Hashing bildet Daten über eine Einwegfunktion auf einen Prüfwert ab. Es sichert Integrität und speichert Passwörter – sofern starke, gesalzene Verfahren genutzt werden.
Hashing ist eine Einwegfunktion: Sie bildet beliebige Daten auf einen Wert fester Länge ab, den Hashwert. Aus dem Hashwert lässt sich das Original nicht zurückrechnen, und schon eine winzige Änderung der Eingabe erzeugt einen völlig anderen Hash. Das unterscheidet Hashing grundlegend von der Verschlüsselung, die bewusst umkehrbar ist.
Hashing hat zwei zentrale Einsatzgebiete: Es prüft die Integrität von Daten (stimmt der Hash, wurde nichts verändert) und es speichert Passwörter, ohne sie im Klartext abzulegen. Bei der Anmeldung wird nur der Hash verglichen. Gerät eine solche Hash-Datenbank in falsche Hände, bleibt das eigentliche Passwort zunächst verborgen – wie gut, hängt allein vom gewählten Verfahren ab.
Sichere und unsichere Verfahren
Nicht jedes Hash-Verfahren eignet sich für jeden Zweck. Entscheidend sind:
- für Integrität: moderne Verfahren wie SHA-256; veraltete wie MD5 oder SHA-1 gelten als gebrochen,
- für Passwörter: bewusst langsame, speicherintensive Verfahren wie bcrypt, scrypt oder Argon2,
- ein individueller Zufallswert je Passwort (Salt), der vorberechnete Angriffe verhindert,
- ausreichend hohe Rechenkosten, um massenhaftes Durchprobieren unattraktiv zu machen.
Bedeutung für Unternehmen
In Windows-Netzen sind Passwort-Hashes mehr als nur gespeicherte Geheimnisse: Sie lassen sich in bestimmten Verfahren direkt für Anmeldungen verwenden. Angriffe wie Pass-the-Hash oder Kerberoasting leben davon, dass Hashes erbeutet und ausgewertet werden. Für Entscheider heißt das: Wie Passwörter gehasht und wo Hashes zugänglich sind, entscheidet mit darüber, wie weit ein Angreifer im Netz kommt.
Härtung und Prüfung aus Red-Team-Sicht
Wir prüfen, ob Passwörter mit starken Verfahren gehasht werden und wie gut erbeutete Hashes einem Prüfversuch standhalten. Empfohlene Maßnahmen:
- für Passwörter ausschließlich moderne, gesalzene Verfahren (bcrypt, scrypt, Argon2) einsetzen,
- veraltete Hash-Verfahren vollständig ablösen,
- Zugriff auf Speicherorte von Hashes (etwa auf Domänencontrollern) streng begrenzen,
- lange, zufällige Passwörter für Dienstkonten erzwingen,
- Monitoring auf Massenzugriffe, die auf Hash-Diebstahl hindeuten,
- privilegierte Konten zusätzlich über die Protected-Users-Gruppe schützen,
- Prüfprozesse regelmäßig gegen aktuelle Empfehlungen abgleichen.
Diese Prüfung ist Teil unserer Penetrationstests und der Active-Directory-Leistung.