Kontoübernahmebetrug kostete die Verbraucher im Jahr 2024 $15,6 Milliarden, und 33% der Opfer verlassen den betroffenen Dienst ganz, selbst nachdem ihr Konto wiederhergestellt wurde. Angreifer müssen Ihre Systeme nicht knacken. Sie verwenden Anmeldeinformationen, die sie bei anderen Sicherheitsverletzungen gestohlen haben, sowie automatisierte Bots und Phishing, um durch Ihre Haustür zu kommen. In diesem Leitfaden wird erläutert, wie ATO-Angriffe tatsächlich funktionieren, auf welche Abläufe sie zuerst abzielen und wie Sie Ihre Schutzmaßnahmen so gestalten können, dass kein einziger Fehler Ihre Benutzer gefährdet.
Geschätzte Lesezeit: 13 Minuten
Auf einen Blick
Was ATO bedeutet
Ein Angreifer verschafft sich Zugang zu einem echten Benutzerkonto und kann von einer vertrauenswürdigen Position aus Daten stehlen, Bestellungen aufgeben, Guthaben abziehen oder Kontodaten ändern.
Häufigster Einstiegspunkt
Credential Stuffing: Angreifer testen gestohlene Benutzernamen-Passwort-Paare aus anderen Einbrüchen, da die Benutzer ihre Passwörter immer noch in verschiedenen Diensten verwenden
Wo CAPTCHA passt
Bot-Schutz beim Login, bei der Registrierung und beim Zurücksetzen von Passwörtern erhöht die Kosten für automatisierte Angriffe, bevor sie Ihre Authentifizierungslogik erreichen.
Was dieser Leitfaden behandelt
- Was eine Kontoübernahme ist und warum sie wichtig ist
- Wie die Kontoübernahme in der Regel beginnt
- Kontoübernahme vs. Ausfüllen von Anmeldeinformationen vs. Brute Force
- Welche Ströme Angreifer zuerst anvisieren
- Was jede Schutzschicht verhindert
- Sieben Abwehrmaßnahmen, die funktionieren
- Was ist bei einem aktiven Angriff zu tun?
- Warum ATO ein DSGVO-Problem für europäische Betreiber ist
- Häufig gestellte Fragen
Was eine Kontoübernahme ist und warum sie wichtig ist
Bei der Kontoübernahme (ATO) verschafft sich ein Angreifer unbefugten Zugang zu einem echten Benutzerkonto. Sobald er sich Zugang verschafft hat, kann er Passwörter ändern, persönliche Daten exportieren, betrügerische Bestellungen aufgeben, Treuepunkte einlösen, Auszahlungen veranlassen oder in andere Systeme eindringen, die mit diesem Konto verbunden sind.
Dies ist gefährlicher als gewöhnlicher Spam oder Sondierung, weil der Angreifer nicht mehr wie ein externer Eindringling aussieht. Er sieht aus wie ein rechtmäßiger Benutzer. Aus diesem Grund steigen die Kosten für die Beseitigung von Sicherheitslücken schnell an, nachdem Konten kompromittiert wurden, und die Kosten für die Verhinderung des Zugriffs sind weitaus geringer als die Kosten für die Eindämmung des Schadens im Nachhinein. Der IBM-Bericht "Cost of a Data Breach 2025" beziffert die durchschnittlichen Kosten einer Verletzung der Zugangsdaten auf $4,67 Millionen.
Warum die ATO schwieriger ist, als sie aussieht
Angreifer müssen nicht immer Ihr Authentifizierungssystem knacken. In vielen Fällen nutzen sie Schwachstellen in der Umgebung aus: wiederverwendete Kennwörter, schwache Wiederherstellungsabläufe, fehlende MFA oder ungeschützte Anmeldeendpunkte, die zur Automatisierung einladen. Starke Kontosicherheit hängt von mehr ab als nur von Passwortrichtlinien.
Wie die Kontoübernahme in der Regel beginnt
Die Kontoübernahme ist keine einzelne Technik. Sie ist das Ergebnis mehrerer Angriffswege, die alle zum gleichen Ergebnis führen: unberechtigter Zugang zu einem echten Konto.
