Brute-Force-Angriffe sind eine der hartnäckigsten Bedrohungen für die Sicherheit von Websites. Im Jahr 2026 kombinieren sie gestohlene Anmeldelisten, verteilte Botnets und KI-optimiertes Raten, sodass einschichtige Schutzmaßnahmen nicht ausreichen. In diesem Leitfaden wird erläutert, wie die einzelnen Schutzschichten funktionieren, wo sie allein nicht ausreichen und wie sie effektiv kombiniert werden können.
Geschätzte Lesezeit: 12 Minuten
Auf einen Blick
Die Bedrohung im Jahr 2026
Automatisierte Tools testen Millionen von Kombinationen pro Sekunde über verteilte IP-Bereiche; einfaches IP-Blockieren reicht nicht mehr aus.
Stärkste Einzelmaßnahme
MFA. Microsoft-Daten zeigen, dass 99,9% der Kontokompromittierungen verhindert werden, selbst wenn die Passwörter bereits bekannt sind.
Warum CAPTCHA hier passt
Proof-of-Work-CAPTCHA fungiert als eingebauter Berechnungsratenbegrenzer, der die Kosten jedes Anmeldeversuchs für Bots in die Höhe treibt, bevor überhaupt ein Passwort versucht wird
Der richtige Ansatz
Verteidigung in der Tiefe: Keine einzelne Schicht stoppt alles. MFA, Ratenbegrenzung und CAPTCHA schließen zusammen die Lücken, die jeder für sich offen lässt
Die Bedrohung im Jahr 2026
Brute Force ist kein neuer Angriff. Was sich geändert hat, ist die Geschwindigkeit, der Umfang und die Raffinesse. Moderne Tools laufen nicht mehr von einem einzigen Rechner mit einer eindeutigen IP-Adresse aus. Stattdessen verteilen die Angreifer ihre Versuche auf Tausende von IP-Adressen gleichzeitig, rotieren durch Proxy-Netzwerke und nutzen KI, um die wahrscheinlichsten Passwortkandidaten zu priorisieren, wobei sie auf Milliarden von Zugangsdaten zurückgreifen, die bei früheren Datenschutzverletzungen durchgesickert sind.
Laut dem Verizon Data Breach Investigations Report sind gestohlene Zugangsdaten die Ursache für die meisten Verletzungen von Webanwendungen. Brute Force und Credential Stuffing sind die wichtigsten Methoden, um an diese Daten zu gelangen. Für Website-Betreiber bedeutet dies, dass das alte Denkmodell (“meine Benutzer haben sichere Passwörter, also ist alles in Ordnung”) nicht mehr gilt. Angriffe zielen auf schwache Passwörter ab, ja. Aber sie zielen auch auf die Wiederverwendung von Passwörtern in verschiedenen Diensten ab und können Millionen von Versuchen pro Stunde aushalten, ohne einfache Ratenbeschränkungen auszulösen, wenn der Datenverkehr verteilt ist.
Das Ausmaß dieses Problems ist nicht theoretisch. Im Mai 2024 registrierte ein als Menelik bekannter Angreifer Partnerkonten auf einem Dell-Kundenportal und verbrachte drei Wochen damit, Service-Tag-Kennungen mit rund 5.000 Anfragen pro Minute zu erzwingen. Dell entdeckte die Aktivitäten erst, als der Angreifer eine E-Mail mit der Sicherheitslücke verschickte. Zu diesem Zeitpunkt waren bereits die Daten von etwa 49 Millionen Kunden abgegriffen worden. Der Angriff erforderte keinen ausgeklügelten Exploit, sondern lediglich ein anhaltendes, automatisiertes Volumen gegen einen Endpunkt ohne angemessene Ratenbegrenzung oder Bot-Erkennung.
Die praktische Konsequenz: Der Schutz einer Anmeldeseite, eines Registrierungsformulars, eines Passwortrücksetzvorgangs oder eines API-Endpunkts gegen Brute-Force erfordert das Zusammenspiel mehrerer Ebenen. In den folgenden Abschnitten wird jede Ebene erläutert, einschließlich der Bereiche, in denen sie funktioniert, wo sie versagt und was die Lücke füllt.
Arten von Brute-Force-Angriffen: was sie sind und was sie aufhält
Nicht alle Brute-Force-Angriffe funktionieren auf dieselbe Weise. Das Verständnis der Variante bestimmt, welcher Verteidigung Sie Priorität einräumen.
