Ein Brute-Force-Angriff ist das systematische Durchprobieren von Passwörtern, bis eines passt. Der Name meint rohe Gewalt: Der Angriff verlässt sich auf Rechenzeit und auf die Geduld einer Maschine.
- Brute-Force-Angriff
Das systematische Durchprobieren von Passwörtern, bis eines passt.
Beispiel: „Der Brute-Force-Angriff lief drei Tage lang gegen die Anmeldung des CMS.“Auch: In der Praxis beginnt ein Angriff mit Wörterbüchern und bekannten Leak-Listen, bevor er alle Kombinationen durchgeht. Das verkürzt die Dauer von Jahren auf Minuten.
Abgrenzung zum Credential Stuffing: Dort steht das Passwort schon fest und wird bei vielen Diensten probiert. Hier steht der Zugang fest und das Passwort wird gesucht.
Wie ein Brute-Force-Angriff vorgeht
In drei Stufen. Zuerst die Klassiker, von 123456 bis zum Firmennamen mit Jahreszahl. Dann die Muster, also Wörter mit angehängter Ziffer, getauschten Buchstaben und Sonderzeichen am Ende. Erst danach die vollständige Suche, die bei jedem zusätzlichen Zeichen vielfach länger dauert. Deshalb schützt Länge besser als Sonderzeichen.
Woran sich ein Brute-Force-Angriff im Protokoll zeigt
An einer Häufung von 401 oder 403 auf derselben Adresse, meist aus wechselnden Netzen und in gleichmäßigem Abstand. Bei einem CMS kommen Anfragen auf die Anmeldeseite und auf Schnittstellen dazu, die eine Anmeldung erlauben. Die Logfile-Analyse macht das in wenigen Minuten sichtbar.
Was gegen einen Brute-Force-Angriff hilft
Die Geschwindigkeit nehmen und den zweiten Faktor verlangen. Rate Limiting begrenzt die Versuche je Adresse und je Konto, eine verzögerte Antwort macht große Mengen unattraktiv, und ein zweiter Faktor entwertet ein erratenes Passwort. Auf der Serverseite zählt außerdem, dass Passwörter mit einem langsamen Verfahren gespeichert sind, siehe Passwort-Hashing.