Brute Force Attacke
Was ist eine Brute Force Attacke?
Eine Brute Force Attacke ist ein automatisierter Angriffsversuch, bei dem viele mögliche Passwörter, Zugangsdaten oder kryptografische Schlüssel systematisch getestet werden. Ziel ist es, durch vollständiges Durchprobieren oder stark eingegrenzte Kandidatenlisten einen gültigen Zugang zu finden. Schutz bieten vor allem starke einzigartige Passwörter, Mehrfaktor-Authentifizierung und begrenzte Anmeldeversuche.
Eine Brute Force Attacke, deutsch: Angriff mit roher Gewalt, nutzt Rechenleistung und Automatisierung, um eine große Zahl möglicher Zeichenkombinationen gegen ein Anmeldeformular, einen Serverdienst, eine verschlüsselte Datei oder einen Schlüssel zu testen. Der Angreifer muss das Passwort nicht kennen. Er benötigt lediglich eine Schnittstelle, die wiederholte Versuche zulässt, oder eine gestohlene Passwortdatei für eine Offline-Analyse.
So funktioniert eine Brute Force Attacke
Bei einer klassischen Brute Force Attacke probiert ein Programm Kandidaten nach einem festgelegten Schema aus. Das kann bei aaaaaa beginnen und schrittweise Buchstaben, Zahlen und Sonderzeichen kombinieren. Das Verfahren endet, sobald ein gültiger Zugang gefunden wurde oder alle vorgesehenen Kombinationen getestet wurden.
Der Suchraum lässt sich mit der Formel AL beschreiben. A steht für die Anzahl möglicher Zeichen und L für die Passwortlänge. Ein sechs Zeichen langes Passwort aus 26 Kleinbuchstaben besitzt 266, also 308.915.776 mögliche Kombinationen. Bei zwölf Zeichen steigt derselbe Suchraum auf 2612 und damit auf mehr als 95 Billiarden Kombinationen. Jedes zusätzliche Zeichen vergrößert den Aufwand exponentiell.
Online-Angriff und Offline-Angriff
Eine Online Brute Force Attacke sendet Anmeldeversuche direkt an eine Website, eine Programmierschnittstelle oder einen Netzwerkdienst. Die Geschwindigkeit wird durch Antwortzeiten, Sperrregeln und die verfügbare Bandbreite begrenzt. Solche Angriffe hinterlassen typischerweise fehlgeschlagene Anmeldungen in Server-, Firewall- oder Authentifizierungsprotokollen.
Eine Offline Brute Force Attacke setzt voraus, dass ein Angreifer bereits verschlüsselte Daten oder Passwort-Hashes erlangt hat. Die Versuche laufen anschließend auf eigener Hardware und erreichen keine sichtbare Anmeldeschnittstelle. Kontosperren und CAPTCHAs helfen in diesem Fall nicht. Ausschlaggebend sind ein geeignetes Hash-Verfahren, individuelle Salt-Werte und die Rechenkosten der Passwortprüfung.
| Merkmal | Online-Angriff | Offline-Angriff |
|---|---|---|
| Ziel | Login, API oder Netzwerkdienst | Entwendete Hashes oder verschlüsselte Dateien |
| Begrenzender Faktor | Rate Limiting, Sperren und Antwortzeit | Hardwareleistung und Hash-Verfahren |
| Erkennung | Meist über Anmelde- und Serverprotokolle | Auf dem angegriffenen System kaum direkt erkennbar |
| Wichtiger Schutz | Mehrfaktor-Authentifizierung und begrenzte Versuche | Starke Passwortspeicherung und lange Passwörter |
Varianten der Brute Force Attacke
Der Begriff Brute Force Attacke wird häufig als Sammelbezeichnung für mehrere Passwortangriffe verwendet. Die Methoden unterscheiden sich vor allem darin, welche Zugangsdaten getestet werden und ob der Angreifer alle Kombinationen oder nur wahrscheinliche Kandidaten verwendet.
Der Unterschied zwischen einer Brute Force Attacke und Credential Stuffing liegt in der Herkunft der Kandidaten. Brute Force erzeugt oder kombiniert mögliche Passwörter. Credential Stuffing verwendet bereits bekannte Zugangsdaten und nutzt aus, dass Passwörter mehrfach eingesetzt werden. Ein einzigartiges Passwort verhindert deshalb Credential Stuffing selbst dann, wenn Zugangsdaten eines anderen Dienstes offengelegt wurden.
Auswirkungen auf SEO und Websites
Eine erfolglose Brute Force Attacke verursacht nicht automatisch einen Rankingverlust. SEO-Folgen entstehen, wenn die hohe Zahl der Anfragen den Server überlastet, legitime Nutzer aussperrt oder ein erfolgreicher Zugriff die Website verändert. Mögliche Folgen sind 5xx-Fehler, längere Ladezeiten, unerwünschte Weiterleitungen, eingeschleuste Seiten und zeitweise Nichterreichbarkeit.
