Brute-Force-Angriff einfach erklärt
Denken Sie an ein Fahrradschloss mit vier Zahlenrädern. Es gibt 10.000 mögliche Kombinationen, von 0000 bis 9999. Wer genug Zeit hat, probiert einfach alle durch – irgendwann springt das Schloss auf. Genau das ist ein Brute-Force-Angriff.
Bei Passwörtern übernimmt ein Computer das Ausprobieren, und zwar in enormem Tempo. Deshalb zählt vor allem die Länge: Jedes zusätzliche Zeichen vervielfacht die Zahl der möglichen Kombinationen. Ein kurzes Passwort ist schnell gefunden. Bei einem langen, zufälligen Passwort oder einer Passphrase aus mehreren zufällig gewählten Wörtern ist reines Durchprobieren dagegen praktisch aussichtslos.
In der Praxis gehen Angreifer selten ganz stur vor. Sie beginnen mit den wahrscheinlichsten Kandidaten: häufig genutzten Passwörtern, Wörtern aus dem Wörterbuch und typischen Mustern wie „Firmenname2026!“. Fachleute sprechen dann von einem Wörterbuchangriff.
So funktioniert ein Brute-Force-Angriff
Man unterscheidet zwei grundlegende Varianten:
- Online-Angriff: Der Angreifer probiert Passwörter direkt an einer Anmeldemaske aus – etwa am Webshop-Login, am VPN-Zugang (dem verschlüsselten Fernzugang ins Firmennetz) oder an einem aus dem Internet erreichbaren Windows-Fernzugriff per RDP (Remote Desktop Protocol). Jeder Versuch läuft über das Netzwerk und kann erkannt, verlangsamt oder blockiert werden.
- Offline-Angriff: Der Angreifer hat bereits gespeicherte Passwörter erbeutet. Diese liegen meist nicht im Klartext vor, sondern als Hash – eine Art digitaler Fingerabdruck, aus dem sich das Passwort nicht direkt zurückrechnen lässt. Der Angreifer berechnet deshalb die Hashes vieler Kandidaten und vergleicht sie. Das geschieht auf seinem eigenen Rechner: Niemand bemerkt die Fehlversuche, und keine Sperre greift. Leistungsfähige Grafikkarten schaffen bei schwachen Hash-Verfahren eine riesige Zahl an Versuchen pro Sekunde.
Daneben gibt es Abwandlungen des Prinzips:
- Beim Passwort-Spraying probiert der Angreifer wenige gängige Passwörter gegen sehr viele Konten und bleibt so unter der Schwelle für Kontosperren.
- Beim Credential Stuffing testet er Zugangsdaten aus früheren Datenlecks, statt zu raten.
- Beim Kerberoasting fordert er im Windows-Netzwerk Tickets für Dienstkonten an und knackt deren Passwörter anschließend offline.
Ein Beispiel aus der Praxis
Ein Ingenieurbüro mit 40 Beschäftigten hat für das Homeoffice einen Windows-Server per RDP direkt aus dem Internet erreichbar gemacht. Die Anmeldung erfolgt nur mit Benutzername und Passwort. In den Protokollen tauchen täglich zahlreiche fehlgeschlagene Anmeldeversuche von wechselnden IP-Adressen auf, doch niemand wertet sie aus.
Eines der Konten gehört einer ehemaligen Praktikantin und wurde nie deaktiviert. Das Passwort besteht aus Vorname und Jahreszahl. Irgendwann passt die Kombination, und der Angreifer ist im Netzwerk – ohne eine einzige Softwarelücke ausnutzen zu müssen.
Das Büro zieht Konsequenzen: Der Server ist nur noch über ein VPN mit Multi-Faktor-Authentifizierung erreichbar, verwaiste Konten werden regelmäßig deaktiviert, und gehäufte Fehlversuche lösen künftig einen Alarm aus.
Warum ist das für Unternehmen wichtig?
Brute-Force-Angriffe sind billig und laufen automatisiert rund um die Uhr. Jeder aus dem Internet erreichbare Login – Webshop, Kundenportal, VPN, E-Mail oder Fernzugriff – muss damit rechnen, ausprobiert zu werden. Ein einziges schwaches Passwort kann genügen, damit Angreifer Zugang zu Daten, Postfächern oder dem gesamten Netzwerk erhalten.
Bei Webshops und Kundenportalen kommt eine zweite Gefahr hinzu: Übernommene Kundenkonten führen zu Betrug, Beschwerden und Vertrauensverlust. Zudem verlangt Art. 32 DSGVO angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten – dazu gehört auch ein wirksamer Schutz solcher Konten.
So schützen Sie sich
- Auf Länge setzen: Fördern Sie lange Passwörter und Passphrasen statt komplizierter Regeln und stellen Sie einen Passwortmanager bereit.
- Multi-Faktor-Authentifizierung einführen: Mit MFA reicht ein erratenes Passwort allein nicht mehr – besonders wichtig für Fernzugänge, E-Mail und Administration.
- Anmeldeversuche begrenzen: Eine Ratenbegrenzung lässt nur wenige Versuche pro Zeitspanne zu. Zusammen mit wachsenden Wartezeiten oder vorübergehenden Sperren bremst sie Online-Angriffe aus. Achten Sie darauf, dass Angreifer Sperren nicht missbrauchen können, um Nutzende gezielt auszusperren.
- Fernzugänge abschirmen: Dienste wie RDP gehören nicht direkt ins Internet, sondern hinter ein VPN mit MFA.
- Schwache Passwörter sperren: Gleichen Sie neue Passwörter mit Listen häufig genutzter und bereits geleakter Passwörter ab.
- Passwörter sicher speichern: Webanwendungen sollten Passwörter nur mit speziellen, bewusst langsamen Hash-Verfahren ablegen. Das erschwert Offline-Angriffe erheblich.
- Fehlversuche überwachen: Auffällige Häufungen fehlgeschlagener Anmeldungen sollten einen Alarm auslösen.
Wie Rootsektor unterstützt
In einem Penetrationstest für Webanwendungen prüfen wir, ob Ihre Login-Funktionen automatisierten Anmeldeversuchen standhalten – von der Ratenbegrenzung über Kontosperren bis zur Umsetzung der Multi-Faktor-Authentifizierung. Fernzugänge wie VPN und RDP untersuchen wir bei einem Penetrationstest für Netzwerk & Infrastruktur. Ein Festpreisangebot nach dem Scoping erhalten Sie über die Seite Pentest-Angebot.