Diese Frage klingt wie der Auftakt zu einem Science-Fiction-Thriller: Eine künstliche Intelligenz, die einzigartige Muster erkennt, jede Firewall durchdringt und die Passwörter unserer Konten in Sekundenbruchteilen entschlüsselt.
Die Angst vor einer alles dominierenden KI, die unsere digitale Privatsphäre im Handumdrehen auflöst, ist weit verbreitet. Doch die Realität ist, wie so oft, deutlich komplexer, nuancierter und in manchen Belangen sogar überraschend beruhigend.
Das Paradox der KI-Passwörter: Scheinsicherheit in Perfektion
Beginnen wir mit einem der größten Missverständnisse unserer Zeit, der Annahme, man könne eine KI wie ChatGPT bitten, ein ultimatives, unknackbares Passwort zu generieren. Genau das Gegenteil ist der Fall. Sicherheitsforscher haben herausgefunden, dass große Sprachmodelle (LLMs) ein fundamentales Problem mit echter Zufälligkeit haben. Diese Systeme sind nämlich darauf trainiert, plausible und wahrscheinliche Muster fortzuführen – ein Konzept, das der Sicherheitsidee der Unvorhersehbarkeit diametral entgegensteht.
Das Ergebnis sind Passwörter, die auf den ersten Blick komplex und sicher wirken, da sie mit Sonderzeichen und Zahlen gespickt sind. Bei genauerer Betrachtung offenbaren sie jedoch ein erschreckendes Maß an Vorhersehbarkeit. Bestimmte Zeichen werden bevorzugt an immer denselben Positionen platziert und viele Vorschläge beginnen mit identischen Buchstaben.
In Tests erreichten diese KI-generierten Passwörter oft nur eine Entropie von rund 27 Bit, während ein kryptografisch sicheres, 16-stelliges Passwort auf etwa 98 Bit kommt. Das bedeutet in der Praxis, dass ein Angreifer mit einem normalen Computer ein solches KI-Passwort per Brute-Force-Attacke in wenigen Stunden statt in Jahrzehnten knacken könnte.
Die vermeintliche Hilfe entpuppt sich somit als gefährliche Schwachstelle, die sich bereits im frei verfügbaren Quellcode auf Entwicklerplattformen wiederfindet.
Die Grenzen der Intelligenz: Warum LLMs keine Meisterdiebe sind
Doch wie steht es um die Fähigkeit von KI, bestehende Passwörter zu knacken? Auch hier zeichnet die Forschung ein differenziertes Bild. Eine Studie aus dem Jahr 2025 untersuchte, wie gut vortrainierte LLMs darin sind, Passwörter basierend auf strukturierten Nutzerprofilen zu erraten.
Das Ergebnis war ernüchternd: Alle getesteten Modelle erreichten eine Trefferquote von weniger als 1,5 Prozent. Die Wissenschaftler schlussfolgerten, dass es den aktuellen LLMs an der nötigen Domänenanpassung und Merkfähigkeit mangelt, um effektiv Passwörter herzuleiten – zumindest wenn sie nicht auf geleakten Passwort-Datensätzen trainiert wurden. Traditionelle, regelbasierte Methoden schnitten in diesen Tests deutlich besser ab.
Das bedeutet jedoch nicht, dass KI im Passwort-Cracking nutzlos ist, sondern lediglich, dass ihre Rolle eine andere ist als oft angenommen. KI-Modelle wie PassGAN, ein Generative Adversarial Network, lernen die Verteilung echter Passwörter aus Datenlecks und generieren daraus hochwertige Rateversuche.
Sie sind extrem gut darin, menschliche Muster zu erkennen – Namen, Daten, Jahreszeiten, vorhersehbare Ersetzungen – und diese Erkenntnisse in intelligenten Rate-Reihenfolgen zu nutzen. Das ist keine Zauberei, sondern eine effiziente Optimierung der menschlichen Vorhersehbarkeit.
Gegen lange, wirklich zufällige Passwörter, die von einem Passwort-Manager generiert wurden, richten diese Methoden jedoch wenig aus.
Die eigentliche Gefahr: Wenn KI zum Türöffner wird
Die eigentliche Gefahr liegt woanders – und sie ist subtiler, aber nicht weniger real. Denn KI senkt vor allem die Hürden für Angriffe. So wird es beispielsweise einfacher, leistungsfähige Cracking-Verbünde aus mehreren Rechnern aufzusetzen und zu betreiben, wofür früher ausgeprägtes Spezialwissen nötig war.
