Broken Authentication

Was ist Broken Authentication?

Broken Authentication bezeichnet Sicherheitsmängel bei Anmeldung, Identitätsprüfung und Sitzungsverwaltung einer Webanwendung. Angreifer können dadurch Konten übernehmen, fremde Sitzungen nutzen oder geschützte Funktionen aufrufen. Typische Ursachen sind schwache Passwörter, unsichere Wiederherstellungsprozesse, fehlende Mehrfaktor-Authentifizierung und unzureichend geschützte Session-IDs.

Broken Authentication, auf Deutsch fehlerhafte Authentifizierung, entsteht, wenn eine Anwendung Benutzer nicht zuverlässig identifiziert oder eine bestätigte Identität anschließend unzureichend absichert. Betroffen sein können Kundenkonten, Redaktionssysteme, Shops, Analyseplattformen und interne Verwaltungsbereiche.

Wie Broken Authentication entsteht

Eine Anmeldung besteht technisch aus mehreren Schritten: Die Anwendung nimmt Zugangsdaten entgegen, vergleicht sie mit einem sicher gespeicherten Prüfwert, erstellt nach erfolgreicher Prüfung eine Sitzung und ordnet dieser Sitzung Berechtigungen zu. Ein Fehler in nur einem dieser Schritte kann eine Kontoübernahme ermöglichen.

Broken Authentication beschreibt deshalb mehr als ein erratenes Passwort. Der Begriff umfasst auch manipulierbare Session-IDs, ungeschützte Passwort-Reset-Links, dauerhaft gültige Anmeldungen und fehlende Kontrollen gegen automatisierte Login-Versuche. In der OWASP Top 10 von 2021 wurde der Themenbereich unter der Bezeichnung Identification and Authentication Failures geführt.

Credential Stuffing: Automatisierte Systeme testen bekannte Kombinationen aus E-Mail-Adresse und Passwort bei weiteren Diensten.
Brute Force: Ein Angreifer probiert viele Passwörter für ein bestimmtes Konto oder viele Konten aus.
Session Hijacking: Eine gültige Sitzung wird übernommen, ohne das Passwort erneut einzugeben.
Session Fixation: Die Anwendung behält nach der Anmeldung eine vorher bekannte Session-ID bei.
Fehlerhafte Kontowiederherstellung: Reset-Links sind vorhersehbar, mehrfach verwendbar oder zu lange gültig.

Passwortschutz allein reicht nicht

Ein verbreiteter Denkfehler setzt sichere Authentifizierung mit strengen Passwortregeln gleich. Ein komplexes Passwort schützt ein Konto jedoch nicht, wenn ein Reset-Link erneut verwendet werden kann oder die Anwendung nach der Anmeldung dieselbe Session-ID behält. Prüfe deshalb den vollständigen Ablauf vom ersten Login-Versuch bis zum Logout und zur Kontowiederherstellung.

Passwörter dürfen serverseitig nicht im Klartext gespeichert werden. Geeignete Passwort-Hashing-Verfahren erzeugen einen nicht umkehrbaren Prüfwert und ergänzen jedes Passwort um einen individuellen Salt. Argon2id, scrypt und bcrypt sind für diesen Zweck entwickelt worden. Allgemeine Hashfunktionen für Dateien ersetzen kein spezielles Passwort-Hashing, weil sie bewusst schnell arbeiten und dadurch massenhafte Rateversuche erleichtern.

Eine erfolgreiche Anmeldung beweist nur, dass die vorgelegten Zugangsdaten akzeptiert wurden. Broken Authentication bleibt möglich, wenn Sitzungen danach unbegrenzt gültig bleiben, Session-IDs in URLs erscheinen oder ein Passwortwechsel bestehende Sitzungen nicht beendet.

Broken Authentication bei Sitzungen

Nach einer erfolgreichen Anmeldung erhält der Browser üblicherweise ein Session-Cookie. Dieses Cookie vertritt den Benutzer bei allen folgenden Anfragen. Gelangt der Wert an einen Angreifer, kann die Anwendung dessen Anfrage wie die Anfrage des angemeldeten Benutzers behandeln. Die Sicherheit der Sitzung ist daher genauso relevant wie die Sicherheit des Passworts.