ANGRIFFSWEGE | WAS GESCHIEHT | WARUM ES FUNKTIONIERT |
|---|---|---|
Credential Stuffing | Bots testen verletzte Benutzername-Passwort-Paare von anderen Diensten in großem Umfang | Benutzer verwenden Passwörter immer wieder, so dass ein Verstoß Konten bei vielen Diensten gefährdet |
Brute-Force / Passwort-Spraying | Bots versuchen gemeinsame Kennwörter für viele Konten oder viele Versuche für ein Konto. | Schwache Passwörter und fehlende Ratenbegrenzung machen Konten leicht zu erraten |
Phishing/Widersacher in der Mitte | Angreifer verleiten Benutzer zur Eingabe von Anmeldedaten auf gefälschten Anmeldeseiten, die diese in Echtzeit weitergeben | Relay-Angriffe fangen MFA-Codes ab, während der Benutzer sie eingibt, und umgehen so den Zwei-Faktor-Schutz |
Missbrauch beim Zurücksetzen des Passworts | Angreifer nutzen schwache Wiederherstellungsabläufe aus, zählen gültige Konten auf oder fangen Rücksetzcodes ab. | Wiederherstellungsströme sind oft weniger geschützt als die Anmeldung selbst |
Diebstahl in der Sitzung | Angreifer stehlen ein gültiges Sitzungs-Token, anstatt sich überhaupt anzumelden | Kompromittierte Browser, Malware oder schwache Sitzungskontrollen legen aktive Sitzungen offen |
Credential Stuffing ist der am besten skalierbare Weg. OWASP beschreibt dies als die automatische Verwendung gestohlener Anmeldedaten aus früheren Angriffen auf andere Anmeldesysteme. Sobald ein Konto über MFA oder Passkeys verfügt, verlagern sich die Angreifer jedoch häufig auf Phishing oder Wiederherstellungsmissbrauch. Aus diesem Grund schützt eine umfassende Verteidigung den gesamten Lebenszyklus eines Kontos, nicht nur das Anmeldeformular.
Kontoübernahme vs. Ausfüllen von Anmeldeinformationen vs. Brute Force
Diese Begriffe sind zwar verwandt, aber nicht austauschbar. Der deutlichste Unterschied: Die Übernahme eines Kontos ist das Endergebnis. Credential Stuffing und Brute Force sind zwei der Angriffswege, die dies bewirken.
Der einfachste Weg, darüber nachzudenken
Die Übernahme von Konten ist das geschäftliche Problem. Credential Stuffing und Brute Force sind zwei technische Wege, die dorthin führen. Sie müssen sich gegen jeden Weg separat wehren: Das Stoppen von Brute-Force verhindert nicht das Ausfüllen von Anmeldedaten, und das Stoppen beider Wege lässt immer noch Phishing und Sitzungsdiebstahl offen.
TERMIN | WAS ES BEDEUTET | PRIMÄRVERTEIDIGUNG |
|---|---|---|
Kontoübernahme (ATO) | Unbefugter Zugriff auf ein echtes Benutzerkonto, das Endergebnis | Mehrschichtige Sicherheit: MFA, Bot-Schutz, Anomalie-Erkennung, Recovery-Härtung |
Credential Stuffing | Verwendung echter gestohlener Zugangsdaten aus früheren Sicherheitsverletzungen, die automatisch im großen Maßstab getestet werden | MFA, CAPTCHA bei der Anmeldung, Prüfung auf verletzte Passwörter |
Brute-Force / Passwort-Spraying | Erraten von Passwörtern durch wiederholte automatische Versuche bei einem oder mehreren Konten | Ratenbegrenzung, Kontosperrung, CAPTCHA, MFA |
Welche Ströme Angreifer zuerst anvisieren
Um das ATO-Risiko schnell zu verringern, muss man sich auf die Ströme konzentrieren, die Angreifer am häufigsten missbrauchen. Die nachstehende Prioritätenfolge spiegelt die realen Angriffsmuster wider, nicht die theoretischen Risikorangfolgen.
- Anmeldung. Der Haupteinstiegspunkt für Credential Stuffing, Password Spraying und Bot-gesteuerte ATO. Das höchste Angriffsvolumen aller Datenströme.