ANGRIFFSTYP | WIE ES FUNKTIONIERT | PRIMÄRE VERTEIDIGUNG |
|---|---|---|
Einfache rohe Gewalt | Probiert alle möglichen Zeichenkombinationen nacheinander aus | Lange, komplexe Passwörter; Kontosperrung |
Wörterbuchangriff | Verwendet Listen mit gängigen Wörtern und bekannten Passwörtern | Strenge Kennwortrichtlinien; häufige Kennwörter sperren |
Credential Stuffing | Wiedergabe von Benutzernamen/Kennwort-Paaren aus Datenverletzungen auf anderen Websites | MFA; CAPTCHA; Überprüfung von Passwörtern |
Passwort sprühen | Probiert einige gemeinsame Kennwörter für viele Konten aus, um eine Sperrung zu vermeiden | Ratenbegrenzung pro Benutzernamen; Erkennung von Anomalien |
Hybrider Angriff | Kombiniert Wörter aus dem Wörterbuch mit Zahlen und Symbolen | Passphrasen; Passwort-Manager; MFA |
Angriff auf den Regenbogentisch | Verwendet vorberechnete Hash-Tabellen, um Passwort-Hashes umzukehren | Gesalzenes Hashing; moderne Hash-Algorithmen (bcrypt, Argon2) |
Credential Stuffing und Password Spraying verdienen besondere Aufmerksamkeit, weil sie die Varianten sind, die am leichtesten Maßnahmen überwinden, die nur für einfache Brute-Force-Methoden ausgelegt sind. Beim Credential Stuffing müssen Passwörter nicht erraten werden, da sie bereits bekannt sind. Password-Spraying vermeidet die Entdeckung, indem es unter den Schwellenwerten für die Kontosperrung bleibt. Für beide Varianten sind Schutzmaßnahmen erforderlich, die über Passwortrichtlinien hinausgehen.
Einen tieferen Einblick in das Stuffing von Anmeldeinformationen erhalten Sie in unserem Leitfaden was Credential Stuffing ist und wie es funktioniert.
Sechs Präventionsschichten, die zusammenarbeiten
Warum CAPTCHA sich strukturell von der Ratenbegrenzung unterscheidet
Die Ratenbegrenzung besagt: “Sie dürfen es nur X Mal pro Minute versuchen.” CAPTCHA sagt: “Jeder Versuch erfordert Rechenarbeit, die nicht kostengünstig automatisiert werden kann.” Ein Angreifer mit Ratenbegrenzung verteilt die Anfragen einfach auf mehrere IPs. Ein Angreifer, der mit Proof-of-Work-CAPTCHA konfrontiert ist, muss für jeden einzelnen Versuch ein kryptografisches Rätsel lösen, und zwar für jede IP, jedes Gerät und jeden Bot im Netzwerk. Die Kosten skalieren linear mit dem Volumen, so dass groß angelegte Angriffe nicht nur lästig, sondern auch wirtschaftlich unpraktisch sind.
CAPTCHA.eu verwendet Proof-of-Work: unsichtbar, kochfrei, EU-gehostet
CAPTCHA.eu schützt die Anmeldung, Registrierung und das Zurücksetzen von Passwörtern durch eine unsichtbare Verifizierung. Keine Bilderrätsel. Keine Cookies. Alle Daten werden in Österreich nach EU-Recht verarbeitet. WACA Silber zertifiziert durch den TÜV Österreich nach WCAG 2.2 AA.
Die folgenden Muster in Ihren Protokollen sollten untersucht werden:
- Mehrere fehlgeschlagene Anmeldeversuche für ein einziges Konto von verschiedenen IPs aus (Passwort-Spraying)
- Hohe Anzahl fehlgeschlagener Versuche von einer einzelnen IP oder einem IP-Bereich (einfache Brute-Force-Methode)
- Plötzliche Spitzen bei den Authentifizierungsanfragen außerhalb der normalen Verkehrszeiten
- Erhöhte Belastung der Endpunkte für die Anmeldung, das Zurücksetzen von Passwörtern oder die Registrierung, ohne dass die Zahl der erfolgreichen Anmeldungen entsprechend steigt
- Wiederholte Versuche mit leicht veränderten Benutzernamen oder E-Mail-Formaten mit demselben Passwort
Moderne CAPTCHA-Dienste bieten Dashboard-Transparenz über die Anzahl der Versuche. Ein ungewöhnlicher Anstieg der CAPTCHA-Verifizierungen an einem Anmeldeendpunkt ist ein zuverlässiges Frühsignal dafür, dass ein Brute-Force-Versuch im Gange ist.
