Ein Brute-Force-Angriff (deutsch „Angriff mit roher Gewalt") probiert systematisch alle möglichen Kombinationen aus, bis ein Passwort, ein PIN oder ein Schlüssel gefunden ist. Der Angreifer automatisiert das mit Software — pro Sekunde sind je nach System Millionen von Versuchen möglich. Erfolg hat der Angriff vor allem bei schwachen, kurzen oder häufig benutzten Passwörtern.
Arten von Brute-Force
- Einfacher Brute-Force: Alle Zeichenkombinationen werden durchprobiert (a-z, A-Z, 0-9, Sonderzeichen). Bei langen Passwörtern praktisch aussichtslos.
- Dictionary-Angriff: Wörterbuch-Wörter, Namen und typische Muster wie „Passwort2024" oder „123456" werden zuerst getestet — oft der schnellste Weg.
- Hybrid-Angriff: Wörter aus dem Wörterbuch mit Zahlen/Sonderzeichen kombiniert („sommer2026!").
- Credential Stuffing: Zugangsdaten aus früheren Datenlecks werden bei anderen Diensten ausprobiert — funktioniert, weil viele Nutzer dasselbe Passwort überall verwenden.
Warum Passwörter nicht im Klartext gespeichert werden
Seriöse Systeme speichern Passwörter nie direkt, sondern als Hash mit einem zufälligen Salt (einem zusätzlichen Wert pro Passwort). Selbst wenn die Datenbank gestohlen wird, kann der Angreifer die Original-Passwörter nicht einfach lesen — er muss sie mit Brute-Force erst „raten". Gute Hashing-Verfahren (bcrypt, Argon2) sind absichtlich langsam und machen Millionen-Versuche pro Sekunde unmöglich.
Schutzmaßnahmen
- Lange Passwörter: 12+ Zeichen, am besten Passphrasen — jeder zusätzliche Buchstabe vervielfacht die Kombinationsmöglichkeiten.
- Zwei-Faktor-Authentifizierung (2FA/MFA): Selbst ein erratenes Passwort nützt dem Angreifer nichts ohne den zweiten Faktor. Details: 2FA/MFA.
- Rate-Limiting: Login-Versuche werden begrenzt und bei Auffälligkeiten gesperrt oder verlangsamt.
- Passwort-Manager: Erzeugen und speichern einzigartige, starke Passwörter pro Dienst — verhindert Credential Stuffing.
Erkennen und reagieren
- Auffällig viele Login-Fehler in Logs sind ein Warnsignal — Logging und Monitoring helfen, Angriffe früh zu sehen.
- Eine Firewall und ein Zero-Trust-Modell reduzieren die Angriffsfläche.
- Brute-Force trifft nicht nur Logins: Auch APIs, SSH-Zugänge und verschlüsselte Dateien sind Ziele — überall gelten dieselben Regeln.
Verwandte Grundlagen: Hashing, 2FA/MFA, Phishing, Malware, SSO, Zero Trust.