- Passwort zurücksetzen. Angreifer versuchen hier, gültige Konten ausfindig zu machen, Rücksetz-E-Mails in großem Umfang auszulösen oder Codes durch SIM-Austausch abzufangen. Oft weniger geschützt als die Anmeldung, obwohl das Risiko gleich groß ist.
- Anmeldung. Die Erstellung falscher Konten ist an sich noch kein ATO, aber Bots registrieren massenhaft Konten, um kostenlose Testversionen, Empfehlungsprogramme und Treuepunkte zu missbrauchen und künftige Betrügereien zu begünstigen.
- Aktionen für Konten mit hohem Risiko. E-Mail-Änderungen, das Hinzufügen von Zahlungsmethoden, das Einlösen von Treuepunkten und Datenexporte innerhalb einer bereits authentifizierten Sitzung müssen stärker überprüft werden als ein normaler Sitzungsklick.
Die richtige Reihenfolge der Prioritäten
Schützen Sie zuerst die Anmeldung. Dann schützen Sie das Zurücksetzen des Passworts. Fügen Sie dann einen Bot-Schutz für die Registrierung hinzu. Dann fügen Sie eine erweiterte Überprüfung für risikoreiche Aktionen nach der Anmeldung hinzu. Diese Reihenfolge deckt die Angriffspfade ab, die in der Praxis die meisten ATO-Vorfälle verursachen.
Was jede Schutzschicht verhindert
Keine einzelne Kontrolle stoppt jeden ATO-Pfad. Credential Stuffing umgeht die schwache Ratenbegrenzung. Phishing umgeht die SMS-basierte MFA. Missbrauch beim Zurücksetzen von Passwörtern umgeht den reinen Login-Schutz. Eine wirksame Prävention erfordert verschiedene Ebenen, die jeweils auf einen anderen Teil der Angriffskette abzielen.
ANGRIFFSTYP | GESTOPPT VON | NICHT ANGEHALTEN DURCH |
|---|---|---|
Credential Stuffing | CAPTCHA, MFA, Überprüfung von verletzten Passwörtern | Ratenbegrenzung allein (verteilte Angriffe) |
Brachiale Gewalt / Sprühen | CAPTCHA, Ratenbegrenzung, Kontosperrung | IP-Blockierung allein (verteilte Angriffe) |
Phishing / AiTM-Relais | FIDO2/Passschlüssel, phishing-resistente MFA, Nutzerschulung | SMS MFA, CAPTCHA, Ratenbegrenzung |
Missbrauch beim Zurücksetzen des Passworts | CAPTCHA auf Reset-Flow, sichere Wiederherstellung Design | Nur Login-Schutz |
Erstellung eines Fake-Kontos | CAPTCHA bei der Registrierung, E-Mail-Verifizierung | Nur Login-Schutz |
Missbrauch von Post-Login-Sitzungen | Erkennung von Anomalien, Reauthentifizierung, Step-up-Checks | CAPTCHA oder Nur-Anmeldung-Kontrollen |
Sieben Abwehrmaßnahmen, die funktionieren
Stoppen Sie Credential Stuffing und Brute Force, bevor sie Ihre Kontologik erreichen
CAPTCHA.eu schützt Login, Registrierung und Passwortrücksetzung ohne Cookies oder US-Datentransfers. In Österreich gehostet, WCAG 2.2 AA zertifiziert, 100 kostenlose Überprüfungen zum Start.
Was ist bei einem aktiven Angriff zu tun?
Wenn Sie eine aktive Kontoübernahme-Kampagne vermuten, ist Schnelligkeit wichtiger als Perfektion. Das Ziel ist es, den Angriff sofort zu stoppen, die gefährdeten Konten zu schützen und genügend Beweise zu sichern, um zu verstehen, was passiert ist. In der Praxis erfolgt die Reaktion in der Regel in vier Schritten.
Sofortige Verlangsamung des Angriffs
Beginnen Sie damit, den Schutz für die Datenströme zu verstärken, die der Angreifer am ehesten missbraucht: Anmeldung, Passwortrücksetzung und Registrierung. Aktivieren oder härten Sie zuerst CAPTCHA, da dies in der Regel der schnellste Weg ist, die Kosten für automatisierten Datenverkehr zu erhöhen. Erhöhen Sie gleichzeitig die Ratenbegrenzungen und schränken Sie verdächtigen Datenverkehr vorübergehend nach geografischen Kriterien, Proxy-Bereichen oder der IP-Reputation des Hosting-Providers ein, wenn Ihre Protokolle ein eindeutiges Angriffsmuster erkennen lassen.