Wenn ein Angriff bereits läuft: sofortige Schritte
Erkennen ist eine Sache. Die Reaktion eine andere. Wenn Sie einen Brute-Force-Angriff erkennen, begrenzt die folgende Sequenz den Schaden.
Noch nicht geschützt? Fügen Sie CAPTCHA.eu noch heute zu Ihrem Anmeldefluss hinzu
CAPTCHA.eu lässt sich in Minutenschnelle in WordPress, TYPO3, Keycloak, Magento und eigene Stacks integrieren. In Österreich gehostet, keine Cookies, keine Rätsel für echte Benutzer.
Warum eine Schicht nie genug ist
Jede Verteidigung auf dieser Liste richtet sich gegen einen bestimmten Angriffsvektor. Keiner von ihnen ist für alle geeignet.
MFA verhindert, dass ein Angreifer, der bereits das richtige Passwort hat, auf das Konto zugreift, aber es verhindert nicht, dass der Brute-Force-Datenverkehr auf Ihren Server gelangt. Tausende von fehlgeschlagenen MFA-blockierten Versuchen erzeugen immer noch Last, verbrauchen Ressourcen und füllen Ihre Protokolle.
Die Ratenbegrenzung kontrolliert das Verkehrsvolumen, aber moderne verteilte Angriffe umgehen die Schwellenwerte auf IP-Ebene, ohne die Geschwindigkeit zu verringern. Sie funktioniert gut gegen einfache Angriffe, aber nicht gegen ressourcenstarke Angreifer.
CAPTCHA erhöht die Kosten jedes Versuchs rechnerisch, aber ohne MFA erlaubt eine erfolgreiche CAPTCHA-Lösung immer noch einen Anmeldeversuch. CAPTCHA filtert Bots, MFA stoppt kompromittierte Anmeldedaten.
Die Kontosperre verhindert zwar unbegrenztes Raten, birgt aber ein Denial-of-Service-Risiko und schützt nicht vor Credential Stuffing, bei dem der Angreifer nur einen Versuch pro Konto benötigt.
Die Schlussfolgerung aus dem OWASP-Leitfaden und aus der praktischen Architektur eines gut geschützten Anmeldesystems ist, dass diese Schichten so konzipiert sind, dass sie sich gegenseitig ergänzen. Ein Login-Endpunkt, der CAPTCHA, MFA, Ratenbegrenzung und Anomalieüberwachung kombiniert, ist wirklich schwer in großem Umfang zu knacken. Jedes einzelne dieser Elemente hinterlässt Lücken, die ein entschlossener Angreifer ausnutzen kann.
Häufig gestellte Fragen
Wie kann man Brute-Force-Angriffe am effektivsten verhindern?
Keine einzelne Maßnahme stoppt alle Varianten. Der effektivste Ansatz ist eine Kombination aus MFA (die eine Kontokompromittierung auch dann verhindert, wenn Passwörter bekannt sind), CAPTCHA (das die Rechenkosten jedes automatisierten Versuchs erhöht) und Ratenbegrenzung (die das Volumen der Versuche begrenzt). Microsofts Analyse ergab, dass MFA allein 99,9% der untersuchten Kontokompromittierungen verhindert hätte, was sie zur wichtigsten Einzelmaßnahme macht, wenn Sie nur eine implementieren können.
Kann CAPTCHA Brute-Force-Angriffe verhindern?
Ja, aber es kommt auf die Art des CAPTCHAs an. Traditionelle visuelle CAPTCHA (Bildraster, verzerrter Text) werden zunehmend von automatisierten Tools und CAPTCHA-Lösungsdiensten gelöst. Das Proof-of-Work-CAPTCHA ist effektiver, da es bei jedem Versuch eine kryptografische Berechnung erfordert, was die Kosten unabhängig von der Bilderkennungsfähigkeit des Angreifers erhöht. Keiner der beiden Typen ersetzt eine MFA, aber beide erhöhen den Aufwand und die Kosten einer groß angelegten Brute-Force-Kampagne beträchtlich.
Was ist der Unterschied zwischen Brute Force und Credential Stuffing?
Bei Brute-Force-Angriffen werden Passwörter ohne Vorwissen erraten und so lange Kombinationen ausprobiert, bis eine funktioniert. Beim Credential Stuffing werden bekannte Paare aus Benutzernamen und Kennwörtern aus früheren Datenschutzverletzungen verwendet und bei anderen Diensten getestet, um die Wiederverwendung von Kennwörtern auszunutzen. Credential Stuffing ist schneller und gezielter. Starke Passwortrichtlinien schützen gut gegen Brute-Force, bieten aber nur wenig Schutz gegen Credential Stuffing, da der Angreifer bereits das richtige Passwort kennt. MFA und CAPTCHA gehen beides an.
