Standardpasswörter scannen: Warum es sie gibt – und wie Sie sie sicher finden

Könnten Sie gerade jetzt jedes Gerät in Ihrem Netzwerk benennen oder darauf wetten, dass Ihre CMDB aktuell und lückenlos ist? Könnten Sie dann bestätigen, dass keines der darin enthaltenen Assets noch das Passwort verwendet, mit dem es ausgeliefert wurde? Genau in dieser Lücke leben Standardpasswörter. Und genau deshalb bleiben sie für Angreifer einer der zuverlässigsten Wege in ein Netzwerk.

Was ist ein Standardpasswort? 

Ein Standardpasswort ist der Zugang, mit dem ein Gerät oder Dienst ab Werk ausgeliefert wird. Es existiert, damit das Gerät in Betrieb genommen werden kann und ist dafür gedacht, sofort danach geändert zu werden. Oft passiert genau das Ändern des Standardpasswortes nicht. Und diese Zugangsdaten sind kein Geheimnis: Sie stehen in Herstellerhandbüchern, sind auf öffentlichen Webseiten gelistet und Teil jedes gängigen Cyberkriminellen-Toolkits. 

 Wenn also jeder weiß, dass admin/admin ein Problem ist - warum taucht es immer wieder auf? 

• Das Gerät ist in Verwaist geraten. Ein Switch, der vor sechs Jahren installiert wurde. Eine Kamera im Treppenhaus. Equipment, das ein Dienstleister eingerichtet hat. Zugangsdaten lassen sich nicht rotieren für ein Gerät, welches eigentlich nicht existieren sollte.
  
  
• Es ist zu wichtig, um es anzufassen. Ein System, das keinen Ausfall verträgt, oder Equipment, bei dem eine Passwortänderung eine Integration gefährdet, die niemand mehr vollständig versteht. Das Standardpasswort überlebt, weil es riskanter wirkt, es zu ändern, als es zu lassen. 
  
  
•  Es lässt sich gar nicht ändern. Der schlechteste Fall: Zugangsdaten, die der Hersteller fest in die Geräte-Firmware einprogrammiert hat, ohne jede Möglichkeit, sie zu ändern. Das kommt häufiger vor, als es klingt, und nicht nur bei Billig-Hardware. Solche fest codierten Logins finden sich in Medizingeräten und sogar in zertifizierter Industrieausrüstung.

Was der Gesetzgeber heute schon fordert

Der letzte Fall rückt zunehmend in den Fokus der Regulierung, und in DACH ist das längst keine Zukunftsmusik mehr.

In Deutschland schreibt das BSI im IT-Grundschutz-Kompendium, Baustein ORP.4 (Identitäts- und Berechtigungsmanagement), unmissverständlich vor: Werkseitig vergebene Passwörter sind durch ausreichend starke Passwörter zu ersetzen, vordefinierte Kennungen sind zu ändern. Für die rund 29.500 Unternehmen, die seit Inkrafttreten des NIS2-Umsetzungsgesetzes (NIS2UmsuCG) am 6. Dezember 2025 unter BSI-Aufsicht stehen, ist das kein unverbindlicher Ratschlag mehr, sondern Teil der geforderten Risikomanagementmaßnahmen – mit Bußgeldern bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes und persönlicher Haftung der Geschäftsleitung.

In Österreich zieht das nationale NISG 2026 ab dem 1. Oktober 2026 mit eigener Aufsichtsbehörde und eigenen Fristen nach. Auf EU-Ebene verlangt zusätzlich der Cyber Resilience Act (Verordnung 2024/2847) von Herstellern, Standardpasswörter künftig ganz abzuschaffen: Neue Geräte müssen ab Dezember 2027 mit eindeutigen Zugangsdaten ausgeliefert werden oder bei der Erstinbetriebnahme zu einer Änderung zwingen. Das betrifft aber nur neue Produkte. Der bereits installierte Gerätebestand in Ihrem Netzwerk bleibt Ihr Problem, und laut BSI-Lagebericht 2025 wächst die Angriffsfläche in Deutschland gerade in diesem Bereich weiter - und Angreifer nutzen diese schlecht geschützten Zielen aus.

Wo verstecken sich Standardpasswörter im Netzwerk wirklich? 