Eine kompromittierte Website kann Suchmaschinen manipulierte Inhalte ausliefern, während Besucher andere Seiten sehen. Angreifer nutzen solche Zugänge beispielsweise für Spam-Seiten, schädliche Downloads oder versteckte Links. Ein technischer SEO-Audit kann auffällige Statuscodes, Weiterleitungen und indexierbare Fremdinhalte erfassen. Die Ursachenanalyse gehört bei einem Sicherheitsvorfall zusätzlich in die Hände der zuständigen IT oder eines spezialisierten Sicherheitsdienstes.
Ein technischer SEO-Check erkennt keine Passwortrateversuche, kann aber sichtbare Auswirkungen wie fehlerhafte Metadaten, Erreichbarkeitsprobleme oder technische Abweichungen aufdecken. Bei einem akuten Verdacht müssen außerdem Benutzerkonten, Serverdateien, Datenbankänderungen, geplante Aufgaben und Zugriffsprotokolle geprüft werden.
Brute Force Attacke erkennen
Messbar ist eine Brute Force Attacke über die Zahl und Verteilung fehlgeschlagener Anmeldungen innerhalb eines festgelegten Zeitraums. Aussagekräftig sind viele Fehlversuche gegen ein Konto, identische Passwortversuche gegen zahlreiche Konten, wechselnde IP-Adressen und eine erfolgreiche Anmeldung unmittelbar nach einer langen Fehlerfolge. Eine einzelne IP-Adresse reicht als Kriterium nicht aus, weil verteilte Angriffe zahlreiche Absender verwenden.
Eine feste Alarmgrenze passt nicht zu jedem System. Fünf Fehlversuche können bei einem privaten Administratorkonto auffällig sein, bei einem großen Kundenportal jedoch regelmäßig durch Tippfehler entstehen. Definiere Grenzwerte deshalb nach Kontotyp, üblichem Anmeldevolumen, Standort, Uhrzeit und bisherigem Verhalten. Besonders privilegierte Konten benötigen strengere Regeln als gewöhnliche Benutzerkonten.
Schutz vor Brute Force Attacken 2026
Eine wirksame Abwehr verbindet mehrere Kontrollen. Eine starre Kontosperre allein kann Angreifern ermöglichen, fremde Konten gezielt zu blockieren. Progressive Wartezeiten, Rate Limiting und zusätzliche Prüfungen reduzieren die Versuchsgeschwindigkeit, ohne ein Benutzerkonto sofort für längere Zeit unzugänglich zu machen.
Häufige Fragen zur Brute Force Attacke
Wie lange dauert eine Brute Force Attacke?
Die Dauer hängt von Passwortlänge, Zeichenvorrat, verfügbarer Rechenleistung und der Zahl erlaubter Versuche ab. Online verlangsamen Rate Limiting und Wartezeiten den Angriff. Offline bestimmt vor allem das verwendete Hash-Verfahren, wie viele Kandidaten pro Zeit geprüft werden können.
Kann eine Brute Force Attacke jedes Passwort knacken?
Theoretisch kann vollständiges Durchprobieren jede endliche Zeichenkombination finden. Bei langen zufälligen Passwörtern kann der erforderliche Suchraum praktisch zu groß sein. Der Schutz beruht deshalb darauf, den Aufwand weit über einen wirtschaftlich oder technisch sinnvollen Rahmen hinaus zu erhöhen.
Hilft ein CAPTCHA gegen Brute Force Attacken?
Ein CAPTCHA kann automatisierte Online-Versuche bremsen, bietet allein aber keinen vollständigen Schutz. Angreifer können verteilte Systeme, gestohlene Sitzungen oder externe Lösungsdienste einsetzen. Rate Limiting und Mehrfaktor-Authentifizierung bleiben zusätzlich erforderlich.
Ist Passwort-Spraying dasselbe wie Brute Force?
Passwort-Spraying ist eine gezielte Variante des Passwortangriffs. Statt viele Passwörter gegen ein Konto zu testen, wird ein häufiges Passwort gegen zahlreiche Konten geprüft. Dadurch entstehen pro Konto weniger Fehlversuche, was einfache Sperrregeln umgehen kann.
Woran erkenne ich einen gehackten WordPress-Zugang?
Hinweise sind unbekannte Administratoren, veränderte Dateien, neue Weiterleitungen, unerwartete Erweiterungen und Anmeldungen aus ungewöhnlichen Regionen. Auch neu angelegte Seiten oder fremde Links können auf einen kompromittierten Zugang hinweisen. Die Prüfung sollte Server, Datenbank und Benutzerkonten einschließen.
Was muss ich nach einer erfolgreichen Attacke tun?
Sperre den betroffenen Zugang, beende aktive Sitzungen und ändere Passwörter über ein vertrauenswürdiges Gerät. Prüfe anschließend Protokolle, Benutzerkonten, Dateien, Datenbank und Sicherungen. Bei personenbezogenen oder geschäftskritischen Daten müssen zusätzlich die internen Melde- und Notfallprozesse greifen.
Wenn eine kompromittierte Website bereits Rankings, Crawling oder Erreichbarkeit beeinträchtigt, kann ein technischer Potenzialcheck die sichtbaren SEO-Folgen einordnen. Bei einem laufenden Sicherheitsvorfall sollte parallel ein IT-Sicherheitsdienst eingebunden werden.
Kostenlosen Potenzialcheck anfragen
Sie haben noch Fragen?
