Wenn Sie ein Passwort wiederverwenden und eine einzige Seite, auf der Sie es verwendet haben, gehackt wird, ist plötzlich jedes andere Konto, das dieses Passwort teilt, gefährdet - nicht durch Raten, sondern durch Credential Stuffing. Es ist eine der häufigsten Methoden, mit denen 2026 gewöhnliche Konten gekapert werden, und es funktioniert genau deshalb, weil die Wiederverwendung von Passwörtern so weit verbreitet ist. Dieser Leitfaden erklärt, was Credential Stuffing ist, wie es sich von Brute Force unterscheidet, wie Angreifer es im großen Maßstab durchführen und wie Sie es abstellen.
Es lohnt sich, das von einem reinen Brute-Force-Angriff zu unterscheiden, der rät statt wiederzuverwenden.
Geleakte Zugangsdaten befeuern diese Angriffe - sehen Sie den FortiBleed-Leak als Fallbeispiel.
Was Credential Stuffing ist
Credential Stuffing ist ein Angriff, der bereits geleakte Benutzername-Passwort-Paare erneut abspielt gegen viele Websites. Wenn ein Dienst von einem Datenleck betroffen ist, werden die gestohlenen Logins in „Combo-Listen“ gesammelt und gehandelt. Angreifer verwenden dann automatisierte Werkzeuge, um jedes Paar auf Dutzenden anderer Seiten auszuprobieren - E-Mail, Banking, Shopping, Streaming - in der Wette, dass das Opfer dasselbe Passwort wiederverwendet hat.
Die zentrale Erkenntnis: Der Angreifer rät nicht. Er testet echte Zugangsdaten, die bereits irgendwo funktioniert haben. Die Stärke Ihres Passworts ist irrelevant, wenn Sie es auf einer Seite wiederverwendet haben, die gehackt wurde.
Credential Stuffing vs. Brute Force
Beide werden oft verwechselt, doch in der Methode sind sie Gegensätze:
- Brute Force errät Passwörter aus dem Nichts und probiert Kombinationen, bis eine funktioniert. Ein langes, zufälliges, einzigartiges Passwort wehrt es ab, weil der Suchraum astronomisch groß ist.
- Credential Stuffing rät überhaupt nicht. Es verwendet Passwörter, von denen bereits bekannt ist, dass sie echt sind, gesammelt aus Datenlecks. Ein starkes Passwort bietet keinen Schutz, wenn es irgendwo wiederverwendet wurde, das geleakt wurde.
Deshalb ist die mit Abstand wichtigste Verteidigung gegen Stuffing nicht die Stärke des Passworts - es ist seine Einzigartigkeit.
Wie Angreifer es im großen Maßstab durchführen
Stuffing ist industrialisiert. Angreifer laden Combo-Listen mit Millionen geleakter Paare in automatisierte Werkzeuge und leiten die Anmeldeversuche dann durch Botnetze, die sich über Tausende von IP-Adressen erstrecken, um Ratenbegrenzungen und Erkennung zu umgehen. Die Erfolgsquoten pro Liste sind winzig - oft deutlich unter 1 % -, aber gegen Millionen von Zugangsdaten bedeutet selbst ein Bruchteil Tausende kompromittierter Konten. Das Rohmaterial stammt aus dem stetigen Strom von Datenlecks, deren Daten gekauft, gehandelt oder öffentlich veröffentlicht werden.
So stoppen Sie es
Drei Schichten legen Credential Stuffing lahm:
- Ein einzigartiges Passwort pro Konto. Das ist die zentrale Lösung - das Leck einer Seite kann niemals eine andere entsperren. Kein Mensch kann sich Hunderte einzigartiger Passwörter merken, also lassen Sie einen Passwort-Manager sie erstellen und speichern.
- Zwei-Faktor-Authentifizierung. Selbst wenn ein Passwort geleakt wird, bedeutet 2FA (eine Authenticator-App oder ein Hardware-Schlüssel), dass das gestohlene Passwort allein nicht zum Einloggen genügt.
- Datenleck-Bewusstsein. Prüfen Sie, ob Ihre Konten in bekannten Datenlecks auftauchen, und ändern Sie sofort alle wiederverwendeten Passwörter.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Ein einzigartiges Passwort für jedes Konto → NordPassZero-Knowledge-Tresor · Erstellt ein einzigartiges Passwort pro Seite · Integrierter Datenleck-Scanner & 2FA-Unterstützung→
Für die Grundbausteine sehen Sie sich an, wie man ein starkes Passwort erstellt, warum Passwort-Manager sicher sind, um ihnen alle anzuvertrauen, und was zu tun ist, wenn ein Konto bereits gehackt wurde.
