Wie Sie Credential Stuffing-Angriffe auf Ihrer Website verhindern können

Bei Credential Stuffing-Angriffen werden echte Passwörter verwendet, die bei früheren Einbrüchen gestohlen wurden, und keine Vermutungen angestellt. Dadurch sind sie schneller, schwieriger zu erkennen und schädlicher als Brute-Force-Angriffe. Dieser Leitfaden behandelt die sechs Schutzmaßnahmen, die diese Angriffe stoppen, was zu tun ist, wenn ein Angriff bereits läuft, und welche Endpunkte zuerst geschützt werden sollten.

Geschätzte Lesezeit: 16 Minuten

---

Auf einen Blick

---

---

Wie Credential Stuffing funktioniert

Jede größere Datenpanne hat einen Nebeneffekt: Eine Liste mit funktionierenden Benutzernamen und Kennwörtern landet im Dark Web. Angreifer kaufen diese Listen billig, manchmal für nur ein paar Dollar pro Million Datensätze, und testen sie dann automatisch gegen andere Dienste. Die Logik ist einfach: Wenn jemand dieselbe E-Mail und dasselbe Passwort für eine manipulierte Einzelhandelswebsite und sein Bankkonto verwendet hat, hat der Angreifer nun Zugang zu beiden.

Eine typische Kampagne zum Ausfüllen von Anmeldeinformationen läuft folgendermaßen ab:

1. Beschaffung von Anmeldedaten. Angreifer kaufen oder laden Datenbanken mit Zugangsdaten von Dark-Web-Marktplätzen herunter. Listen mit Milliarden von Benutzernamen-Passwort-Paaren sind weithin verfügbar und billig.
2. Bereiten Sie die Liste vor. Tools reichern die Rohdaten an, deduplizieren sie und formatieren sie für automatisierte Tests an mehreren Zielstandorten.
3. Starten Sie verteilte Anmeldeversuche. Bots senden Anmeldeanfragen an Tausende von IP-Adressen gleichzeitig und verwenden echte Browsersignaturen, um sich in den normalen Datenverkehr einzuschleichen. Jede IP-Adresse sendet nur eine Handvoll Anfragen und bleibt damit unter den Schwellenwerten für die Ratenbegrenzung.
4. Erfolge stillschweigend sammeln. Wenn eine Anmeldung erfolgreich ist, zeichnet der Bot dies auf. Der Angreifer verkauft dann entweder die funktionierenden Anmeldedaten, übernimmt das Konto, entnimmt den gespeicherten Wert oder nutzt es als Ausgangspunkt für weitere Angriffe.

Das entscheidende Detail ist, dass der Angreifer niemals raten muss. Er gibt Passwörter wieder, die bereits an anderer Stelle funktioniert haben. Das ändert alles daran, wie der Angriff aussieht und wie man ihn erkennt.

---

Credential Stuffing vs. Brute Force: Was ist der Unterschied?

Beide Angriffe zielen auf Anmeldeformulare ab, und beide nutzen die Automatisierung. Darüber hinaus handelt es sich um sehr unterschiedliche Probleme, die unterschiedliche Verteidigungsmaßnahmen erfordern.

ASPECT	AUSFÜLLEN VON BERECHTIGUNGSNACHWEISEN	BRUTE FORCE
Passwort-Quelle	Echte Passwörter, die bei früheren Einbrüchen gestohlen wurden	Generierte Vermutungen: Zufallskombinationen, Wörterbücher
Erfolgsquote	Gering pro Versuch (~0,1%), aber enorm im Maßstab	Sehr gering; hängt stark von der Passwortstärke ab
Geschwindigkeit	Sehr schnell; verteilt über Tausende von IPs	Langsamer; löst schnell Sperren und Ratenbegrenzungen aus
Schwierigkeiten bei der Erkennung	Hart: Anfragen sehen aus wie normale Benutzeranmeldungen	Einfacher: viele Fehlversuche auf einem Konto fallen auf
Passwortpolitik hilft?	Nein: der Angreifer hat bereits ein funktionierendes Passwort	Ja: längere, komplexe Passwörter verlangsamen den Angriff
Primäre Verteidigung	MFA, CAPTCHA, Überprüfung von verletzten Passwörtern	Kontosperrung, Ratenbegrenzung, CAPTCHA, MFA

