Ophcrack: Windows-Passwort wiederherstellen, Download und Grenzen

Kein Kommentar Autor: Jürgen (jdo)

Ophcrack kann ein vergessenes Windows-Passwort wiederherstellen, wenn passende Rainbow Tables den gespeicherten Passwort-Hash abdecken. Das hilft vor allem bei älteren lokalen Konten. Das Programm setzt kein neues Passwort: Es sucht das bisherige. Bei einem Microsoft-Konto oder einem gesperrten BitLocker-Laufwerk brauchst Du einen anderen Weg. Unter Windows 10 und 11 solltest Du zuerst die Windows-eigenen Möglichkeiten zum Zurücksetzen prüfen.

Wann Ophcrack hilft und wann nicht

Ophcrack ist freie Software mit grafischer Oberfläche für mehrere Betriebssysteme. Die Ophcrack Live-CD bringt zusätzlich ein startfähiges Linux mit. Unser ursprünglicher Beitrag von 2012 stellte die Ausgabe 3.4.0 auf Basis von SliTaz 4.0 vor. Dieses alte Rettungssystem ist kein Beleg für die Unterstützung heutiger PCs.

Windows speichert bei lokalen Konten Hashwerte in der Kontodatenbank SAM. Ophcrack vergleicht solche Werte mithilfe vorberechneter Rainbow Tables. Entscheidend ist der Hash-Typ: XP-Tables sind für alte LM-Hashes gedacht, Vista-Tables für NT-Hashes. Seit Windows Vista ist das Speichern von LM-Hashes standardmäßig abgeschaltet. XP-Tables helfen daher bei üblichen Windows-10/11-Konten nicht.

NT-Hashes lassen sich grundsätzlich ebenfalls prüfen. Die Tables decken aber nur bestimmte Zeichen, Längen oder Passwortmuster ab. Lange, zufällige Passwörter außerhalb dieser Bereiche findet Ophcrack damit nicht. Dazu muss das Programm die Hashes überhaupt auslesen können. Die Download-Seite nennt Windows 10 für das portable Programm, Windows 11 jedoch nicht. Eine aktuelle Windows-11-Kompatibilität der alten Live-CD ist damit nicht zugesichert.

Ein Microsoft-Konto-Passwort lässt sich mit Ophcrack nicht zurücksetzen. Dafür ist Microsofts Kontowiederherstellung zuständig. Auch BitLocker umgeht Ophcrack nicht: Ist das Laufwerk gesperrt, suche zunächst Deinen BitLocker-Wiederherstellungsschlüssel, etwa im Microsoft-Konto, auf einem Ausdruck oder bei der zuständigen IT.

Ophcrack herunterladen: Programm, Live-CD und Tables

Auf der offiziellen Download-Seite stehen zwei verschiedene Versionsstände: Ophcrack 3.8.0 vom 6. März 2018 als portables Windows-Programm beziehungsweise Quellcode und Ophcrack LiveCD 3.6.0 vom 5. Juni 2013. Die Live-CD enthält ebenfalls Ophcrack 3.6.0, nicht 3.8.0. Die Dateien werden weiterhin über SourceForge angeboten.

XP LiveCD: für LM-Hashes, mit passenden XP-Tables.
Vista/7 LiveCD: für NT-Hashes, mit passenden Vista-Tables.
LiveCD ohne Tables: sinnvoll, wenn Du die benötigten Tabellen bereits separat hast.

Die Tables-Seite des Projekts nennt die abgedeckten Passwörter. XP Free Small und XP Free Fast unterscheiden sich unter anderem beim Speicherbedarf. Aktiviere nicht beide gleichzeitig. Bei reinen NT-Hashes bleiben XP-Tables ausgeschaltet. Vista Free nutzt Wörterbuchmuster; die dort genannte Erfolgsquote ist keine Garantie für Dein Passwort. Auch die früher kostenpflichtigen professionellen Vista-Tables sind seit September 2019 kostenlos. Sie können sehr viel Speicherplatz benötigen.

