Credential Stuffing ist das automatisierte Ausprobieren geleakter Zugangsdaten bei anderen Diensten. Die Daten stammen aus früheren Einbrüchen und werden in großen Listen gehandelt; der Angriff selbst ist nur noch Fleißarbeit für ein Skript.
- Credential Stuffing
Das automatisierte Ausprobieren geleakter Zugangsdaten bei anderen Diensten.
Beispiel: „Das Credential Stuffing traf den Shop mit Daten aus einem fremden Leak von 2019.“Auch: Die Trefferquote liegt im Bereich weniger Zehntelprozent. Bei Millionen von Versuchen genügt das.
Abgrenzung zum Brute-Force-Angriff: Dort wird geraten. Hier ist das Passwort echt, nur eben für einen anderen Dienst.
Warum Credential Stuffing funktioniert
Weil dieselben Zugangsdaten an mehreren Stellen liegen. Wer sein Passwort aus dem Forum auch im Shop benutzt, verbindet beide Konten miteinander, und das schwächere bestimmt die Sicherheit. Dazu kommt, dass viele Leaks erst Jahre später auffallen und Passwörter selten gewechselt werden.
Wie sich Credential Stuffing erkennen lässt
An der Form der Anfragen. Viele Anmeldeversuche mit jeweils einem einzigen Versuch je Konto, verteilt über Hunderte von Adressen, oft mit gleichbleibendem Browserkennzeichen und in festem Takt. Ein plötzlicher Anstieg fehlgeschlagener Anmeldungen bei gleichzeitig ungewöhnlich vielen Erfolgen gehört ebenfalls dazu.
Was gegen Credential Stuffing hilft
Auf der Serverseite Rate Limiting je Konto und je Netz, eine Prüfung neuer Passwörter gegen bekannte Leak-Listen und ein zweiter Faktor für alles, was Geld oder Daten bewegt. Auf der Nutzerseite löst ein Passwortmanager das Grundproblem, weil er für jeden Dienst ein eigenes Passwort anlegt.