Ist die Ratenbegrenzung ausreichend, um Brute-Force-Angriffe zu verhindern?
Bei einfachen Angriffen aus einer einzigen Quelle ist die Ratenbegrenzung wirksam. Gegen moderne verteilte Brute-Force-Angriffe, bei denen Anfragen von Tausenden verschiedener IP-Adressen gleichzeitig kommen, ist die IP-basierte Ratenbegrenzung allein nicht ausreichend. Schwellenwerte für einzelne Konten und die Erkennung von Anomalien ergänzen sie. In Kombination mit CAPTCHA und MFA wird die Ratenbegrenzung Teil einer robusten mehrschichtigen Verteidigung.
Wie kann ich feststellen, ob meine Website einem Brute-Force-Angriff ausgesetzt ist?
Die deutlichsten Anzeichen sind: ein plötzlicher Anstieg der fehlgeschlagenen Anmeldeversuche in Ihren Serverprotokollen, ein hohes Anfragevolumen an Authentifizierungsendpunkten, mehrere Versuche gegen verschiedene Konten von unterschiedlichen IPs aus (Passwort-Spraying) oder ein CAPTCHA-Dashboard, das eine ungewöhnliche Verifizierungsspitze anzeigt. Viele Brute-Force-Angriffe bleiben auf Websites ohne aktive Überwachung stunden- oder tagelang unentdeckt. Das Einrichten von Warnmeldungen zu Authentifizierungsfehlern ist eine der einfachsten Verbesserungen der Überwachung, die ein Website-Betreiber vornehmen kann.
Funktioniert CAPTCHA auch ohne Cookies oder Banner mit Benutzerzustimmung?
Herkömmliche CAPTCHA-Dienste setzen in der Regel Cookies, was die Anforderungen an die ePrivacy-Zustimmung auslöst. CAPTCHA.eu arbeitet von der Architektur her ohne Cookies, so dass keine Cookie-bezogenen Compliance-Fragen zu klären sind und keine Aktualisierung des Einwilligungsbanners für die CAPTCHA-Schicht erforderlich ist. Alle Verifizierungsdaten werden in Österreich nach EU-Recht verarbeitet. Für europäische Website-Betreiber, die Bot-Schutz wünschen, ohne ihren Aufwand für die Verwaltung von Einwilligungen zu erhöhen, ist die Architektur ohne Cookies ein bedeutender praktischer Vorteil.
Welche Datenströme sollte ich für den Brute-Force-Schutz vorrangig behandeln?
Anmeldeformulare sind das Hauptziel, aber Angreifer haben es auch auf Passwortrücksetzungsströme (mit denen ein gesperrtes Konto umgangen werden kann), Registrierungsformulare (gefälschte Kontoerstellung im großen Stil) und API-Authentifizierungsendpunkte abgesehen. Jeder Endpunkt, der Anmeldedaten akzeptiert oder Zugriffstoken gewährt, ist ein potenzielles Brute-Force-Ziel. Priorisieren Sie den Schutz in dieser Reihenfolge: Anmeldung, Passwortrücksetzung, API-Endpunkte, Registrierung.
Verwandte Lektüre
hCaptcha vs. CAPTCHA.eu: Was ist besser für europäische Websites?
Für viele europäische Websites ist CAPTCHA.eu die stärkere hCaptcha-Alternative. Der Hauptgrund ist nicht, dass hCaptcha ein schlechtes Produkt ist....
Die besten reCAPTCHA-Alternativen in Europa (2026)
Googles Änderung vom April 2026 macht reCAPTCHA zu einer wichtigen Entscheidung für die Einhaltung der Vorschriften auf jeder europäischen Website. Dieser Leitfaden durchbricht den Lärm:...
Was ist ein Brute-Force-Angriff?
Ein Brute-Force-Angriff ist eine der einfachsten, aber effektivsten Methoden, mit denen Hacker in Online-Konten eindringen...
Was ist Credential Stuffing?
Da sich Unternehmen immer mehr auf digitale Plattformen verlassen, ist die Sicherung Ihrer Online-Präsenz wichtiger denn je. Eine häufige und...
Was ist Account Takeover Fraud (ATO)?
Haben Sie schon einmal eine seltsame Anmeldemeldung oder eine E-Mail zum Zurücksetzen des Passworts erhalten, die Sie nicht angefordert haben? Wenn ja, dann könnten Sie...
German 
English 
French 
Spanish 
Dutch 
Italian