Risiken von KI-generierten Passwörtern und deren Auswirkungen auf die digitale Sicherheit

Die digitale Sicherheit ist in der heutigen Geschäftswelt von zentraler Bedeutung. Angesichts der zunehmenden Verbreitung von Künstlicher Intelligenz (KI) stellt sich die Frage, wie diese Technologie die etablierten Sicherheitspraktiken beeinflusst. Insbesondere die Generierung von Passwörtern durch KI-Chatbots wie ChatGPT hat in jüngster Zeit die Aufmerksamkeit von Sicherheitsexperten auf sich gezogen. Eine detaillierte Analyse der von diesen Systemen erzeugten Passwörter offenbart jedoch unerwartete Schwachstellen, die für Unternehmen und deren digitale Infrastruktur erhebliche Risiken bergen können.

Die trügerische Sicherheit von KI-Passwörtern

Es mag intuitiv erscheinen, einen hochentwickelten KI-Chatbot um die Erstellung eines sicheren Passworts zu bitten. Die Annahme, dass eine solche Intelligenz in der Lage ist, eine komplexe und unknackbare Zeichenfolge zu generieren, liegt nahe. Doch aktuelle Studien und Selbstversuche von Sicherheitsforschern, darunter Experten des Unternehmens Irregular, zeigen ein alarmierendes Bild: Obwohl KI-generierte Passwörter bei gängigen Sicherheitschecks oft gute Bewertungen erhalten, sind sie vergleichsweise leicht durch automatisierte Erratungsversuche, sogenannte Brute-Force-Angriffe, zu kompromittieren.

Warum KI-Modelle keine echten Zufall erzeugen können

Das Kernproblem liegt in der Funktionsweise Großer Sprachmodelle (LLMs), auf denen Chatbots wie ChatGPT, Gemini oder Claude basieren. Diese Systeme sind darauf optimiert, plausible und vorhersehbare Ergebnisse zu liefern, indem sie das wahrscheinlichste nächste Zeichen basierend auf ihren umfangreichen Trainingsdaten und Algorithmen vorhersagen. Diese Eigenschaft, die für die Generierung kohärenter Texte unerlässlich ist, steht im direkten Widerspruch zur Anforderung an ein sicheres Passwort: echte Zufälligkeit.

Ein kryptografisch sicheres Passwort erfordert, dass jedes Zeichen mit gleicher Wahrscheinlichkeit ausgewählt wird, unabhängig von den vorhergehenden Zeichen. Dies wird typischerweise durch kryptografisch sichere Pseudozufallszahlengeneratoren (CSPRNGs) gewährleistet. LLMs verfügen jedoch nicht über diese Fähigkeit. Sie "denken" eher, als zu "würfeln", und erzeugen dabei Muster, die für Menschen zwar komplex erscheinen mögen, für spezialisierte Angreifer-Software jedoch erkennbar und ausnutzbar sind.

Empirische Belege und alarmierende Erkenntnisse

Die Studie von Irregular, mit dem Titel "Vibe Password Generation: Predictable by Design", untersuchte im Februar 2026 die Passwortgenerierungsfähigkeiten von ChatGPT, Gemini und Claude. Die Forscher baten diese Modelle jeweils 50 Mal, ein sicheres 16-stelliges Passwort mit Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen zu generieren. Die Ergebnisse waren aufschlussreich:

• Geringe Vielfalt bei Claude: Claude lieferte bei 50 Versuchen lediglich 30 verschiedene Passwörter. Ein Passwort wurde sogar 18 Mal identisch generiert, was einer Wiederholungsrate von 36 Prozent entspricht.
• Auffällige Anfangszeichen: GPT-Passwörter begannen mit auffälliger Regelmäßigkeit mit dem Buchstaben "v", während Gemini-Passwörter fast immer mit "K" oder "k" starteten.
• Mangel an echter Zufälligkeit: Selbst bei maximaler "Temperatur" (Kreativitätsgrad) der Modelle blieben diese Muster bestehen. Die generierten Passwörter erreichten in den Tests nur eine Entropie von etwa 27 Bit, während ein kryptografisch sicheres Passwort rund 98 Bit aufweisen sollte. Dies bedeutet, dass Hacker solche Passwörter mittels Brute-Force-Angriffen innerhalb weniger Stunden knacken könnten, selbst mit älterer Hardware.
• "Vibe Passwords": Die Forscher prägten den Begriff "Vibe Passwords" für diese Kategorie von Passwörtern, die zwar sicher aussehen, es aber nicht sind.

Reale Risiken in der Softwareentwicklung

Das Problem beschränkt sich nicht nur auf Endnutzer, die Chatbots direkt nach Passwörtern fragen. Die identifizierten Muster wurden bereits in Open-Source-Code auf Plattformen wie GitHub gefunden. Dies deutet darauf hin, dass KI-generierte Passwörter bereits in realen Projekten, Konfigurationsdateien und Produktionssystemen zum Einsatz kommen. Das sogenannte "Vibe-Coding" kann somit zu einem ernsthaften Einfallstor für Cyberangriffe werden, da Angreifer diese vorhersehbaren Strukturen gezielt ausnutzen können.