Gleichzeitig werden KI-Systeme immer besser darin, Software-Schwachstellen mit minimaler menschlicher Unterstützung zu finden und auszunutzen. Damit ebnen sie Angreifern den Weg zu Passwort-Datenbanken, noch bevor das eigentliche Knacken überhaupt beginnt.
Paradoxerweise liegt die derzeit wohl größte sicherheitsrelevante KI-Bedrohung aber nicht im Passwort-Cracking, sondern in der Erstellung täuschend echter Phishing-Nachrichten, die Nutzer dazu verleiten, ihre Zugangsdaten freiwillig preiszugeben.
Die nächste Bedrohung: Kryptographie und die Sorge vor dem großen Durchbruch
Doch die Geschichte endet nicht bei Passwörtern. Die vielleicht faszinierendste und beunruhigendste Entwicklung betrifft die Kryptografie selbst, also die mathematische Grundlage, auf der sichere Kommunikation und digitale Signaturen beruhen.
Im Jahr 2026 sorgte der Ethereum-Forscher Justin Drake mit der Warnung für Aufsehen, dass KI die elliptische Kurven-Kryptographie (ECDSA), das Rückgrat der Sicherheit von Bitcoin und Ethereum, möglicherweise noch vor dem Aufkommen leistungsfähiger Quantencomputer brechen könnte. Seine These: KI-gesteuerte Mathematik könnte effiziente Angriffe auf bestehende Hardware ermöglichen, die bisher als unlösbar galten.
Diese Warnung ist umstritten. Bislang gibt es keine öffentlich nachgewiesene Methode und Kritiker betonen, dass die tatsächliche Bedrohung noch nicht bewiesen ist.
Dennoch gibt es ähnliche Entwicklungen: So entdeckte das KI-Modell Claude-Mythos eine grundlegende Schwachstelle in „HAWK”, einem Kandidaten für Post-Quanten-Kryptografie, der bereits zwei Evaluierungsrunden durchlaufen hatte.
Die Entwickler zogen den Algorithmus daraufhin freiwillig aus dem Standardisierungsverfahren zurück. Die KI hatte keine neue mathematische Theorie entwickelt, sondern bestehende Techniken auf eine Weise kombiniert, die menschlichen Forschern nicht eingefallen war. Dies unterstreicht eine neue Qualität: KI als Werkzeug der Kryptoanalyse, das Schwachstellen aufdecken kann, die dem menschlichen Auge entgehen.
Fazit: KI ist kein magischer Schlüssel, aber ein mächtiger Hebel
Knackt KI also bald die Zugangscodes unserer digitalen Welt? Die ehrliche Antwort lautet: Nicht im Sinne eines Generalschlüssels, mit dem sich jede Verschlüsselung im Handumdrehen aufheben lässt. Die Vorstellung, dass eine KI alle Passwörter einfach „errät“, ist ein Mythos. Die tatsächliche Entwicklung ist weitaus differenzierter.
KI ist zwar kein Allheilmittel für Angreifer, aber sie ist ein gewaltiger Multiplikator. Sie demokratisiert den Zugang zu mächtigen Angriffswerkzeugen, automatisiert die Suche nach Schwachstellen und beschleunigt die Kryptoanalyse. Dadurch wird die digitale Welt nicht über Nacht unsicherer, aber die Machtverhältnisse verschieben sich – zugunsten derer, die diese Werkzeuge zu nutzen wissen.
Die vielleicht wichtigste Erkenntnis aus der Forschung hat jedoch nichts mit KI zu tun: Die größte Schwachstelle bleibt der Mensch. Vorhersehbare Muster, wiederverwendete Passwörter und die Bequemlichkeit, die auf Kosten der Sicherheit geht, sind und bleiben die Einfallstore Nummer eins. Gegen diese Schwächen ist KI ein überaus effizientes Werkzeug.
Die Verteidigung liegt daher weniger in der Angst vor der Superintelligenz als in der konsequenten Nutzung bewährter Prinzipien: lange, zufällige Passwörter aus einem Passwort-Manager, wo immer möglich, sowie ein gesundes Misstrauen gegenüber der vermeintlichen Sicherheit, die uns eine KI vorgaukelt.
Die Zugangscodes unserer digitalen Welt werden nicht durch einen einzigen genialen KI-Streich fallen, sondern durch die vielen kleinen, automatisierten und menschlichen Fehler, die eine KI so mühelos ausnutzt.