Einen Live-Stick vorbereiten

Für einen USB-Versuch kannst Du Ventoy verwenden: Installiere es auf einem leeren Stick, kopiere die gewünschte Ophcrack-ISO darauf und wähle sie nach dem Start vom Stick im Ventoy-Menü. Die Ventoy-Erstinstallation löscht den Stick. Prüfe das ausgewählte Laufwerk genau. Eine Boot-Garantie für Ophcrack auf Deinem PC ergibt sich daraus nicht; insbesondere die alte Live-CD kann an heutiger Hardware scheitern.

Die klassische Alternative ist eine als Abbild gebrannte CD oder DVD. Zusätzliche Tables liegen entpackt jeweils in einem eigenen Unterordner unter tables im Hauptverzeichnis eines angeschlossenen Datenträgers. Dann kann die Live-CD sie automatisch suchen.

Ein lokales Windows-Passwort wiederherstellen

Der folgende Ablauf beschreibt die dokumentierte Bedienung für ältere, unterstützte Windows-Systeme mit zugänglicher Systempartition. Sichere wichtige Daten vor Rettungsversuchen. Wie Datenträger-Abbilder grundsätzlich funktionieren, zeigt unser Backup-Beispiel mit dd und partclone am Raspberry Pi.

Live-System starten: Wähle das Rettungsmedium im Bootmenü Deines PCs. Bleibt die Oberfläche schwarz, bietet die Ophcrack-FAQ den Start im Textmodus als Ausweichweg an.
Konten prüfen: Werden keine Hashes automatisch geladen, öffne in Ophcrack Load → Encrypted SAM. Wähle das Verzeichnis Windows/System32/config der vorhandenen Windows-Installation mit den Dateien SAM und SYSTEM. Windows darf dabei nicht laufen.
Tables zuordnen: Öffne Tables, gib den Ordner der passenden entpackten Tabellen an und aktiviere sie. Nutze LM-Tables nur für LM-Hashes und NT-Tables für NT-Hashes.
Suche starten: Klicke auf Crack. Ein gefundenes Passwort erscheint im Feld NT Pwd. Beende anschließend das Live-System und prüfe die Anmeldung unter Windows.

Fehlt schon die Windows-Partition, löst ein größerer Tables-Download das Problem nicht. Bleibt die Suche ohne Treffer, ist damit auch kein Passwort gelöscht worden. Prüfe zunächst, ob die richtigen Hashes und Tables geladen sind. Danach ist ein Reset oft der sinnvollere nächste Schritt.

Alternativen: Windows-Passwort zurücksetzen

Microsoft-Konto: Nutze Microsofts Anleitung zum Kennwort-Reset. Wähle „Kennwort vergessen?“, bestätige Deine Identität über eine hinterlegte Wiederherstellungsmethode und vergib ein neues Passwort.

Lokales Konto: Wähle nach einem fehlgeschlagenen Anmeldeversuch „Kennwort zurücksetzen“ und beantworte Deine eingerichteten Sicherheitsfragen. Ein zuvor erstellter Kennwortrücksetzdatenträger ist eine weitere Möglichkeit. Die Windows-Hilfe für lokale Konten beschreibt auch den Reset über ein bereits vorhandenes Administratorkonto.

chntpw / Offline NT Password & Registry Editor: Dieses Werkzeug kann das lokale Passwort löschen, statt es zu ermitteln. Auch sein ursprüngliches Bootmedium ist alt: Die Projektseite nennt 2014 als letzte Veröffentlichung und Unterstützung bis Windows 8.1. Es ist daher keine pauschale Windows-11-Lösung. Der Entwickler warnt vor dem Verlust des Zugriffs auf EFS-verschlüsselte Dateien nach einem solchen Reset.

Als letzter Ausweg bleibt eine Neuinstallation mit Windows-Installationsmedium. Eine saubere Neuinstallation entfernt Dateien, Apps und Einstellungen. Sichere vorher, was noch zugänglich ist.

Nach der Wiederherstellung hilft ein Passwortmanager beim Aufbewahren neuer Zugangsdaten. Für eine lokale Passwortdatenbank findest Du die ersten Schritte in unserer KeePassXC-Anleitung. Halte einen Wiederherstellungsweg bereit, auf den Du auch ohne Anmeldung am betroffenen PC zugreifen kannst.