Credential Stuffing
Was ist Credential Stuffing?
Credential Stuffing bezeichnet automatisierte Anmeldeversuche mit gestohlenen Kombinationen aus Benutzername und Passwort. Angreifer testen Zugangsdaten aus früheren Datenlecks bei anderen Diensten. Verwendet ein Nutzer dasselbe Passwort mehrfach, kann bereits ein gültiger Treffer zur Übernahme seines Kunden-, Shop-, E-Mail- oder Werbekontos führen.
Wie Credential Stuffing funktioniert
Credential Stuffing, auf Deutsch sinngemäß das automatisierte Ausprobieren gestohlener Zugangsdaten, nutzt bereits bekannte Login-Kombinationen. Die Angreifer müssen Passwörter deshalb nicht erraten. Sie beschaffen Listen aus Datenlecks oder illegalen Handelsplätzen und lassen Software prüfen, ob dieselben Daten auch bei anderen Websites funktionieren.
Ein typischer Angriff beginnt mit einer Datei aus E-Mail-Adressen und Passwörtern. Automatisierte Programme senden diese Kombinationen an ein Login-Formular, wechseln dabei häufig IP-Adressen, Gerätekennungen oder Browsermerkmale und werten die Antwort des Systems aus. Ein erfolgreicher Login wird gespeichert und kann anschließend für Bestellungen, Datenzugriffe oder weitere Angriffe genutzt werden.
Credential Stuffing erkennen
Credential Stuffing erzeugt häufig viele fehlgeschlagene Anmeldungen, kann aber unauffälliger als ein klassischer Brute-Force-Angriff wirken. Statt tausender Passwörter für ein einziges Konto testen Bots oft nur eine oder wenige Kombinationen pro Benutzername. Eine Sperre, die ausschließlich zahlreiche Fehlversuche bei demselben Konto erkennt, greift deshalb zu kurz.
Messbar ist Credential Stuffing durch die gemeinsame Auswertung von Login-Volumen, Erfolgsquote, IP-Verteilung, Gerätemerkmalen und ungewöhnlichen Kontoaktivitäten. Die Trefferquote lässt sich als erfolgreiche Anmeldungen geteilt durch alle automatisierten Anmeldeversuche mal 100 berechnen. Führen beispielsweise 50 von 100.000 verdächtigen Versuchen zu einem Login, beträgt die Quote 0,05 Prozent. Auch eine niedrige Quote kann bei großen Angriffswellen zahlreiche übernommene Konten bedeuten.
Ein einzelner fehlgeschlagener Login beweist keinen Angriff. Verdächtig wird das Muster, wenn zahlreiche Konten innerhalb kurzer Zeit geprüft werden, Anfragen aus wechselnden Netzen kommen oder erfolgreiche Anmeldungen unmittelbar zu Änderungen an Passwort, E-Mail-Adresse, Zahlungsdaten oder Kampagnen führen. Prüfe deshalb Ereignisketten und nicht nur die Gesamtzahl fehlgeschlagener Logins.
Abgrenzung zu ähnlichen Angriffen
| Angriffsart | Verwendete Methode | Typisches Muster |
|---|---|---|
| Credential Stuffing | Bekannte Kombinationen aus Benutzername und Passwort | Wenige Versuche gegen viele Konten und Dienste |
| Brute Force | Viele mögliche Passwörter werden erraten | Viele Versuche gegen ein einzelnes oder wenige Konten |
| Password Spraying | Ein häufig genutztes Passwort wird bei vielen Konten getestet | Dasselbe Passwort gegen zahlreiche Benutzernamen |
| Phishing | Nutzer werden zur Preisgabe ihrer Daten verleitet | Gefälschte Nachrichten, Formulare oder Anmeldeseiten |
Der Unterschied zwischen Credential Stuffing und Brute Force liegt in der Herkunft der Passwörter. Beim Brute-Force-Angriff werden mögliche Kennwörter systematisch geraten. Credential Stuffing arbeitet mit Zugangsdaten, die bei einem anderen Dienst bereits gültig waren. Lange Passwörter schützen daher nur eingeschränkt, wenn dieselbe Kombination an mehreren Stellen verwendet wird.
Schutz vor Credential Stuffing
Der wirksamste Schutz kombiniert mehrere Kontrollen. Eine einzelne Maßnahme reicht selten aus, weil Angreifer IP-Adressen wechseln, Anfragen verzögern und echte Browser imitieren können. Unternehmen sollten sowohl die Anmeldung absichern als auch Aktivitäten nach einem erfolgreichen Login überwachen.
Folgen für SEO, SEA und GEO
Credential Stuffing ist kein direkter Google-Ranking-Faktor. Übernommene CMS-, Hosting- oder Administratorkonten können jedoch Inhalte verändern, Weiterleitungen einrichten, Schadcode einfügen oder Seiten entfernen. Solche Eingriffe können Crawling, Indexierung, Nutzervertrauen und organischen Traffic beeinträchtigen. Nach einem Sicherheitsvorfall sollte ein technisches SEO-Audit der betroffenen Website deshalb Änderungen an URLs, Quellcode, Weiterleitungen und Indexierungssteuerung prüfen.