Die meisten Teams haben die offensichtlichen Systeme im Griff: Server, die Hauptfirewall, die täglich genutzten Konten. Dort überleben Standardpasswörter nicht. Sie überleben an den Rändern, in den Lücken der CMDB und in den verwirrten Zuständigkeitsbereichen – und das Risiko steigt, je weiter man sich von dem entfernt, was als "kritisch" Eingestuft wird:

• Netzwerktechnik, einmal eingerichtet und vergessen. Router, Switches und WLAN-Controller, einmal konfiguriert und seither unangetastet. Sie funktionieren, also loggt sich niemand ein, also merkt niemand, dass sich das Passwort nie geändert hat. 
  
  
• Server-Management-Controller, deren Erreichbarkeit niemand mehr auf dem Schirm hat. Die meisten Server verfügen über einen zweiten Zugang: ein kleines eingebautes System, das die Maschine auch dann noch fernsteuert, wenn sie ausgeschaltet ist. Dells iDRAC wurde historisch mit root/calvin ausgeliefert, IBMs Pendant mit USERID/PASSW0RD. Wer einen solchen Controller erreicht, kontrolliert den Server – und diese Systeme laufen still im Hintergrund, wo niemand hinschaut.
  
  
• Alltägliche Hardware, die niemand als Teil der Angriffsfläche vermutet. IP-Kameras, Netzteile, die noch auf apc/apc reagieren, Badge-Scanner, Speichergeräte, Drucker. Jedes davon ist ein vernetzter Computer mit einem Login, welcher nie verwaltet wurde.
  
  
• Operational Technology (OT) – der blinde Fleck im blinden Fleck. In Fertigung, Energieversorgung und Wasserwirtschaft laufen physische Prozesse über SPS (speicherprogrammierbare Steuerungen), Remote Terminal Units und die darüberliegenden SCADA-Systeme. Standardpasswörter sind hier häufiger als überall sonst – aus den denkbar schlechtesten Gründen: Vor Jahren von einem Integrator installiert, für ein Jahrzehnt unangetasteten Betrieb ausgelegt, sollte nie für die Außenwelt erreichbar sein und oft nur mit Spezialwissen überhaupt änderbar. 

Darum sind Standardpasswörter in OT- und SCADA-Umgebungen besonders gefährlich

In der Operational Technology steht mehr auf dem Spiel. Bei einem Büro-System bedeutet ein gestohlenes Login meist gestohlene Daten. Bei einem industriellen System kann es die physische Unterbrechung einer Produktionslinie, eines Stromnetzes oder einer Wasserversorgung bedeuten.

Das ist keine Theorie. Im November 2023 übernahmen Angreifer die Kontrolle über Equipment der Municipal Water Authority of Aliquippa in Pennsylvania, indem sie eine speicherprogrammierbare Steuerung erreichten, die mit weiterhin aktivem Standardpasswort direkt aus dem Internet zugänglich war. Die US-Cybersicherheitsbehörde CISA nannte in ihrer Warnung an andere Versorger das konkrete zu entfernende Zugangsdatum: das Standardpasswort „1111". Dasselbe Steuerungsmodell wird in Fertigung, Pipelines und Chemieanlagen eingesetzt – die Gefährdung war also nie auf eine einzelne Branche beschränkt. Der Wasserversorger musste vorübergehend auf manuellen Betrieb umstellen.

Genau deshalb stehen Standardzugangsdaten im Zentrum credential-basierter Angriffe auf kritische Infrastrukturen, und genau deshalb verlangt OT-Sicherheit eine genauere Prüfung als reine IT-Sicherheit. Es ist auch der Grund, warum sowohl NIS2 als auch die Schweiz – die Meldepflicht nach ISG diesen Umgebungen so viel Beachtung schenken.

Manuelle Prüfung vs. die Assesments, die Sie ohnehin schon durchführen 

Standardpasswörter zu prüfen ist im Prinzip nicht schwer, und es gibt kostenlose Tools dafür. Doch sie liefern nur eine Momentaufnahme eines sich ständig verändernden Ziels. Man führt die Prüfung durch, erhält eine Liste – und in der nächsten Woche baut jemand ein neues Gerät ein oder ein Dienstleister schließt ein Gerät an, und die Liste ist veraltet. Diese Übersicht über Hunderte Geräte von Dutzenden Herstellern aktuell zu halten, ist eine Aufgabe, die niemand konsequent übernimmt, und genau die vergessenen Geräte, bei denen ein Standardpasswort am wahrscheinlichsten noch aktiv ist, sind die, die eine einmalige Prüfung übersieht.

