Milliarden gestohlener Zugangsdaten kursieren im Darknet, frei zugänglich und oft kostenlos. Credential Stuffing nutzt genau diese Datensätze: Angreifer testen automatisiert riesige Mengen an Benutzername-Passwort-Kombinationen gegen beliebige Webdienste. Das Kalkül ist einfach: Wer sein Passwort wiederverwendet, wird zum Opfer. Und das betrifft nach wie vor einen Großteil aller Nutzerinnen und Nutzer. In diesem Beitrag erklären wir, wie Credential Stuffing funktioniert, warum es so gefährlich ist und welche Maßnahmen wirklich schützen.
Credential Stuffing ist eine automatisierte Angriffstechnik, bei der zuvor geleakte Zugangsdaten systematisch gegen andere Online-Dienste getestet werden. Anders als bei Brute-Force-Angriffen, die Passwörter erraten, arbeiten Angreifer beim Credential Stuffing mit echten, bereits kompromittierten Credentials. Die Logik dahinter: Wenn jemand bei Dienst A die Kombination max@example.com / Sommer2024! verwendet hat und dieses Passwort auch bei Dienst B nutzt, genügt ein einziger Datenleak, um Zugang zu beiden Konten zu erhalten.
Die Erfolgsquote von Credential-Stuffing-Angriffen liegt typischerweise bei 0,1 bis 2 Prozent. Das klingt niedrig, bedeutet bei einem Datensatz mit 10 Millionen Einträgen aber bis zu 200.000 kompromittierte Accounts.
Für die Durchführung benötigen Angreifer lediglich eine geleakte Credential-Liste, ein Tool wie OpenBullet oder SentryMBA sowie eine Liste von Ziel-URLs. Professionelle Angreifer setzen zusätzlich auf rotierende Proxies und CAPTCHA-Solving-Dienste, um Schutzmaßnahmen zu umgehen. Der gesamte Prozess ist hochgradig automatisiert und skaliert problemlos auf Millionen von Login-Versuchen pro Stunde.
Das Grundproblem ist menschliches Verhalten: Passwort-Wiederverwendung ist nach wie vor extrem verbreitet. Studien zeigen regelmäßig, dass über 60 Prozent aller Nutzer identische oder leicht abgewandelte Passwörter für mehrere Dienste verwenden. Dazu kommt, dass die Zahl öffentlich bekannter Datenlecks stetig wächst und damit auch das verfügbare Material für Angreifer.
Sammlungen wie „Collection #1-5″ umfassten Milliarden einzigartiger E-Mail-Passwort-Paare. Neue Leaks kommen täglich hinzu und erweitern die verfügbaren Datensätze kontinuierlich.
Die meisten Menschen verwenden eine Handvoll Passwörter für Dutzende Accounts. Ein einzelner Leak reicht, um Zugriff auf zahlreiche weitere Dienste zu ermöglichen.
Fertige Tools und Konfigurationsdateien für gängige Webdienste sind im Darknet und in Foren frei verfügbar. Auch technisch wenig versierte Angreifer können damit operieren.
Da echte Zugangsdaten verwendet werden, sehen einzelne Login-Versuche für Schutzsysteme wie reguläre Anmeldungen aus. Erst das Gesamtmuster verrät den Angriff.
Credential Stuffing ist nicht nur ein Problem für Endnutzer. Unternehmen haften für kompromittierte Kundendaten und riskieren erhebliche Reputationsschäden, wenn Angreifer über wiederverwendete Passwörter Zugang zu Kundenkonten erlangen.
Da Credential Stuffing auf gültigen Zugangsdaten basiert, fällt ein einzelner erfolgreicher Login-Versuch kaum auf. Die Erkennung erfordert eine Analyse von Mustern und Anomalien auf Netzwerk- und Anwendungsebene. Typische Indikatoren sind:
Tipp: Korreliert Login-Daten mit Threat-Intelligence-Feeds für geleakte Credentials. Dienste wie „Have I Been Pwned“ bieten API-Zugriff, um Passwörter eurer Nutzer gegen bekannte Leaks abzugleichen, ohne die Klartext-Passwörter preiszugeben (k-Anonymity-Modell).
