Credential Stuffing (deutsch etwa „Einschleusen von Zugangsdaten“) ist eine Angriffsmethode, bei der Angreifer gestohlene Benutzernamen und Passwörter automatisiert gegen viele Online-Dienste ausprobieren. Statt Passwörter zu raten, nutzen sie Zugangsdaten, die bei früheren Datenlecks (Breaches) veröffentlicht wurden – und setzen darauf, dass Nutzer dasselbe Passwort auf mehreren Websites verwenden.
So funktioniert der Angriff
Die Angreifer besorgen sich aus Datenlecks sogenannte Combo-Listen: Millionen von E-Mail-Adressen mit dazugehörigen Passwörtern. Diese Listen stammen aus gestohlenen Datenbanken, die im Darknet gehandelt werden. Anschließend spielen automatisierte Skripte oder Botnetze die Kombinationen bei Banken, Shops, sozialen Netzwerken und anderen Diensten durch. Weil viele Menschen ihr Passwort wiederverwenden, ist die Trefferquote trotzdem hoch – ein einziger geleakter Account genügt, um Zugang zu mehreren Diensten zu bekommen.
Der Unterschied zum Brute-Force-Angriff liegt in den verwendeten Daten: Dort werden Passwörter systematisch erraten, hier sind es echte, bereits bekannte Zugangsdaten. Auch der Hybrid-Angriff arbeitet mit Wörterlisten und Variationen – Credential Stuffing dagegen probiert die Original-Kombinationen aus Leaks einfach an anderen Orten aus. Verwandt ist der Wörterbuchangriff, der aber gegen die Passwörter selbst gerichtet ist, nicht gegen wiederverwendete Logins.
Warum die Methode so gefährlich ist
- Passwort-Wiederverwendung: Ein geleakter Account gefährdet alle Dienste, bei denen dieselben Daten verwendet werden.
- Automatisierung: Botnetze verteilen die Anfragen über viele IP-Adressen, klassische Sperren nach Fehlversuchen greifen kaum.
- Unbemerkt: Die Anmeldeversuche sehen aus wie normale Logins – der Angreifer hat schließlich das korrekte Passwort.
Schutzmaßnahmen
Das OWASP Credential Stuffing Prevention Cheat Sheet nennt die Zwei-Faktor-Authentifizierung als stärkste einzelne Kontrollmaßnahme: Sie stoppt den Angreifer auch dann, wenn das Passwort stimmt. Ergänzend helfen ein Passwort-Manager mit einzigartigen Passwörtern pro Dienst, Bot-Erkennung, Ratenbegrenzung und Geräte-Fingerprinting. Für Nutzer ist eine strenge Passwort-Richtlinie ohne Wiederverwendung die wichtigste Absicherung – idealerweise kombiniert mit einer langen Passphrase.
Verwandte Grundlagen: Phishing (wie Zugangsdaten gestohlen werden), Social Engineering.