Was ist Credential Stuffing? Definition des Cyberangriffs
Credential Stuffing ist eine Cyberangriffsmethode, bei der Kriminelle automatisiert gestohlene Benutzernamen und Passwörter auf verschiedenen Websites und Diensten ausprobieren. Die Angreifer nutzen dabei aus, dass viele Menschen dieselben Zugangsdaten für mehrere Online-Konten verwenden.
Die Funktionsweise ist simpel aber effektiv: Nach einem Datenleck bei einem Dienst gelangen die Angreifer an Millionen von E-Mail-Passwort-Kombinationen. Diese werden dann systematisch bei anderen beliebten Plattformen wie Online-Shops, Streaming-Diensten oder Social Media getestet.
Der Begriff „Stuffing“ (deutsch: „Stopfen“ oder „Vollstopfen“) beschreibt dabei das massenhafte, automatisierte Einspeisen der Zugangsdaten. Anders als beim Brute-Force-Angriff, bei dem Passwörter erraten werden, nutzen die Angreifer hier bereits bekannte, echte Zugangsdaten.
Wie funktioniert Credential Stuffing? Ablauf des Angriffs
Der Ablauf eines Credential-Stuffing-Angriffs folgt einem klaren Muster. Zunächst beschaffen sich die Angreifer Zugangsdaten aus Datenbanken, die bei früheren Sicherheitsvorfällen kompromittiert wurden. Solche Datensätze werden im Darknet gehandelt oder sind teilweise sogar öffentlich zugänglich.
Anschließend setzen die Kriminellen spezialisierte Software ein, die diese Zugangsdaten automatisiert bei verschiedenen Online-Diensten testet. Diese Bots können große Mengen an Login-Versuchen durchführen. Um nicht aufzufallen, verteilen sie die Anfragen oft über viele IP-Adressen und simulieren menschliches Verhalten.
Die Erfolgsquote variiert stark und hängt von der Qualität der gestohlenen Daten, den Schutzmaßnahmen der Zielplattform und der Häufigkeit der Passwortwiederverwendung ab. Selbst bei geringen Erfolgsraten können Angreifer bei Millionen getesteter Kombinationen auf eine erhebliche Anzahl von Konten zugreifen.
Besonders attraktiv sind Konten mit hinterlegten Zahlungsinformationen oder Guthaben. Bei Streaming-Diensten werden kompromittierte Accounts weiterverkauft, bei Online-Shops für betrügerische Bestellungen missbraucht. Auch Social-Media-Konten sind wertvoll für Spam-Kampagnen oder weitere Angriffe.
Die Angreifer optimieren ihre Methoden kontinuierlich. Sie priorisieren beispielsweise Kombinationen mit häufig genutzten Passwörtern oder passen ihre Bots an spezifische Sicherheitsmaßnahmen einzelner Plattformen an. Manche Tools können sogar CAPTCHAs automatisiert lösen.
Credential Stuffing Risiko: Wer ist gefährdet?
Die Gefahr durch Credential Stuffing ist real und betrifft potenziell jeden Internetnutzer. Studien zeigen, dass ein erheblicher Anteil der Menschen dasselbe Passwort für mehrere Dienste verwendet. Genau diese Gewohnheit macht Credential Stuffing so erfolgreich.
Stell dir vor, deine Zugangsdaten wurden vor Jahren bei einem kleinen Forum oder einem längst vergessenen Online-Dienst gestohlen. Wenn du damals dieselbe E-Mail-Passwort-Kombination wie heute bei deinem Online-Banking oder deinem Amazon-Konto verwendet hast, können Angreifer darauf zugreifen – selbst wenn diese Dienste selbst nie gehackt wurden.
Die Folgen können gravierend sein: Vom Identitätsdiebstahl über finanzielle Verluste bis hin zum Missbrauch persönlicher Daten. Besonders problematisch wird es, wenn Angreifer Zugriff auf dein E-Mail-Konto erlangen – damit können sie Passwörter für andere Dienste zurücksetzen und deine digitale Identität komplett übernehmen.
Im Alltag begegnet dir das Thema häufiger als du denkst. Wenn du plötzlich von einem Dienst ausgeloggt wirst oder eine Benachrichtigung über einen Login-Versuch von einem unbekannten Ort erhältst, könnte das ein Credential-Stuffing-Angriff gewesen sein. Viele Plattformen haben mittlerweile Schutzmechanismen implementiert, die verdächtige Aktivitäten erkennen.
Credential Stuffing vs. Phishing: Die wichtigsten Unterschiede
Ein weit verbreiteter Irrtum ist, dass Credential Stuffing und Brute-Force-Angriffe dasselbe sind. Beim Brute-Force werden systematisch alle möglichen Passwortkombinationen durchprobiert. Credential Stuffing nutzt dagegen bereits bekannte, echte Zugangsdaten – ist also gezielter und oft erfolgreicher.
Viele glauben auch, dass nur große Accounts oder prominente Personen Ziel solcher Angriffe sind. Tatsächlich erfolgen Credential-Stuffing-Angriffe vollautomatisiert und unterschiedslos. Jedes Konto kann betroffen sein – die Angreifer interessiert nur, ob die Zugangsdaten funktionieren.
Ein weiteres Missverständnis: „Mein Passwort ist sicher, also bin ich geschützt.“ Selbst das sicherste Passwort hilft nicht, wenn es bei einem Datenleck gestohlen und dann bei anderen Diensten ausprobiert wird. Die Stärke des Passworts ist hier weniger relevant als seine Einzigartigkeit.
Auch die Annahme, dass nur unsichere oder kleine Websites betroffen sind, stimmt nicht. Credential Stuffing zielt gerade auf große, beliebte Plattformen ab, weil dort die Erfolgsaussichten höher sind. Die Sicherheit der Zielplattform spielt dabei eine untergeordnete Rolle.
Schutz vor Credential Stuffing: Zwei-Faktor-Authentifizierung nutzen
Der effektivste Schutz gegen Credential Stuffing ist die Verwendung einzigartiger Passwörter für jeden Online-Dienst. Passwort-Manager helfen dabei, komplexe und individuelle Passwörter zu erstellen und sicher zu verwalten. Zusätzlich solltest du die Zwei-Faktor-Authentifizierung (2FA) aktivieren, wo immer möglich.
Plattformen setzen zunehmend auf Schutzmaßnahmen wie Rate Limiting, bei dem die Anzahl der Login-Versuche begrenzt wird, oder auf Anomalie-Erkennung, die ungewöhnliche Zugriffsmuster identifiziert. Auch CAPTCHA-Systeme und Device Fingerprinting helfen, automatisierte Angriffe zu erkennen.
Verwandte Bedrohungen sind Password Spraying, bei dem wenige häufige Passwörter gegen viele Accounts getestet werden, und Account Takeover, der übergeordnete Begriff für die Kontoübernahme. Auch das Thema Data Breaches und die Verfügbarkeit gestohlener Daten im Darknet sind eng mit Credential Stuffing verknüpft.
Dienste wie „Have I Been Pwned“ ermöglichen es dir zu prüfen, ob deine E-Mail-Adresse oder Passwörter bei bekannten Datenlecks kompromittiert wurden. Regelmäßige Überprüfungen und das zeitnahe Ändern betroffener Passwörter sind wichtige Präventionsmaßnahmen in der digitalen Sicherheitshygiene.
