Credential Stuffing und Password Spraying

Credential Stuffing ist ein automatisierter Angriff, bei dem aus einem Datenleck gestohlene Benutzername-Passwort-Paare bei anderen Diensten ausprobiert werden. Dabei wird die Wiederverwendung von Passwörtern ausgenutzt — wenn jemand überall dasselbe Passwort verwendet, sind durch ein einziges Datenleck alle Konten gefährdet.

Auf Dark-Web-Märkten und in Foren können Milliarden von Zugangsdaten gekauft werden. Tools wie Sentry MBA, SNIPR und eigene Python-Skripte automatisieren das Testen von Tausenden Zugangsdatenpaaren pro Minute bei vielen Diensten gleichzeitig.

Studien zeigen, dass mehr als 65 % der Menschen Passwörter auf mehreren Websites wiederverwenden. Ein Datenleck in einem Forum mit niedrigen Sicherheitsstandards kann dadurch die Bank-, E-Mail- und Unternehmenskonten derselben Person gefährden.

Password Spraying probiert einige häufig verwendete Passwörter (z. B. "Spring2024!", "Password1") bei vielen Konten aus. Im Gegensatz zu Brute Force werden Kontosperren vermieden, indem die Versuche auf viele Konten verteilt und jeweils nur mit einem Passwort durchgeführt werden.

Vergleich:

• Brute Force — viele Passwörter gegen ein Konto → löst eine Kontosperrung aus
• Password Spray — ein Passwort gegen viele Konten → bleibt unterhalb der Sperrschwelle
• Credential Stuffing — bekannte Zugangsdatenpaare aus Datenlecks → rät nicht

Erkennungsmerkmale:

• Hohe Anzahl fehlgeschlagener Anmeldeversuche von vielen IPs
• Erfolgsquote plötzlich höher als der Basiswert
• Anmeldungen von Tor-Exit-Nodes, VPNs oder privaten Proxys
• Geräte-Fingerprints automatisierter Tools
• Anmeldungen von geografisch unmöglichen Orten

Anzeichen für Password Spraying:

• Viele Konten mit gleichzeitig fehlgeschlagenen Anmeldungen
• Fehlversuche knapp unterhalb der Sperrschwelle (z. B. bei Sperrgrenze = 5 vier Fehlversuche pro Konto)
• Dasselbe Passwort wird bei vielen Konten versucht

Wichtige Schutzmaßnahmen:

• MFA — Gestohlene Zugangsdaten allein reichen nicht aus
• Erkennung kompromittierter Passwörter — Bekannte, geleakte Passwörter bei Registrierung oder Änderung ablehnen
• CAPTCHA in Anmeldeformularen
• IP-Reputation — Bekanntermaßen bösartige IP-Bereiche blockieren
• Device Fingerprinting — Anmeldungen von neuen Geräten markieren

Schutzmaßnahmen:

• Richtlinien zur Kontosperrung (mit Benachrichtigungen)
• MFA für alle Konten erforderlich
• Häufige Passwörter mithilfe einer Sperrliste blockieren
• Authentifizierungsprotokolle auf Muster von Password Spraying überwachen
• Conditional Access, der bei ungewöhnlichen Anmeldungen eine zusätzliche Verifizierung verlangt

Wenn Benutzer über Anmeldungen von neuen Geräten oder Standorten benachrichtigt werden, können sie Kontoübernahmen sofort selbst melden. Viele Dienste senden E-Mails mit dem Text "Neue Anmeldung von [Stadt, Gerät]" — Benutzer sollten unerwartete Benachrichtigungen prüfen und darauf reagieren.

HaveIBeenPwned von Troy Hunt aggregiert Daten aus Datenlecks. Organisationen können die HIBP-k-Anonymity-API integrieren, um zu prüfen, ob Passwörter in bekannten Datenlecks vorkommen — ohne das vollständige Passwort an die API zu senden.

Ein Angreifer versucht "Summer2024!" bei 50.000 Konten, wartet dann und versucht anschließend "Password1!" bei denselben 50.000 Konten. Welche Technik ist das?

Credential Stuffing verwendet gestohlene Zugangsdaten aus einem Datenleck bei anderen Diensten wieder — ermöglicht durch die Wiederverwendung von Passwörtern. Password Spraying probiert häufige Passwörter bei vielen Konten aus, um Kontosperren zu vermeiden. Zu den Schutzmaßnahmen gehören MFA, die Prüfung auf geleakte Passwörter, CAPTCHA, das Blockieren von IPs mit schlechter Reputation und die Überwachung von Authentifizierungsprotokollen auf ungewöhnliche Muster.