum. Jedes zusätzliche Zeichen vervielfacht den Knack-Aufwand.

🎯 Und: Angreifer knacken keine einzelnen Passwörter, sondern ganze Leak-Listen — oft 10.000+ Konten auf einmal. Die kurzen und wiederverwendeten fallen zuerst. Darum: Passwort-Manager + MFA + nie wiederverwenden.

🔴 Realfall: Colonial Pipeline 2021 — ein geleaktes Passwort ohne MFA legte eine US-Pipeline 5 Tage lahm (~4,4 Mio. $ Lösegeld).

🗄️ SQL-Injection

Risiko: Eingaben, die direkt in Datenbank-Abfragen landen, lassen Angreifer Logins umgehen und Daten abgreifen.

So machst du's richtig

• Prepared Statements / parametrisierte Abfragen einfordern.
• Eingaben validieren, minimale DB-Rechte.
• Im Code-Review gezielt ansprechen — auch beim Kunden.

🔴 Realfall: TalkTalk 2015 — SQL-Injection, 156.959 Kundendatensätze gestohlen, 400.000 £ Strafe.

🧩 Script-Injection (XSS)

Risiko: Ungeprüfte Eingaben werden zu Code, der im Browser anderer Nutzer ausgeführt wird.

So machst du's richtig

• Ausgaben escapen — Eingabe als Text anzeigen, nicht als Markup.
• Framework-Schutz (Auto-Escaping) nicht abschalten.
• Content-Security-Policy setzen.

🔴 Realfall: British Airways 2018 — Skimming-Script im Bezahlformular, ~429.612 Betroffene, 20 Mio. £ Strafe.

✉️ Credentials per Mail

Risiko: Gemailte Passwörter bleiben überall als Kopie liegen — du bekommst sie nie zurück.

So machst du's richtig

• Nie Zugangsdaten per Mail, Chat oder Ticket.
• Über Passwort-Manager teilen oder Einmal-Link.
• Login und Passwort über getrennte Kanäle.

🔴 Realfall: Sony Pictures 2014 — ein Ordner „Password" voller Klartext-Zugangsdaten verschärfte den Hack massiv.

🎣 Phishing

Risiko: Künstlicher Druck und gefälschte Absender bringen dich zu Klick, Zahlung oder Datenpreisgabe.

So machst du's richtig

• Absender-Domain prüfen, nicht nur den Anzeigenamen.
• Links vor dem Klick ansehen (Ziel-Domain lesen).
• Bei Geld/Zugängen über zweiten bekannten Kanal rückfragen.
• Im Zweifel melden, nicht klicken.

🔴 Realfall: Google & Facebook 2013–2015 — gefälschte Rechnungen per Mail, über 100 Mio. $ erbeutet.

🤖 Credentials in KI

Risiko: Alles im Prompt verlässt den Rechner und kann Jahre später in einem Leak auftauchen.

So machst du's richtig

• Keine echten Secrets oder Mandantendaten in KI — Platzhalter nutzen.
• Nur freigegebene Enterprise-/Team-Tools.
• Geleaktes sofort rotieren und melden.

🔴 Realfall: Samsung 2023 — Quellcode in ChatGPT eingefügt → KI-Verbot auf allen Firmengeräten.