Eine Anwendung sollte die Session-ID nach der Anmeldung und nach einer Änderung der Berechtigungen erneuern. Beim Logout, bei einer Passwortänderung und bei einem sicherheitsrelevanten Reset müssen bestehende Sitzungen serverseitig ungültig werden. Cookie-Attribute wie Secure, HttpOnly und SameSite begrenzen zusätzlich, wie der Browser das Cookie überträgt und Skripten zugänglich macht.

Schwachstelle	Mögliche Folge	Geeignete Kontrolle
Unbegrenzte Login-Versuche	Automatisiertes Erraten oder Testen gestohlener Zugangsdaten	Rate Limiting, risikobasierte Prüfungen und Monitoring
Unveränderte Session-ID	Übernahme einer vorbereiteten Sitzung	Neue Session-ID nach Login und Rechteänderung
Lange gültiger Reset-Link	Spätere oder mehrfache Kontoübernahme	Kurzlebiges, zufälliges und einmal verwendbares Token
Unterschiedliche Fehlermeldungen	Ermittlung registrierter E-Mail-Adressen	Einheitliche Antwort für unbekannte Benutzer und falsche Passwörter
Fehlende Mehrfaktor-Authentifizierung	Ein gestohlenes Passwort genügt für den Zugriff	Zweiter Faktor, bevorzugt mit phishingresistentem Verfahren

Schutzmaßnahmen gegen Broken Authentication 2026

Wirksamer Schutz kombiniert technische Kontrollen, nachvollziehbare Prozesse und regelmäßige Tests. Eine einzelne Maßnahme kann mehrere Angriffswege nicht vollständig abdecken. Mehrfaktor-Authentifizierung reduziert beispielsweise das Risiko gestohlener Passwörter, korrigiert aber keinen vorhersehbaren Reset-Link und keine ungeschützte Session-ID.

Aktiviere Mehrfaktor-Authentifizierung mindestens für Administratoren, Redakteure und Konten mit Zahlungszugriff.
Begrenze automatisierte Anmeldeversuche nach Konto, IP-Adresse, Gerät und erkennbarem Verhaltensmuster.
Speichere Passwörter mit einem geeigneten Passwort-Hashing-Verfahren und einem individuellen Salt.
Erzeuge Reset-Token kryptografisch zufällig, zeitlich begrenzt und nur einmal verwendbar.
Erneuere Session-IDs nach der Anmeldung sowie nach jeder Änderung von Rollen oder Berechtigungen.
Protokolliere fehlgeschlagene Anmeldungen, neue Geräte, Passwortänderungen und ungewöhnliche Sitzungen.

Messbar ist Broken Authentication nicht mit einer einzelnen Kennzahl. Aussagekräftig sind unter anderem die Zahl fehlgeschlagener Logins pro Konto, wiederholte Versuche aus wechselnden Netzen, parallele Sitzungen aus weit entfernten Regionen und ungewöhnlich viele Reset-Anfragen. Automatische Warnschwellen müssen zum normalen Anmeldevolumen der jeweiligen Anwendung passen.

Folgen für SEO, SEA und GEO

Broken Authentication beeinflusst SEO indirekt, sobald Angreifer Zugriff auf das Content-Management-System oder technische Einstellungen erhalten. Manipulierte Weiterleitungen, Canonical Tags, robots.txt-Regeln, Meta-Robots-Angaben oder Spam-Seiten können Crawling, Indexierung und Rankings verändern. Ein technisches SEO-Audit erkennt viele sichtbare Folgen, ersetzt jedoch keinen Sicherheitstest der Anmeldeprozesse.

Bei SEA kann ein kompromittiertes Werbekonto Budgets, Zielseiten, Anzeigen und Tracking-Einstellungen verändern. Administratoren sollten deshalb eigene Konten verwenden, Berechtigungen auf den benötigten Umfang begrenzen und Mehrfaktor-Authentifizierung aktivieren. Gemeinsame Logins erschweren die Zuordnung, welcher Benutzer eine Änderung durchgeführt hat.