Handlungsempfehlungen für Unternehmen

Angesichts dieser Erkenntnisse ist es für Unternehmen unerlässlich, ihre Passwortstrategien zu überprüfen und anzupassen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) sowie weitere Sicherheitsexperten empfehlen klare Alternativen zur Generierung von Passwörtern durch KI-Chatbots:

1. Einsatz von Passwort-Managern

Passwort-Manager wie Bitwarden, 1Password oder KeePass verwenden interne, kryptografisch sichere Zufallsgeneratoren. Diese Tools erstellen robuste und einzigartige Passwörter für jede Anwendung, speichern sie sicher und füllen sie bei Bedarf automatisch aus. Das BSI empfiehlt den Einsatz solcher Lösungen ausdrücklich.

2. Umstieg auf Passkeys

Wo immer möglich, sollten Unternehmen und ihre Mitarbeiter auf Passkeys umsteigen. Dieses moderne Anmeldeverfahren (FIDO2/WebAuthn) kommt ganz ohne Passwörter aus und nutzt stattdessen biometrische Daten wie Fingerabdruck oder Gesichtserkennung. Da keine Passwörter übertragen werden, können Angreifer diese auch nicht stehlen. Passkeys gelten derzeit als die sicherste Option.

3. Implementierung der Zwei-Faktor-Authentifizierung (2FA)

Auch bei der Verwendung starker Passwörter bietet die alleinige Absicherung keinen ausreichenden Schutz. Die Aktivierung der Zwei-Faktor-Authentifizierung (2FA) erhöht die Sicherheit erheblich, indem ein zweiter Faktor (z.B. ein Code per Authenticator-App) zusätzlich zum Passwort abgefragt wird. Dies erschwert Angreifern den Zugriff, selbst wenn das Passwort kompromittiert wurde. Insbesondere für E-Mail-Konten, die oft als Wiederherstellungsoption für andere Dienste dienen, ist 2FA unerlässlich.

4. Bewusstseinsschärfung und Schulungen

Unternehmen sollten ihre Mitarbeiter über die Risiken von KI-generierten Passwörtern aufklären und Schulungen zu Best Practices im Bereich Passwortsicherheit anbieten. Dazu gehört auch die Empfehlung, Passwörter selbst zu wählen, die lang und weniger komplex sind (z.B. eine Folge zufälliger Wörter) anstatt kurz und hochkomplex. Für jedes Konto sollte ein eigenes, einzigartiges Passwort verwendet werden.

Fazit

Die Fähigkeit von KI-Chatbots, scheinbar sichere Passwörter zu generieren, erweist sich bei näherer Betrachtung als eine potenzielle Sicherheitslücke. Die inhärente Tendenz dieser Modelle zur Mustererkennung und Wahrscheinlichkeitsvorhersage macht ihre Ausgaben anfällig für gezielte Angriffe. Für Unternehmen bedeutet dies, dass sie sich nicht auf die Passwortvorschläge von KI-Systemen verlassen dürfen. Stattdessen müssen sie auf bewährte Sicherheitslösungen wie Passwort-Manager und Passkeys setzen und eine Kultur der digitalen Sicherheit durch umfassende Aufklärung und Schulung fördern. Nur so kann die Integrität und Vertraulichkeit sensibler Unternehmensdaten in einer zunehmend von KI geprägten Landschaft gewährleistet werden.

Es ist wichtig zu betonen, dass einige KI-Anbieter wie Gemini bereits auf diese Problematik reagiert haben und Warnhinweise anzeigen, die darauf hinweisen, dass KI-generierte Passwörter nicht für echte Konten verwendet werden sollten. Dies unterstreicht die Dringlichkeit, das Bewusstsein für diese Sicherheitsrisiken zu schärfen und proaktive Maßnahmen zu ergreifen.

Bibliography:

1. Irregular (Frontier AI Security), „Vibe Password Generation: Predictable by Design“, Februar 2026
2. t3n.de, "ChatGPT knackt sein eigenes Passwort: Was das für deine Sicherheit bedeutet", 17.03.2026
3. WDR.de, "Warum KI-Chatbots keine sicheren Passwörter liefern", 06.03.2026
4. heise.de, "Mit ChatGPT erstellte Passwörter sind nicht sicher", 23.02.2026
5. diprotec.de, "Die verborgene Gefahr: Warum mit ChatGPT erstellte Passwörter unsicher sind", 02.03.2026
6. pcwelt.de, "Experten warnen vor neuem Passwort-Trend – was ihn so gefährlich macht", 28.02.2026