Die zuverlässige Methode: die Prüfung zum festen Bestandteil eines Scans zu machen, den Sie ohnehin schon regelmäßig durchführen. Eine Vulnerability-Management-Plattform, die Ihr Netzwerk scannt und inventarisiert, was damit verbunden ist, weiß bereits, um welches Gerät es sich jeweils handelt. Genau dieses Inventar braucht eine Standardpasswort-Prüfung – und sie läuft bei jeder Bewertung mit, statt nur an dem einen Nachmittag, an dem jemand einmal daran gedacht hat.

So scannt Holm Security auf Standardpasswörter

Die Schwachstellenmanagement-Plattform von Holm Security führt über 300 Standardpasswort-Prüfungen als festen Bestandteil des Standard-Netzwerkscans durch. Dafür ist kein separates Tool und kein zusätzlicher Scandurchlauf nötig! Die Prüfung auf Standardpasswörter läuft automatisch mit.

Entscheidend ist dabei, wie geprüft wird. Statt Brute Force – also eine lange Passwortliste gegen jedes Gerät zu testen – identifiziert jede Prüfung zuerst das Gerät und testet danach nur eine kleine Auswahl bekannter Werkszugangsdaten für genau dieses Produkt. Ein Dell iDRAC wird gegen root und calvin geprüft, ein Microsoft SQL Server gegen sein leeres sa-Konto, eine PostgreSQL-Instanz gegen postgres/postgres, ein APC-Netzteil gegen apc/apc. Die Zugangsdaten stammen aus einer gepflegten Bibliothek dokumentierter Werkslogins von rund 130 Herstellern.

• Jedes Gerät wird nur gegen seine eigene, überschaubare Anzahl bekannter Standardzugänge getestet. So bleibt das Sperrrisiko gering.
• Die Prüfungen bauen auf der Asset-Erkennung auf, die die Plattform ohnehin durchführt, und erreichen so auch die vergessenen Assets, die eine manuelle Prüfung nie beachten würde.
• Die Abdeckung konzentriert sich auf Systeme mit hoher Tragweite – Netzwerktechnik, Server-Controller, Appliances und Datenbanken. So können Sie das schützen, was wirklich zählt.

Für Operational Technology gilt dieselbe Methode mit zusätzlicher Vorsicht. Industrieausrüstung kann empfindlich sein und genau deshalb bleiben Scan-Umfang und -Profil vollständig in Ihrer Kontrolle.

Finden Sie Standardpasswörter in Ihrer IT-Infrastruktur, bevor es jemand anderes tut. Gerne zeigen unsere Experten Ihnen, wie Holm Security IT-Sicherheitsverantwortliche dabei unterstützt Standardpasswörter in Ihrem gesamten Netzwerk aufzudecken. Jetzt Demotermin vereinbaren!

FAQ

Was ist ein Standardpasswort? 

Ein Standardpasswort ist die Zugangskennung, mit der ein Gerät oder Dienst ab Werk ausgeliefert wird – gedacht dafür, bei der Einrichtung geändert zu werden. Typische Beispiele sind admin/admin oder leere Administrator-Konten. Bleiben sie unverändert, verschaffen sie jedem mit dem passenden Handbuch oder dem Wissen über dieses Passwort einen Zugang. 

Warum sind Standardpasswörter ein Sicherheitsrisiko?

Standardzugangsdaten sind öffentlich bekannt und fest in Angreifer-Toolkits verankert. Unveränderte Standardzugänge sind damit praktisch eine offene Tür. Am höchsten ist das Risiko bei vergessenen oder schwer erreichbaren Geräten, am gravierendsten in der Operational Technology, wo ein Zugriff direkt physische Störungen in Prozessen verursachen kann. 

Wie scanne ich mein Netzwerk auf Standardpasswörter?

Eine manuelle Prüfung funktioniert für einzelne bekannte Geräte, skaliert aber nicht. Der zuverlässige Ansatz ist eine Vulnerability-Management-Plattform, die jedes verbundene Gerät automatisch inventarisiert und gegen dessen bekannte Werkszugangsdaten prüft – als fester Bestandteil der laufenden Bewertung statt als einmalige Aktion. 

 Ist es sicher, Standardpasswort-Prüfungen auf empfindlicher oder OT-Ausrüstung durchzuführen? 

Richtig umgesetzt: ja. Eine sichere Prüfung testet nur die wenigen Zugangsdaten, mit denen ein erkanntes Gerät nachweislich ausgeliefert wird – nicht eine lange Passwortliste. Das hält die Anzahl der Versuche minimal. Bei sensibler Operational Technology sollten Sie Scan-Umfang und -Profil trotzdem selbst steuern.