Passwörter werden, so gut wie immer, verschlüsselt in (Web-)Applikationen gespeichert. Als standard Verschlüsselungsalgorithmus galt lange Zeit MD5. Inzwischen kann man ein durchschnittliches MD5-verschlüsseltes Passwort in knapp 35 Minuten auf dem eigenen Rechner knacken. Wie geht das? Es gibt drei Möglichkeiten: “brute force” also das ausprobieren aller Möglichen Kombinationen, Wörterbuch-Angriff – es werden alle Passwörter aus einer Liste ausprobiert oder das Knacken mit so genannten Rainbow Tables. Eine “Regenbogentabelle” ist eine Datenstruktur die eine schnelle. probabilistische Suche nach einem, zum Verschlüsselten- passenden Klartext Passwort, ermöglicht. Solche Tabellen sind problemlos im Internet zu finden.
Ein sehr bekanntes Tool, welches alle drei Optionen beherrscht ist John the Ripper. JtR kann aber noch viel mehr wie zum Beispiel ganze Linux/Windows Passwort Dateien via brute force entschlüsseln. Eine komplette Anleitung mit vielen Beispielen findet man auf der JtR Homepage: http://www.openwall.com/john/)

Wenn man sich selbst mit dem Knacken nicht beschäftigen will gibt es auch die Möglichkeit spezielle Seiten zu besuchen, die sich auf das Knacken von Passwörtern spezialisiert haben, wie zum Beispiel passcracking.com. Dort gibt man einfach die Verschlüsselten Passwörter ein und bekommt mit ein wenig Glück bereits Sekunden später die entschlüsselte Version zu sehen.
Da es extrem einfach ist MD5 Passwörter zu knacken, nutzen alle sicherheitsbewussten Programmierer und Administratoren ein neueres Verschlüsselungsverfahren – das Secure Hash Algorithm (SHA-2). Dieser Algorithmus gilt zwar noch als sicher, wird aber 2012 durch noch einen unbekannten Nachfolger ersetzt. Aktuell gibt es nur eine Möglichkeit ein mit SHA verschlüsseltes Passwort zu entschlüsseln – mit dem Wörterbuch Angriff. Man fertigt also eine Liste mit allen möglichen Passwörtern und probiert diese stur durch, bis irgendwann ein Treffer erzielt wird.
Viele bereits vorgefertigte Wörterbücher findet man problemlos auf diversen “Hacker”-Seiten. Eines der neusten Trends auf diesem Gebiet ist das Generieren der Wörterbücher aus Wikipedia Einträgen. So kann sichergestellt werden, dass auch Umgangssprache und aktuelle Begriffe in der Liste enthalten sind. Mehr dazu findet man unter http://blog.sebastien.raveau.name/2009/03/cracking-passwords-with-wikipedia.html.

An dieser stelle solle man noch erwähnen, dass nach dem Hacker-Paragraph (§202c StGB) sogar der Besitz solcher Tools in Deutschland strafbar ist.