Schützen Sie die am stärksten gefährdeten Konten
Verlangen Sie MFA oder eine erneute Authentifizierung für Konten, die verdächtiges Verhalten zeigen, insbesondere wenn Sie ungewöhnliche Anmeldeorte, wiederholte Fehlversuche oder plötzliche Kontoänderungen feststellen. Wenn eine Kompromittierung bereits bestätigt oder sehr wahrscheinlich ist, erzwingen Sie eine Passwortrücksetzung und sperren Sie aktive Sitzungen sofort. Dies schränkt die Möglichkeiten des Angreifers ein, vom Konto aus weiter zu operieren.
Prüfen Sie, was nach der Anmeldung passiert ist
Bleiben Sie nicht bei dem Authentifizierungsereignis selbst stehen. Überprüfen Sie nachgelagerte Aktionen in den betroffenen Konten, einschließlich Änderungen von E-Mail-Adressen, Aktualisierungen von Auszahlungen oder Bankgeschäften, Bestellungen, Einlösungen von Treuepunkten, Passwortänderungen und Datenexporte. Bei vielen ATO-Vorfällen tritt der eigentliche Schaden erst nach der erfolgreichen Anmeldung auf, so dass Sie anhand dieser Überprüfung feststellen können, wie weit der Angreifer gekommen ist und welche Benutzer dringend nachverfolgt werden müssen.
Beweise sichern und Benachrichtigung vorbereiten
Bewahren Sie Protokolle, Sitzungsdaten und Authentifizierungsereignisse während des gesamten Angriffszeitraums auf. Sie benötigen diese Beweise für die Reaktion auf einen Vorfall, die Betrugsanalyse und, falls auf personenbezogene Daten zugegriffen wurde, für die Bewertung gemäß Artikel 33 der Datenschutz-Grundverordnung. Wenn Sie während des Vorfalls nur einen zusätzlichen Datenfluss stärken können, schützen Sie als Nächstes die Passwortrücksetzung. Angreifer wechseln oft dorthin, sobald die Anmeldung schwieriger auszunutzen ist.
Eine praktische Regel während eines aktiven Vorfalls
Wenn Sie im Moment nur einen zusätzlichen Datenfluss schützen können, schützen Sie als Nächstes das Zurücksetzen des Passworts. Angreifer wechseln in der Regel dorthin, sobald die Anmeldung schwerer auszunutzen ist.
Warum ATO ein DSGVO-Problem für europäische Betreiber ist
Für europäische Website-Betreiber schafft die Übernahme von Konten gleich zwei Probleme: einen Sicherheitsvorfall und einen potenziellen Verstoß gegen die Datenschutzgrundverordnung. Wenn ein Angreifer auf personenbezogene Daten in einem Nutzerkonto zugreift, stellt dies einen Verstoß gegen die Datenschutz-Grundverordnung dar, mit spezifischen Verpflichtungen, die sofort folgen.
Unter Artikel 32, Die für die Verarbeitung Verantwortlichen müssen angemessene technische und organisatorische Sicherheitsmaßnahmen ergreifen. Für jede Website, die personenbezogene Daten hinter der Benutzerauthentifizierung speichert, sind Bot-Schutz und MFA Teil dieser Verpflichtung. Eine Organisation, die von einem ATO betroffen ist, bei dem Anmeldedaten ohne Bot-Schutz auf der Anmeldeschicht gestohlen werden, könnte nur schwer nachweisen, dass angemessene Maßnahmen ergriffen wurden.
Unter Artikel 33, muss eine Verletzung des Schutzes personenbezogener Daten innerhalb von 72 Stunden bewertet werden. Wenn es wahrscheinlich ist, dass sie zu einem Risiko für die Rechte und Freiheiten von Personen führt, müssen Sie sie innerhalb dieses Zeitraums Ihrer Aufsichtsbehörde melden. Den IBM-Daten aus dem Jahr 2025 zufolge dauert es im Durchschnitt 186 Tage, bis eine auf Anmeldedaten basierende Sicherheitsverletzung erkannt wird, also weit mehr als die 72 Stunden. Die Erkennung von Anomalien und die Sitzungsüberwachung verbessern direkt Ihre Fähigkeit, Artikel 33 zu erfüllen, indem sie die Erkennungszeit verkürzen.
