Was ist Passwort-Spraying?

Passwort-Spraying einfach erklärt

Bei einem klassischen Brute-Force-Angriff probiert ein Angreifer bei einem einzigen Konto unzählige Passwörter durch. Das fällt schnell auf, denn nach einigen Fehlversuchen wird das Konto in der Regel gesperrt. Beim Passwort-Spraying dreht er das Prinzip um: Er nimmt ein naheliegendes Passwort und probiert es bei allen Konten aus, die er kennt. Dann wartet er und versucht das nächste.

Ein Bild aus dem Alltag: Ein Dieb rüttelt nicht stundenlang an einer einzigen Haustür. Er geht die ganze Straße entlang und drückt an jeder Tür kurz die Klinke. Irgendwo hat bestimmt jemand vergessen abzuschließen.

Der Angriff lebt davon, dass Menschen ähnliche Passwörter wählen: die Jahreszeit mit Jahreszahl und Ausrufezeichen, den Firmennamen mit einer Ziffer oder ein Startpasswort, das bei der Einrichtung vergeben und nie geändert wurde.

So funktioniert Passwort-Spraying

1. Benutzernamen sammeln: Der Angreifer ermittelt Namen von Beschäftigten, etwa über die Firmenwebsite, Karrierenetzwerke oder frühere Datenlecks. Diese Recherche in offenen Quellen nennt man OSINT. Aus dem Aufbau der E-Mail-Adressen leitet er die Benutzernamen ab.
2. Ziel wählen: Lohnend sind Anmeldeseiten, die aus dem Internet erreichbar sind – Cloud-Dienste wie Microsoft 365, Webmail, VPN-Portale oder Fernzugänge.
3. Langsam sprühen: Er probiert ein Passwort wie „Herbst2026!“ bei allen Konten aus. Das geschieht bewusst langsam und oft verteilt über viele wechselnde Internetadressen, damit keine Sperre greift und kein Alarm ausgelöst wird.
4. Treffer nutzen: Schon ein einziges Konto ohne zusätzlichen Schutz genügt als Einstieg – für Phishing-Mails aus einem echten Postfach, für den Zugriff auf Dokumente oder als Sprungbrett ins Firmennetz.

Vom verwandten Credential Stuffing unterscheidet sich Passwort-Spraying dadurch, dass der Angreifer keine erbeuteten Zugangsdaten durchprobiert, sondern auf schwache, vorhersehbare Passwörter setzt.

Ein Beispiel aus der Praxis

Ein Bauunternehmen nutzt Microsoft 365. Neue Beschäftigte erhalten zum Start das Passwort „Willkommen1!“ und sollen es ändern – erzwungen wird das aber nicht. Multi-Faktor-Authentifizierung ist nur für die Geschäftsführung aktiviert.

Ein Angreifer sammelt über ein Karrierenetzwerk die Namen von Beschäftigten und probiert über mehrere Wochen hinweg einige typische Passwörter aus. Bei zwei Konten aus der Bauleitung passt „Willkommen1!“. Aus einem der Postfächer verschickt er Rechnungen mit geänderter Bankverbindung an Kunden – die E-Mails kommen schließlich von einer echten Adresse.

Erst als ein Kunde nachfragt, fällt der Betrug auf. Die Anmeldeprotokolle zeigen die typische Spur: viele fehlgeschlagene Anmeldungen bei vielen Konten, aber jeweils nur wenige Versuche pro Konto.

Warum ist das für Unternehmen wichtig?

Passwort-Spraying erfordert weder besonderes Wissen noch teure Werkzeuge. Es trifft Unternehmen jeder Größe, denn jedes Konto mit schwachem Passwort und ohne MFA ist ein möglicher Einstieg.

Gefährlich ist vor allem, dass der Angriff leise abläuft. Kontosperren greifen nicht, und in den Protokollen gehen vereinzelte Fehlversuche leicht unter. Wer nicht gezielt nach diesem Muster sucht, bemerkt den Angriff oft erst, wenn ein Konto bereits missbraucht wird.

Die Folgen reichen vom Abfluss vertraulicher E-Mails über Rechnungsbetrug bis zum Einstieg für Ransomware, also Erpressungssoftware. Sind personenbezogene Daten betroffen, können zudem Meldepflichten nach der DSGVO entstehen.

So schützen Sie sich

• MFA für alle Konten: Multi-Faktor-Authentifizierung macht ein erratenes Passwort allein wertlos – vorausgesetzt, sie gilt ohne Ausnahmen.
• Sperrlisten nutzen: Verbieten Sie naheliegende Passwörter wie Jahreszeiten, Firmennamen oder „Passwort123“ technisch über eine Sperrliste.
• Lange Passphrasen: Ermutigen Sie zu langen Passwortsätzen statt kurzer Passwörter, die nach einem Schema gebildet werden.
• Startpasswörter absichern: Vergeben Sie individuelle Startpasswörter und erzwingen Sie die Änderung bei der ersten Anmeldung.
• Veraltete Anmeldewege schließen: Protokolle, die keine MFA unterstützen, sollten abgeschaltet sein.
• Anmeldungen überwachen: Achten Sie auf viele Fehlversuche über viele Konten hinweg und auf Anmeldungen aus ungewöhnlichen Regionen.

Wie Rootsektor unterstützt

Mit unserem Microsoft 365 & Azure Review prüfen wir, wie gut Ihre Microsoft-Cloud gegen Passwort-Spraying gewappnet ist. Wir klären, ob MFA lückenlos gilt, welche Passwortrichtlinien und Sperrlisten in Entra ID (dem Anmeldedienst hinter Microsoft 365) aktiv sind, ob veraltete Anmeldewege offen sind und ob verdächtige Anmeldemuster erkannt werden. Sie erhalten priorisierte Maßnahmenempfehlungen; ein Festpreisangebot nach dem Scoping können Sie über unser Pentest-Angebot anfordern.