Die wichtigste Zeile ist die vorletzte. Starke Kennwortrichtlinien schützen gut vor Brute-Force, weil sie das Erraten erschweren. Gegen Credential Stuffing bieten sie fast keinen Schutz, weil der Angreifer nicht raten kann. Er hat Ihr Kennwort bereits. Aus diesem Grund müssen die beiden Angriffe unterschiedlich betrachtet werden, auch wenn sie einige gemeinsame Verteidigungsmaßnahmen aufweisen.

Einen tieferen Einblick in die Brute-Force-Methode erhalten Sie in unserem Leitfaden über wie man Brute-Force-Angriffe verhindert.

---

Warum Credential Stuffing so schwer zu erkennen ist

Dies ist die zentrale Herausforderung. Wenn ein Brute-Force-Angriff ausgeführt wird, hinterlässt er offensichtliche Spuren: Dutzende oder Hunderte von fehlgeschlagenen Anmeldeversuchen für dasselbe Konto von derselben IP-Adresse aus. Ihre Protokolle leuchten auf. Überwachungs-Tools lösen Warnungen aus.

Credential Stuffing hinterlässt fast keine dieser Spuren. Der Angreifer verteilt die Anfragen auf Tausende von verschiedenen IP-Adressen. Jede IP-Adresse sendet nur eine oder zwei Anfragen. Die Anmeldeinformationen sind korrekt, so dass viele Versuche sofort erfolgreich sind. Es gibt keine wiederholten Fehlversuche für dasselbe Konto. Der Datenverkehr sieht genauso aus wie bei normalen Benutzern, die sich von verschiedenen Standorten aus anmelden.

Dies führt dazu, dass viele Angriffe zum Ausfüllen von Anmeldedaten monatelang unentdeckt bleiben. Im Fall von 23andMe verbrachten die Angreifer fünf Monate innerhalb der Plattform, bevor das Unternehmen entdeckte, was passiert war. Sie fanden es nur heraus, weil gestohlene Daten in einem Hackerforum zum Verkauf angeboten wurden, und nicht, weil die interne Überwachung irgendetwas entdeckt hatte.

---

Ein Beispiel aus der Praxis: 23andMe

Im Oktober 2023 deckte das Gentestunternehmen 23andMe einen Angriff auf die Zugangsdaten auf, durch den die persönlichen Daten von etwa 6,9 Millionen Nutzern offengelegt wurden. Das Ausmaß der Sicherheitsverletzung macht sie zu einer der deutlichsten Fallstudien dafür, wie Credential Stuffing weit über die erste Kompromittierung hinaus eskalieren kann.

Die Sicherheitsverletzung bei 23andMe veranschaulicht drei Lektionen, die für fast jede Website mit Benutzerkonten gelten. Erstens: Die Passwörter Ihrer Benutzer von anderen Websites stellen ein Risiko für Ihre Plattform dar, selbst wenn Sie noch nie einen Verstoß erlitten haben. Zweitens können Plattformfunktionen, die Konten miteinander verbinden, die Auswirkungen einer einzigen kompromittierten Anmeldung vervielfachen. Drittens: Wenn Sie nicht auf die richtigen Signale achten, werden Sie nicht wissen, dass ein Angriff im Gange ist, bis jemand anderes es Ihnen sagt.