Unter Artikel 34, Wenn die Verletzung wahrscheinlich zu einem hohen Risiko für Einzelpersonen führt (z. B. im Gesundheitswesen, bei Finanzdienstleistungen oder im Zusammenhang mit sensiblen personenbezogenen Daten), müssen Sie die betroffenen Nutzer auch direkt benachrichtigen.
Der Blickwinkel der Cookie-Zustimmung auf Authentifizierungsseiten
Herkömmliche CAPTCHA-Dienste setzen oft Cookies oder nutzen die Verhaltensanalyse. Auf Anmelde- und Wiederherstellungsseiten führt dies dazu, dass neben dem eigentlichen Sicherheitsproblem auch die Frage nach der Einwilligung in den Datenschutz gestellt wird. Mit einem kochfreien Proof-of-Work-CAPTCHA entfällt diese Zustimmungsfrage vollständig aus dem Authentifizierungsfluss.
Häufig gestellte Fragen
Was ist eine Kontoübernahme in einfachen Worten?
Eine Kontoübernahme liegt vor, wenn sich ein Angreifer unbefugten Zugang zu einem echten Benutzerkonto verschafft und es so nutzt, als wäre er der rechtmäßige Besitzer: um Daten einzusehen, Bestellungen aufzugeben, Geld zu überweisen oder Kontodaten zu ändern.
Ist die Übernahme von Konten dasselbe wie das Ausfüllen von Anmeldedaten?
Nein. Das Ausfüllen von Anmeldeinformationen ist ein üblicher Weg zur Kontoübernahme. Die Übernahme eines Kontos ist das Endergebnis. Angreifer können dies auch durch Phishing, schwache Wiederherstellungsströme, Sitzungsdiebstahl oder Brute-Force-Methoden erreichen, für die jeweils eigene Schutzmaßnahmen erforderlich sind.
Verhindert MFA die Übernahme von Konten?
MFA blockiert die meisten Angriffe, die auf dem Ausfüllen von Anmeldeinformationen basieren, da ein gestohlenes Passwort nicht mehr ausreicht, um sich anzumelden. MFA verhindert jedoch keine Phishing-basierten Relay-Angriffe, bei denen der Angreifer den Einmalcode in Echtzeit abfängt, während der Benutzer ihn eingibt. Für hochwertige Konten bieten phishing-resistente Methoden wie Passkeys oder Hardware-Sicherheitsschlüssel einen stärkeren Schutz.
Verhindert CAPTCHA die Übernahme von Konten?
CAPTCHA stoppt die automatisierte Bot-Ebene (Ausfüllen von Anmeldeinformationen, Brute-Force-Angriffe und Massenregistrierungsmissbrauch), bevor diese Angriffe Ihre Authentifizierungslogik erreichen. Es stoppt kein Phishing, ersetzt keine MFA und erkennt keinen Post-Login-Missbrauch. Es funktioniert am besten als eine Schicht in einem breiteren Verteidigungsstapel, nicht als eigenständige Lösung.
Was ist die wirksamste Verteidigung gegen die Übernahme von Konten?
MFA oder Passkeys sind die stärkste Einzelkontrolle. Daten von Microsoft zeigen, dass MFA mehr als 99,2% der automatisierten Versuche, ein Konto zu kompromittieren, blockieren kann. Der effektivste Ansatz in der Praxis ist mehrschichtig: MFA in Kombination mit Bot-Schutz bei allen Authentifizierungsströmen, Screening von verletzten Passwörtern, starkes Recovery-Design und Anomalie-Erkennung.
Welche Seiten sollte ich zuerst schützen?
Zuerst die Anmeldung, da sie am häufigsten angegriffen wird. Dann folgt das Zurücksetzen von Passwörtern, auf das Angreifer aktiv abzielen, das aber von den Teams oft weniger geschützt wird. Dann folgen die Registrierung und risikoreiche Aktionen nach der Anmeldung, wie z. B. E-Mail-Änderungen oder die Einrichtung von Auszahlungen.
