Was ist Credential Stuffing?

Credential Stuffing einfach erklärt

Stellen Sie sich vor, Sie haben für Haustür, Büro, Auto und Briefkasten denselben Schlüssel. Verlieren Sie ihn im Fitnessstudio, kann der Finder nicht nur Ihren Spind öffnen, sondern alles andere auch. Er muss nur ausprobieren, wo der Schlüssel passt. Genau das passiert beim Credential Stuffing mit Passwörtern.

„Credentials“ ist das englische Wort für Zugangsdaten, „Stuffing“ bedeutet so viel wie „Hineinstopfen“. Angreifer stopfen also massenhaft gestohlene Kombinationen aus E-Mail-Adresse und Passwort in die Anmeldemasken von Webshops, E-Mail-Diensten oder Cloud-Anwendungen.

Anders als beim Brute-Force-Angriff raten die Angreifer nicht. Sie verwenden echte Zugangsdaten, die bei einem anderen Dienst tatsächlich funktioniert haben. Pro Konto genügt deshalb oft ein einziger Versuch – und das fällt weit weniger auf als massenhaftes Raten.

So funktioniert Credential Stuffing

1. Daten beschaffen: Bei Datenlecks gelangen Zugangsdaten in die Hände von Kriminellen. Sie werden im Darknet, einem schwer zugänglichen und anonymen Bereich des Internets, gehandelt und in umfangreichen Listen gesammelt, sogenannten Combo-Listen.
2. Ziele auswählen: Die Angreifer suchen sich Dienste aus, bei denen sich ein übernommenes Konto lohnt – etwa Webshops mit hinterlegten Zahlungsdaten, E-Mail-Postfächer oder Firmenzugänge zu Cloud-Diensten.
3. Automatisiert ausprobieren: Spezielle Programme, sogenannte Bots, testen die Kombinationen in hohem Tempo. Um Schutzmechanismen zu umgehen, verteilen die Angreifer die Anfragen auf viele IP-Adressen und ahmen das Verhalten echter Browser nach.
4. Treffer verwerten: Funktionierende Zugänge werden genutzt oder weiterverkauft – für Betrug, Spam, Datendiebstahl oder als Einstieg für weitere Angriffe auf ein Unternehmen.

Weil die Anmeldungen mit korrekten Zugangsdaten erfolgen, sehen sie für das angegriffene System zunächst wie ganz normale Logins aus. Das macht Credential Stuffing schwer zu erkennen.

Ein Beispiel aus der Praxis

Ein Onlinehändler für Outdoor-Ausrüstung bemerkt an einem Wochenende ungewöhnlich viele Anmeldungen. Kurz darauf melden sich Kundinnen und Kunden: In ihren Konten wurden Lieferadressen geändert und Bestellungen auf Rechnung aufgegeben. Der Shop selbst wurde nicht gehackt. Die Täter nutzten Zugangsdaten, die bei einem ganz anderen Dienst gestohlen worden waren.

Bei der Aufarbeitung fällt außerdem auf: Einige Beschäftigte hatten sich mit ihrer dienstlichen E-Mail-Adresse bei einem privaten Onlinedienst registriert, der Opfer eines Datenlecks wurde. Wer dort dasselbe Passwort wie für das Firmenkonto verwendet hat, gefährdet nun auch das Unternehmen.

Der Händler reagiert: Er führt eine Bot-Erkennung ein und bietet seiner Kundschaft Multi-Faktor-Authentifizierung (MFA) an – eine Anmeldung mit zusätzlichem Code, etwa aus einer App. Außerdem setzt er die Passwörter der betroffenen Beschäftigten zurück und erzwingt MFA für alle Firmenzugänge.

Warum ist das für Unternehmen wichtig?

Credential Stuffing trifft Unternehmen auf zwei Wegen. Zum einen als Betreiber: Werden Kundenkonten in Ihrem Webshop oder Portal übernommen, drohen Betrug, Mehraufwand im Kundenservice und Vertrauensverlust – auch wenn Ihre eigenen Systeme gar nicht gehackt wurden. Greifen Unbefugte dabei auf personenbezogene Daten zu, kann je nach Fall zudem eine Meldepflicht nach Art. 33 DSGVO gegenüber der Datenschutzaufsicht entstehen.

Zum anderen als Arbeitgeber: Nutzen Beschäftigte ihr Firmenpasswort auch privat, genügt ein Datenleck bei einem beliebigen Onlinedienst, um Angreifern den Weg zu E-Mail, Cloud-Speicher oder VPN Ihres Unternehmens zu öffnen. Solche Zugänge sind häufig der erste Schritt zu weiterreichenden Angriffen.

So schützen Sie sich

• Multi-Faktor-Authentifizierung: Setzen Sie MFA für alle Firmenzugänge ein – besonders für E-Mail, Cloud und VPN – und bieten Sie sie für Kundenkonten an. Ein gestohlenes Passwort allein reicht dann nicht mehr.
• Ein Passwort pro Dienst: Stellen Sie einen Passwortmanager bereit und regeln Sie, dass Firmenpasswörter nirgendwo sonst verwendet werden.
• Geleakte Passwörter sperren: Gleichen Sie Passwörter bei der Vergabe mit Listen bekannter, bereits geleakter Passwörter ab.
• Bots bremsen: Ratenbegrenzung, Bot-Erkennung und Zusatzprüfungen bei auffälligen Anmeldungen, etwa von neuen Geräten, erschweren automatisierte Angriffe.
• Auffälligkeiten überwachen: Viele Anmeldungen aus ungewöhnlichen Netzen oder plötzlich steigende Login-Zahlen sind Warnsignale.
• Frühwarnung nutzen: Überwachen Sie, ob Zugangsdaten Ihres Unternehmens im Darknet auftauchen, und ändern Sie betroffene Passwörter, bevor Angreifer sie nutzen.
• Nutzende informieren: Benachrichtigen Sie Ihre Kundschaft über neue Anmeldungen und Änderungen an Konto- oder Lieferdaten.

Wie Rootsektor unterstützt

Mit unserem Darknet Monitoring erfahren Sie, wenn Zugangsdaten oder andere Daten Ihres Unternehmens im Darknet auftauchen: Unsere Anwendungen erkennen Funde automatisiert und benachrichtigen Sie, anschließend unterstützen wir Sie individuell bei den Gegenmaßnahmen. Ob Ihre Login-Seiten automatisierten Anmeldeversuchen standhalten, prüfen wir in einem Penetrationstest für Webanwendungen. Ein Festpreisangebot für den Penetrationstest erhalten Sie über die Seite Pentest-Angebot. Besteht der Verdacht, dass Angreifer mit übernommenen Zugangsdaten bereits in Firmensysteme gelangt sind, klärt ein Compromise Assessment, ob es Anzeichen einer Kompromittierung gibt. Bei einem akuten Vorfall erreichen Sie uns unter +49 2932 465265-0 – außerhalb der Geschäftszeiten (Mo–Fr 08:00–17:00 Uhr) ist dieselbe Nummer unsere 24/7-Notfall-Hotline.