Der effektivste Schutz gegen Credential Stuffing kombiniert technische Maßnahmen mit organisatorischen Prozessen. Eine einzelne Maßnahme reicht in der Regel nicht aus, da professionelle Angreifer ihre Methoden kontinuierlich anpassen.
MFA ist die wichtigste Einzelmaßnahme. Selbst kompromittierte Passwörter werden wertlos, wenn ein zweiter Faktor (TOTP, FIDO2, Push-Benachrichtigung) erforderlich ist. Priorisiert phishing-resistente Verfahren wie FIDO2/WebAuthn.
Begrenzt Login-Versuche pro IP, pro Account und pro Zeitfenster. Setzt dabei auf progressive Verzögerungen statt harter Sperren, um Denial-of-Service gegen legitime Nutzer zu vermeiden.
Prüft bei der Registrierung und bei Passwortänderungen, ob das gewählte Passwort in bekannten Leaks vorkommt. Erzwingt bei Treffern eine Neuvergabe. Azure AD (Entra ID) und viele Identity-Provider bieten diese Funktion nativ an.
Moderne Bot-Management-Lösungen erkennen automatisierte Zugriffe anhand von Verhaltensmustern, Device-Fingerprinting und Netzwerk-Charakteristiken. CAPTCHAs allein sind oft nicht ausreichend, da Solving-Dienste sie umgehen.
Fördert den Einsatz von Passwort-Managern bei Mitarbeitenden und Kunden. Erzwingt Mindestlänge statt Komplexitätsregeln (NIST SP 800-63B empfiehlt mindestens 8 Zeichen, besser 12+).
Credential Stuffing erfordert einen ganzheitlichen Blick auf eure Authentifizierungsarchitektur, eure Monitoring-Fähigkeiten und eure organisatorischen Prozesse. Wir helfen euch, Schwachstellen zu identifizieren und nachhaltige Schutzmaßnahmen umzusetzen.
Wir testen eure Login-Endpunkte gezielt auf Credential-Stuffing-Anfälligkeit. Dabei prüfen wir Rate Limiting, Account-Lockout-Mechanismen, Bot-Erkennung und MFA-Implementierung unter realistischen Bedingungen.
Mit unserem Leaked Credentials Monitoring überwachen wir kontinuierlich, ob Zugangsdaten eurer Organisation in neuen Datenlecks auftauchen, und alarmieren euch proaktiv vor dem Angriff.
Wir bewerten eure Authentifizierungsstrategie ganzheitlich und begleiten euch bei der Einführung von MFA, Passwortrichtlinien und Identity-Governance nach aktuellen Best Practices.
Ihr wollt wissen, ob eure Zugangsdaten bereits im Umlauf sind? Wir bieten einen kostenlosen Erstberatungstermin an, in dem wir eine erste Einschätzung eurer Gefährdungslage vornehmen. Jetzt Kontakt aufnehmen.
Credential Stuffing gehört zu den effektivsten und am häufigsten genutzten Angriffstechniken im Web. Die Kombination aus massenhaft verfügbaren geleakten Zugangsdaten und weit verbreiteter Passwort-Wiederverwendung macht es Angreifern erschreckend leicht, in fremde Accounts einzudringen.
Der wichtigste Schritt ist die Einführung von Multi-Faktor-Authentifizierung. Ergänzt um Breached-Password-Detection, intelligentes Rate Limiting und kontinuierliches Credential Monitoring entsteht ein Schutzkonzept, das Credential Stuffing wirksam erschwert.
Mint Secure berät und begleitet euch von der Schwachstellenanalyse bis zur Umsetzung. Sprecht uns an.