Das Fazit
Credential Stuffing verwandelt ein geleaktes Passwort in viele gekaperte Konten - und es schlägt selbst starke Passwörter, wenn sie wiederverwendet werden. Die Lösung ist strukturell, nicht heldenhaft: ein einzigartiges Passwort pro Seite (über einen Manager), damit ein einzelnes Datenleck eingedämmt bleibt, plus 2FA, damit ein geleaktes Passwort allein eine Sackgasse ist. Bringen Sie diese beiden in Stellung, und der häufigste Kontoübernahme-Angriff von 2026 funktioniert bei Ihnen schlicht nicht mehr.
Redaktioneller Leitfaden basierend auf dokumentierten Credential-Stuffing-Techniken (Combo-Listen, botnetzverteilte Anmeldeversuche) und Standardverteidigungen (einzigartige Zugangsdaten, 2FA, Datenleck-Überwachung). Wir unterscheiden Stuffing klar von Brute Force. Kommerzielle Links tragen das Attribut rel="sponsored nofollow"; eine Affiliate-Provision kann anfallen, ohne dass Ihnen zusätzliche Kosten entstehen.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Sichere deine Konten ab → NordPassStarke, einzigartige Passwörter · Leck-Scanner · Gratis-Tarif→Häufig gestellte Fragen
Was ist Credential Stuffing?
Credential Stuffing ist ein Angriff, bei dem Kriminelle Listen mit Benutzernamen und Passwörtern, die aus dem Datenleck einer Website stammen, nehmen und mit automatisierten Werkzeugen dieselben Paare auf vielen anderen Seiten ausprobieren - Banken, E-Mail, Shopping, soziale Medien. Es funktioniert, weil so viele Menschen dasselbe Passwort über mehrere Konten hinweg wiederverwenden: Ein geleaktes Login wird zum Generalschlüssel für alles andere, das es teilt. Der Angreifer rät nicht; er spielt echte Zugangsdaten in gewaltigem Umfang erneut ab.
Wie unterscheidet sich Credential Stuffing von Brute Force?
Ein Brute-Force-Angriff errät Passwörter von Grund auf - er probiert Kombinationen, bis eine funktioniert - sodass ein langes, zufälliges Passwort ihn abwehrt. Credential Stuffing rät nicht; es spielt Passwörter ab, von denen bereits bekannt ist, dass sie echt sind, gesammelt aus einem früheren Datenleck. Das bedeutet, dass selbst ein starkes Passwort gegen Stuffing nutzlos ist, wenn Sie es irgendwo wiederverwendet haben, das geleakt wurde. Die Verteidigung ist eine andere: Brute Force wird durch Stärke besiegt, Stuffing durch Einzigartigkeit.
Wie führen Angreifer Credential Stuffing im großen Maßstab durch?
Sie speisen riesige „Combo-Listen“ aus geleakten E-Mail-Passwort-Paaren in automatisierte Werkzeuge und Botnetze ein, die die Anmeldeversuche über Tausende von IP-Adressen verteilen, um Ratenbegrenzungen und Erkennung zu umgehen. Die Erfolgsquoten pro Liste sind gering - oft deutlich unter 1 % -, aber wenn eine Liste Millionen von Paaren enthält, liefert selbst ein winziger Prozentsatz viele gekaperte Konten. Die geleakten Zugangsdaten werden nach Datenlecks gekauft, gehandelt oder öffentlich veröffentlicht.
Wie schütze ich mich vor Credential Stuffing?
Drei Dinge stoppen es eiskalt. Erstens: Verwenden Sie für jedes Konto ein einzigartiges Passwort, damit das Leck eines niemals ein anderes entsperrt - ein Passwort-Manager erstellt und speichert sie. Zweitens: Aktivieren Sie die Zwei-Faktor-Authentifizierung (eine Authenticator-App oder ein Hardware-Schlüssel), sodass ein gestohlenes Passwort allein nicht zum Einloggen ausreicht. Drittens: Prüfen Sie, ob Ihre Konten in bekannten Datenlecks auftauchen, und ändern Sie sofort alle wiederverwendeten Passwörter. Einzigartigkeit plus 2FA besiegt Stuffing, selbst wenn Ihr Passwort geleakt wird.
Stoppt die Zwei-Faktor-Authentifizierung Credential Stuffing?
Sie stoppt die überwältigende Mehrheit davon. Credential Stuffing setzt darauf, dass ein Passwort zum Einloggen ausreicht; mit aktivierter 2FA kommt ein Angreifer, der Ihr korrektes Passwort hat, ohne den zweiten Faktor trotzdem nicht hinein. App-basierte oder Hardware-Schlüssel-2FA ist am stärksten; SMS-Codes sind besser als nichts, können aber abgefangen werden. Kombiniert mit einzigartigen Passwörtern verwandelt 2FA eine geleakte Zugangsdatenkombination von einer Kontoübernahme in eine harmlose Sackgasse.
