Mit ChatGPT erstellte Passwörter sind nicht sicher

Inhaltsverzeichnis

Auf den ersten Blick mag es als sinnvolle Idee erscheinen, KI-Chatbots mit der Erstellung von sicheren Passwörtern zu beauftragen. Doch das dürfte sich schnell als gefährlicher Irrtum herausstellen, wie Sicherheitsforscher warnen.

KI mit eingebauter Schwachstelle

Entsprechenden Tests der Firma Irregular zufolge lassen sich die per KI erstellten Passwörter nämlich leicht knacken – und das, obwohl sie für Laien durchaus sicher aussehen. Das Problem: Große Sprachmodelle (LLM), auf denen ChatGPT, Gemini oder Claude basieren, haben in diesem Zusammenhang eine eingebaute Schwachstelle.

Denn diese KI-Systeme sind darauf optimiert, vorhersehbare und plausible Ergebnisse zu generieren. Das sei mit einer sicheren Passworterzeugung nicht kompatibel, warnen die Experten. Oder einfacher gesagt: LLMs können keinen echten Zufall, da sie Zeichenfolgen anhand von Wahrscheinlichkeiten und den integrierten Trainingsdaten ausgeben.

Zeichenfolgen an vorhersehbaren Stellen

Dabei erzeugen die KI-Chatbots zwar Passwörter, die aussehen wie sichere Zeichenfolgen mit Sonderzeichen und Zahlen. Allerdings würden diese oft an identischen und damit vorhersehbaren Stellen platziert, so die Experten. Ein kryptografisch sicheres Passwort habe eine Entropie von rund 98 Bit. Die KI-generierten Passwörter haben in den Tests dagegen nur rund 27 Bit erreicht. Das bedeute, dass Hacker die KI-Passwörter per Brute-Force-Attacke selbst mit normalen Computern innerhalb von Stunden statt Jahrzehnten knacken könnten.

Getestet haben die Sicherheitsforscher Anthropics Claude Opus 4.6, OpenAIs GPT-5.2 und Googles Gemini 3 Flash. Bei allen drei KI-Systemen hätten sich feste Strukturen gezeigt, etwa identische Anfänge und nur geringe Variationen bei der Zeichenauswahl.

Muster in Open-Source-Code

Den Forschern zufolge ist das Problem längst nicht mehr theoretisch, sondern habe längst seinen Niederschlag in der Softwareentwicklung gefunden. So seien die identifizierten Muster in Open-Source-Code auf GitHub gefunden worden. Das sogenannte Vibe-Coding könne dadurch zum gefährlichen Einfallstor für Cyberangriffe werden.

Experten raten daher zur Nutzung von Passwort-Managern, die auf kryptografisch sichere Pseudozufallszahlengeneratoren setzen. Einige KI-Anbieter haben derweil schon auf die potenzielle Gefahr reagiert. Gemini etwa zeigt Warnhinweise an, dass die von der KI erstellten Passwörter nicht für echte Konten genutzt werden sollten.

Aber: Forscher der ETH Zürich und der Università della Svizzera italiana haben herausgefunden, dass einige beliebte Passwort-Manager mit Sicherheitsproblemen zu kämpfen haben. Die betroffenen Hersteller arbeiten eigenen Angaben zufolge nach schon an der Behebung der identifizierten Schwachstellen.

Dieser Beitrag ist zuerst auf t3n.de erschienen.

Siehe auch:

• KeePassXC: Download schnell und sicher von heise.de
• LastPass: Download schnell und sicher von heise.de
• 1Password bei heise download
• Bitwarden bei heise download
• Dashlane bei heise download

(jle)