Welche Verpflichtungen bestehen nach der Datenschutz-Grundverordnung im Falle einer Kontoübernahme?
Wenn die Übernahme zu einem unbefugten Zugriff auf personenbezogene Daten führt, handelt es sich um eine Verletzung der Datenschutzgrundverordnung. Sie müssen sie innerhalb von 72 Stunden bewerten und Ihre Aufsichtsbehörde benachrichtigen, wenn die Verletzung wahrscheinlich ein Risiko für Personen darstellt. Wenn das Risiko hoch ist, müssen Sie auch die betroffenen Nutzer direkt benachrichtigen. Bot-Schutz und die Erkennung von Anomalien verringern sowohl die Wahrscheinlichkeit einer Datenschutzverletzung als auch die Zeit, die zur Aufdeckung einer solchen benötigt wird.
Verwandte Lektüre
Was ist ein unsichtbares CAPTCHA? Wie es funktioniert und warum es
Invisible CAPTCHA zielt darauf ab, Benutzer im Hintergrund mit wenig oder gar keiner sichtbaren Interaktion zu verifizieren: keine Rätsel, keine Checkboxen, keine...
Wie Sie Credential Stuffing-Angriffe auf Ihrer Webseite verhindern können
Credential Stuffing"-Angriffe verwenden echte Passwörter, die aus früheren Angriffen gestohlen wurden, und keine Mutmaßungen. Das macht sie schneller, schwieriger zu erkennen und...
Wie Sie Brute-Force-Angriffe auf Ihre Website verhindern können
Brute-Force-Angriffe sind eine der hartnäckigsten Bedrohungen für die Sicherheit von Websites. Im Jahr 2026 kombinieren sie gestohlene Anmeldelisten,...
Was ist Account Takeover Fraud (ATO)?
Haben Sie schon einmal eine seltsame Anmeldemeldung oder eine E-Mail zum Zurücksetzen des Passworts erhalten, die Sie nicht angefordert haben? Wenn ja, dann könnten Sie...
Federal Reserve Financial Services: Betrug durch Kontoübernahme (Februar 2026): ATO-Betrug führte in den USA im Jahr 2024 zu einem gemeldeten Schaden von $15,6 Milliarden; 33% der Kunden, die von ATO betroffen sind, geben den betroffenen Dienst ganz auf
IBM Cost of a Data Breach Report 2025: Durchschnittliche Kosten einer Datenschutzverletzung auf der Grundlage von Anmeldedaten $4,67 Millionen; durchschnittliche Zeit bis zur Identifizierung 186 Tage
Microsoft Entra MFA-Dokumentation: MFA kann mehr als 99,2% der automatischen Kontokompromittierungsversuche blockieren
CISA MFA-Anleitung: MFA als starker Schutz vor unberechtigtem Kontozugriff
OWASP Spickzettel zur Vermeidung von Credential Stuffing
OWASP-Authentifizierungs-SpickzettelRe-Authentifizierung nach verdächtigen Ereignissen
OWASP Spickzettel für vergessene Passwörter: konsistente Antworten und sicheres Design der Wiederherstellungs-Token
OWASP Automatisierte Bedrohungen für Webanwendungen: Kontobezogene automatisierte Missbrauchsmuster
NIST SP 800-63-4: Leitfaden zur digitalen Identität, einschließlich Empfehlungen zur Überprüfung von verletzten Passwörtern
Wurde ich von API reingelegt?: Kostenlose Prüfung von Anmeldedaten bei der Registrierung und Passwortänderung
Testen Sie die europäische Alternative, die für datenschutzfreundliche Einsätze entwickelt wurde
Wenn Ihr Team einen reibungslosen Bot-Schutz mit österreichischem Hosting, keine Cookies auf der CAPTCHA-Ebene, EU-basierte Verarbeitung, transparente Preise und TÜV-zertifizierte Barrierefreiheit benötigt, testen Sie CAPTCHA.eu auf einem realen Flow, bevor Sie sich entscheiden. Beginnen Sie mit Ihrem Login-, Anmelde- oder Kontaktformular. 100 kostenlose Anfragen, keine Kreditkarte erforderlich.
German 
English 
French 
Spanish 
Dutch 
Italian