Für GEO, also Generative Engine Optimization, entsteht das Risiko vor allem über manipulierte Inhalte. Werden Unternehmensinformationen, Autorenprofile oder Produktdaten verändert, können Suchmaschinen und KI-Systeme fehlerhafte Angaben verarbeiten. Eine saubere Rechtevergabe schützt deshalb auch die publizistische Vertrauenswürdigkeit einer Domain.

Abgrenzung zu verwandten Schwachstellen

Der Unterschied zwischen Broken Authentication und Broken Access Control liegt im Zeitpunkt der Prüfung. Broken Authentication betrifft die Feststellung, wer ein Benutzer ist, sowie den Schutz seiner Sitzung. Broken Access Control betrifft die anschließende Frage, welche Daten und Funktionen dieser bereits identifizierte Benutzer aufrufen darf.

Phishing ist ebenfalls nicht mit Broken Authentication gleichzusetzen. Phishing beschafft Zugangsdaten durch Täuschung außerhalb oder am Rand der Anwendung. Broken Authentication beschreibt Schwächen innerhalb des Anmelde-, Wiederherstellungs- oder Sitzungsprozesses. Mehrfaktor-Authentifizierung kann beide Risiken reduzieren, beseitigt jedoch keine fehlerhafte Rechteprüfung.

Bei einem Website-Relaunch sollten Login, Passwort-Reset, Cookie-Konfiguration und Rollenmodell separat getestet werden. Ein optisch unveränderter Anmeldebereich kann nach einem Systemwechsel ein anderes Session-Verhalten besitzen. Die Prüfung muss daher echte Anmeldungen, Abmeldungen, Rechtewechsel und abgelaufene Sitzungen umfassen.

Häufige Fragen zu Broken Authentication

Woran erkennt man Broken Authentication?

Hinweise sind unbegrenzte Login-Versuche, dauerhaft gültige Sitzungen, wiederverwendbare Reset-Links und unterschiedliche Meldungen für unbekannte Benutzer und falsche Passwörter. Eine belastbare Bewertung erfordert Tests des gesamten Anmelde- und Wiederherstellungsprozesses.

Ist ein schwaches Passwort bereits Broken Authentication?

Ein schwaches Passwort kann Broken Authentication begünstigen, ist aber nur ein möglicher Teil des Problems. Auch sichere Passwörter schützen keine manipulierbaren Sitzungen oder fehlerhaften Reset-Prozesse.

Verhindert Mehrfaktor-Authentifizierung jede Kontoübernahme?

Mehrfaktor-Authentifizierung erschwert Kontoübernahmen erheblich, verhindert aber nicht jede Schwachstelle. Gestohlene Sitzungen, fehlerhafte Wiederherstellungsprozesse und unzureichende Berechtigungsprüfungen müssen separat abgesichert werden.

Wie lange sollte eine Anmeldung gültig bleiben?

Die Gültigkeitsdauer richtet sich nach Risiko und Nutzung der Anwendung. Verwaltungsbereiche und Konten mit sensiblen Daten benötigen kürzere Inaktivitätsgrenzen als ein gewöhnlicher Kundenbereich, wobei sicherheitsrelevante Änderungen eine erneute Anmeldung auslösen sollten.

Was ist Credential Stuffing?

Beim Credential Stuffing testen Angreifer bereits bekannte Kombinationen aus Benutzername und Passwort automatisiert bei weiteren Diensten. Individuelle Passwörter, Mehrfaktor-Authentifizierung und begrenzte Login-Versuche reduzieren das Risiko.

Wer sollte einen Login-Bereich prüfen?

Entwickler prüfen Implementierung und Konfiguration, während spezialisierte Sicherheitstests das Verhalten aus Angreifersicht untersuchen. SEO-Verantwortliche sollten zusätzlich kontrollieren, ob ein Vorfall Inhalte, Weiterleitungen, Indexierungsregeln oder Tracking verändert hat.

Wenn ein kompromittierter Zugang bereits Inhalte, Rankings oder Tracking beeinflusst hat, sollte die technische Bereinigung mit einer Prüfung der SEO-Folgen verbunden werden.

Kostenlosen Potenzialcheck anfragen

Sie haben noch Fragen?

Kontaktieren Sie uns