Nach einem Datenleck bei einem Onlineshop oder Forum sind die erbeuteten Zugangsdaten oft rasch in Umlauf. Angreifende probieren diese Paare automatisiert bei E-Mail-Diensten, Microsoft 365, Webshops oder Bürgerportalen aus. Jede Person, die ihr Passwort mehrfach nutzt, wird so zum Ziel, auch wenn der eigentliche Dienst nie gehackt wurde. Die Wissensdatenbank MITRE ATT&CK führt die Methode als Technik T1110.004, das OWASP-Projekt für automatisierte Bedrohungen als OAT-008.
Wie funktioniert Credential Stuffing?
- Daten beschaffen: Zugangsdaten stammen aus früheren Datenlecks anderer Dienste, aus Phishing oder aus Schadsoftware.
- Automatisiert durchprobieren: Programme senden Anmeldeversuche in großer Zahl, oft verteilt über viele IP-Adressen, damit einfache Sperren nicht greifen.
- Treffer verwerten: Funktionierende Konten werden für Betrug, Spam, Datendiebstahl oder als Einstieg ins Unternehmensnetz genutzt.
Abgrenzung: Brute Force und Password Spraying
OWASP unterscheidet drei Muster. Beim Brute-Force-Angriff werden viele Passwörter gegen ein Konto geraten. Beim Password Spraying wird ein häufiges Passwort gegen viele Konten versucht, um Kontosperren zu umgehen. Credential Stuffing rät nicht, sondern verwendet echte, bereits gestohlene Paare.
Praxis für KMU und Gemeinden
Gefährdet sind zwei Seiten. Ihre Mitarbeitenden nutzen vielleicht dasselbe Passwort privat und beruflich; ein Leak bei einem privaten Dienst öffnet dann das Firmenkonto. Ihre eigenen Portale, etwa ein Webshop, ein Kundenbereich oder ein Bürgerservice einer Gemeinde, können Ziel automatisierter Anmeldeversuche werden. In beiden Fällen gilt: Ein Passwort allein ist kein ausreichender Schutz mehr.
Maßnahmen gegen Credential Stuffing
- Multi-Faktor-Authentifizierung: OWASP nennt MFA mit Abstand die beste Verteidigung. Am stärksten sind Passkeys, weil kein wiederverwendbares Passwort mehr nötig ist. Bei Push-Verfahren gehört der Schutz vor MFA-Fatigue dazu.
- Passwörter gegen Leaks prüfen: Die NIST-Richtlinie SP 800-63B in der Revision 4 vom Juli 2025 verlangt, neue Passwörter mit einer Sperrliste häufiger, erwartbarer oder kompromittierter Passwörter abzugleichen.
- Einzigartige Passwörter: Ein Passwort-Manager macht unterschiedliche, lange Passwörter für jedes Konto alltagstauglich.
- Anmeldeversuche bremsen: Rate-Limits, CAPTCHAs und die Prüfung von Geräte- und Verbindungsmerkmalen erschweren automatisierte Angriffe auf eigene Portale.
- Ungewöhnliches melden: Benachrichtigen Sie Nutzende über Anmeldungen von neuen Geräten oder Orten.
- Leaks überwachen: Leak-Monitoring zeigt, ob Zugangsdaten Ihrer Domain in bekannt gewordenen Datenlecks auftauchen. MITRE empfiehlt, bekannt kompromittierte Konten vorsorglich zurückzusetzen.
Bezug zu TOMORIS
GRID.darkwatch unterstützt die Erkennung offengelegter Unternehmens- und Zugangsdaten, ordnet Treffer ein und übersetzt sie in konkrete Schutzmaßnahmen. Eine kontrollierte Verwaltung gemeinsamer Passwörter mit klaren Rollen unterstützt GRID.pass.