Bei übernommenen Werbekonten können Angreifer Kampagnen, Zielseiten, Zahlungsinformationen oder Zugriffsrechte verändern. Für SEA-Verantwortliche gehören Mehrfaktor-Authentifizierung, persönliche Benutzerkonten und regelmäßig geprüfte Berechtigungen daher zur Kontohygiene. Gemeinsam genutzte Logins erschweren die Zuordnung von Änderungen und sollten durch individuelle Zugänge ersetzt werden.
Für GEO, also Generative Engine Optimization, entsteht das Risiko vor allem über manipulierte oder gelöschte Inhalte. Werden Unternehmensinformationen unbemerkt verändert, können Suchmaschinen und KI-Systeme fehlerhafte Angaben erfassen. Nach einer Kontoübernahme sollten Unternehmen deshalb nicht nur das Passwort wechseln, sondern auch zentrale Marken-, Produkt- und Kontaktdaten kontrollieren. Ergänzend hilft eine klare Strategie zum Schutz der digitalen Marke.
Reaktion auf einen Angriff
Bei einem Verdacht auf Credential Stuffing beginnt die Untersuchung mit der Sicherung der Login-Protokolle. Dokumentiere Zeitpunkte, Konten, IP-Adressen, Geräteinformationen, erfolgreiche Anmeldungen und anschließende Änderungen. Setze betroffene Zugangsdaten zurück, beende bestehende Sitzungen und prüfe, ob neue Benutzer, API-Schlüssel, Weiterleitungen oder Zahlungsinformationen angelegt wurden.
Ein vollständiger Reaktionsplan umfasst außerdem die Suche nach derselben Zugangskombination in weiteren Unternehmenssystemen. Ein kompromittiertes CMS-Passwort kann beispielsweise auch für Hosting, E-Mail oder Analyseplattformen verwendet worden sein. Priorisiere Konten mit Administrationsrechten und stelle sicher, dass neue Passwörter pro Dienst einzigartig sind.
Häufige Fragen zu Credential Stuffing
Woran merke ich, dass mein Konto durch Credential Stuffing übernommen wurde?
Warnzeichen sind unbekannte Anmeldungen, geänderte Kontaktdaten, neue Bestellungen, fremde Kampagnen oder unerwartete Passwortnachrichten. Ändere das Passwort über ein vertrauenswürdiges Gerät, beende aktive Sitzungen und prüfe sämtliche Kontoeinstellungen.
Hilft ein langes Passwort gegen Credential Stuffing?
Ein langes Passwort schützt vor dem Erraten, aber nicht vollständig vor Credential Stuffing. Wurde dasselbe Passwort bei einem anderen Dienst gestohlen, kann es unabhängig von seiner Länge automatisiert getestet werden. Verwende für jedes Konto eine eigene Kombination.
Kann Credential Stuffing eine Website lahmlegen?
Viele automatisierte Login-Anfragen können Server und Schutzsysteme belasten. Das Hauptziel ist jedoch gewöhnlich die Kontoübernahme. Rate Limiting, Bot-Erkennung und eine belastbare Infrastruktur begrenzen sowohl die Belastung als auch die Zahl automatisierter Versuche.
Was soll ich nach einer Warnung vor gestohlenen Zugangsdaten tun?
Ändere das betroffene Passwort sofort und ersetze es bei jedem weiteren Dienst, bei dem dieselbe Kombination verwendet wurde. Aktiviere Mehrfaktor-Authentifizierung, kontrolliere aktive Sitzungen und prüfe das Konto auf unbekannte Änderungen.
Sind CAPTCHAs ein ausreichender Schutz gegen Credential Stuffing?
CAPTCHAs können automatisierte Anmeldungen erschweren, bilden aber nur eine Schutzschicht. Angreifer können Erkennungsverfahren umgehen oder menschliche Lösungsdienste einsetzen. Kombiniere CAPTCHAs mit Mehrfaktor-Authentifizierung, Rate Limiting und risikobasierter Anmeldung.
Wer haftet bei einem durch Credential Stuffing übernommenen Konto?
Die rechtliche Bewertung hängt vom Einzelfall, dem betroffenen Dienst, den vereinbarten Sicherheitsmaßnahmen und dem entstandenen Schaden ab. Unternehmen sollten den Vorfall dokumentieren und bei finanziellen, vertraglichen oder personenbezogenen Folgen fachlichen Rechtsrat einholen.
Wenn ein Sicherheitsvorfall technische Änderungen an deiner Website oder deinen Marketingkonten ausgelöst hat, kann ein unverbindlicher Potenzialcheck die betroffenen Bereiche strukturiert einordnen.
Sie haben noch Fragen?
