Was ist Credential Stuffing?

Beim Credential Stuffing nutzen Angreifer gestohlene oder veröffentlichte Zugangsdaten und versuchen meist automatisiert mit Hilfe eines Botnets, sich bei verschiedenen Websites und Diensten anzumelden. Der Angriff nutzt aus, dass Menschen dieselben Zugangsdaten häufig für mehrere Dienste verwenden.

Warum ist Credential Stuffing gefährlich?

Erfolgreiche Credential-Stuffing-Angriffe können sowohl bei Privatpersonen als auch innerhalb von Unternehmen erhebliche Schäden verursachen. Privatpersonen haben oft mit finanziellen Schäden zu kämpfen - beispielsweise wenn ein Bankkonto leergeräumt wurde oder wenn für tausende von Euro auf Amazon etwas bestellt wurde. Unternehmen haben mit einer größeren Bandbreite von Problemen zu kämpfen. So kann es sein, dass Kundendaten gestohlen wurden, weil ein Mitarbeiter seine Zugangsdaten für das CRM-System mehrfach verwendet hat. Neben Reputationsschäden können auch rechtliche Konsequenzen drohen, wenn personenbezogene Daten gestohlen wurden. Im Allgemeinen ist dieser Angriff so verbreitet, weil er einfach zu automatisieren ist. Große Leak-Datenbanken versorgen Black-Hat- Hacker kontinuierlich mit neuen, teilweise noch gültigen Zugangsdaten.

Welche Methoden verwenden Angreifer beim Credential Stuffing?

Die Zugangsdaten werden oft im Darknet gekauft. Auch öffentliche Leak-Datenbanken sind eine beliebte Quelle. Infostealer-Logdateien können mittlerweile ebenfalls kostenlos über Telegram heruntergeladen werden. Diese Daten werden von Angreifern aufbereitet und dann mit Hilfe von speziellen Tools gegen diverse Dienste - darunter Zahlungsdienste, Shops, E-Mail-Anbieter und viele weitere - getestet. In der Regel wird der Traffic über wechselnde Proxy-Server geleitet. Das erschwert die Zuordnung und verhindert, dass der Angriff durch das Sperren weniger IP-Adressen beendet wird.

Wann treten Credential Stuffing-Angriffe vermehrt auf?

Global angelegte Credential Stuffing-Angriffe lassen sich vor allem dann gehäuft beobachten, wenn beispielsweise ein großer Dienst gehackt wurde und Zugangsdaten im Darknet verkauft werden. APT sind hier relativ schnell - speziell, wenn der Fokus des APT, der finanzielle Gewinn ist.

Wie schütze ich mich vor Credential Stuffing?

Wer für jeden Dienst ein einzigartiges Passwort verwendet, nimmt dem Angriff seine Grundlage. Passwortmanager vereinfachen das erheblich. Bei wichtigen Diensten sollte zusätzlich 2FA oder MFA verwendet werden. Das kann eine Anmeldung verhindern, obwohl eine dritte Partei das gültige Passwort besitzt.

Wie verhindert man Credential Stuffing-Angriffe auf eigene Dienste?

Betreiber können Anmeldeversuche pro Konto, Token und Risikosignal begrenzen. Captchas können automatisierte Angriffe verteuern, sind allein aber kein verlässlicher Schutz. Dauerhafte Kontosperren sind ebenfalls problematisch, weil Angreifer damit fremde Konten blockieren können. Besonders wirksam bleiben MFA, die Prüfung neuer Passwörter gegen bekannte Leaks und ein Monitoring ungewöhnlicher Anmeldeversuche. Penetrationstests können dabei helfen, diese Maßnahmen zu prüfen.