Credential Stuffing erklärt: Wie aus alten Leaks neue Vorfälle werden

Milliarden Kombinationen aus Benutzername und Passwort kursieren frei in kriminellen Foren – gesammelt aus Jahren von Datenlecks und zunehmend aus Infostealer-Malware. Weil Menschen Passwörter wiederverwenden, wird das Leak einer Website zum Schlüssel für viele andere.

Credential Stuffing ist der automatisierte Missbrauch dieser geleakten Paare an Login-Seiten in großem Stil.

So läuft ein Credential-Stuffing-Angriff ab

1. Listen mit Zugangsdaten beschaffen

Angreifer kaufen oder laden Combo-Listen mit Millionen E-Mail-Passwort-Paaren herunter. Frische Infostealer-Logs, die oft auch Session-Cookies enthalten, sind besonders wertvoll.

2. Login-Versuche automatisieren

Mit spezialisierten Werkzeugen und großen Pools von Residential Proxies testen Angreifer jedes Paar an einer Ziel-Login-Seite. Durch die Verteilung auf viele IP-Adressen umgehen sie einfache Ratenbegrenzungen.

3. Erfolgreiche Logins zu Geld machen

Gültige Konten werden um gespeicherte Guthaben erleichtert, für Betrug genutzt oder weiterverkauft. Firmenkonten können zum Erstzugang für ein viel größeres Eindringen werden.

Warnsignale

Achten Sie auf Spitzen fehlgeschlagener Logins von vielen verschiedenen IPs, ungewöhnlich hohes Login-Volumen zu seltsamen Uhrzeiten, viele fehlschlagende Konten mit gültigen Benutzernamen und erfolgreiche Logins von Infrastruktur, die nicht zu den üblichen Standorten Ihrer Kunden passt.

So wehren Sie sich

Multi-Faktor-Authentifizierung durchsetzen

MFA ist die wirksamste Einzelmaßnahme. Selbst wenn das Passwort stimmt, scheitert der Angreifer am zweiten Faktor. Setzen Sie wo möglich auf Passkeys.

Passwörter gegen bekannte Leaks prüfen

Lehnen Sie bei Registrierung und Passwortwechsel Passwörter ab, die in bekannten Leak-Sammlungen vorkommen. So verschwinden die gefährlichsten wiederverwendeten Passwörter aus dem Umlauf.

Bot- und Anomalieerkennung ergänzen

Geräte-Fingerprinting, Verhaltenssignale und adaptive Prüfungen machen großflächige Automatisierung für Angreifer deutlich teurer.

Die eigenen geleakten Zugangsdaten überwachen

Threat-Intelligence-Monitoring meldet, wenn Zugangsdaten von Mitarbeitenden oder Kunden Ihrer Domains in neuen Dumps auftauchen – damit Sie Zurücksetzungen erzwingen können, bevor sie genutzt werden.