---

Sechs Abwehrmaßnahmen, die funktionieren

Wo man anfangen sollte: welche Endpunkte man zuerst schützen sollte

Wenden Sie diese Schutzmaßnahmen zuerst auf Ihre risikoreichsten Datenströme an. Anmeldeformulare sind das Hauptziel, da ein erfolgreiches Credential Stuffing Login dem Angreifer sofort vollen Zugriff auf das Konto gibt. Nach der Anmeldung sollten Sie der Rücksetzung von Passwörtern Vorrang einräumen, da Angreifer durch unterschiedliche Antworten auf gültige und ungültige E-Mail-Adressen echte Konten aufzählen können, ohne Anmeldedaten zu benötigen. Dann API-Authentifizierungsendpunkte, die oft nicht so gut geschützt sind wie Web-Anmeldeformulare. Und schließlich Registrierungsformulare, bei denen durch erfolgreiches Stuffing gefälschte oder geklonte Konten erstellt werden können. Wenn Sie in dieser Reihenfolge vorgehen, decken Sie den größten Teil der Angriffsfläche für Credential Stuffing ab.

---

Wenn ein Angriff bereits läuft: sofortige Schritte

Um einen Angriff zum Ausfüllen von Anmeldedaten zu erkennen, sind andere Signale erforderlich, als Sie vielleicht erwarten. Da einzelne Anfragen normal aussehen, sind die deutlichsten Anzeichen Muster auf Volumenebene: eine plötzliche Spitze im Anmeldeverkehr, ein ungewöhnliches Verhältnis zwischen erfolgreichen und fehlgeschlagenen Anmeldungen oder neue Konten, die mit Mustern erstellt werden, die auf eine Automatisierung hindeuten (aufeinanderfolgende Benutzernamen, identische Browsersignaturen, Massenregistrierungen in einem kurzen Zeitfenster).

Wenn Sie einen aktiven Angriff erkennen, begrenzt diese Sequenz den Schaden:

---

Die EU-Dimension: Warum Credential Stuffing ein GDPR-Problem ist

Für europäische Website-Betreiber ist ein erfolgreicher Credential Stuffing-Angriff nicht nur ein Sicherheitsvorfall. Nach der Datenschutz-Grundverordnung stellt der unbefugte Zugriff auf personenbezogene Daten in Benutzerkonten eine Verletzung des Schutzes personenbezogener Daten dar und löst eine 72-stündige Meldepflicht an Ihre Aufsichtsbehörde sowie eine mögliche Benachrichtigung der betroffenen Benutzer aus. Der Fall 23andMe führte zu behördlichen Untersuchungen durch das britische Information Commissioner's Office und das Office of the Privacy Commissioner of Canada, zum Teil deshalb, weil das Erkennungsversagen eine rechtzeitige Meldung der Datenschutzverletzung verhinderte.

Dies hat eine direkte Auswirkung darauf, wie Sie über Schutzmaßnahmen gegen das Ausfüllen von Anmeldeinformationen denken. Der Einsatz von CAPTCHA und MFA ist nicht nur eine Sicherheitsentscheidung. Es ist auch Teil Ihrer Verpflichtung nach Artikel 32 der DSGVO, “geeignete technische Maßnahmen” zum Schutz personenbezogener Daten zu ergreifen. Wenn Sie dies nicht tun und in der Folge eine Datenschutzverletzung erleiden, geraten Sie bei einer behördlichen Überprüfung in eine schwierige Lage.

Die Wahl des CAPTCHA hat auch Auswirkungen auf die Einhaltung von Vorschriften. Herkömmliche CAPTCHA-Dienste setzen in der Regel Tracking-Cookies auf den Anmeldeseiten, was die Anforderungen an die ePrivacy-Einwilligung auslöst und die Einrichtung der Einwilligungsverwaltung komplexer macht. CAPTCHA.eu arbeitet von Haus aus ohne Cookies, was die Frage der Einhaltung von Vorschriften für Betreiber, die Bot-Schutz ohne Zustimmungs-Overhead für Authentifizierungsabläufe wünschen, völlig ausschließt.

---

Häufig gestellte Fragen

---

Verwandte Lektüre

---