Was ist Credential Stuffing? So funktioniert es und so stoppen Sie es (2026)

Wenn Sie ein Passwort wiederverwenden und eine einzige Seite, auf der Sie es verwendet haben, gehackt wird, ist plötzlich jedes andere Konto, das dieses Passwort teilt, gefährdet — nicht durch Raten, sondern durch Credential Stuffing. Es ist eine der häufigsten Methoden, mit denen 2026 gewöhnliche Konten gekapert werden, und es funktioniert genau deshalb, weil die Wiederverwendung von Passwörtern so weit verbreitet ist. Dieser Leitfaden erklärt, was Credential Stuffing ist, wie es sich von Brute Force unterscheidet, wie Angreifer es im großen Maßstab durchführen und wie Sie es abstellen.

Was Credential Stuffing ist

Credential Stuffing ist ein Angriff, der bereits geleakte Benutzername-Passwort-Paare erneut abspielt gegen viele Websites. Wenn ein Dienst von einem Datenleck betroffen ist, werden die gestohlenen Logins in „Combo-Listen“ gesammelt und gehandelt. Angreifer verwenden dann automatisierte Werkzeuge, um jedes Paar auf Dutzenden anderer Seiten auszuprobieren — E-Mail, Banking, Shopping, Streaming — in der Wette, dass das Opfer dasselbe Passwort wiederverwendet hat.

Die zentrale Erkenntnis: Der Angreifer rät nicht. Er testet echte Zugangsdaten, die bereits irgendwo funktioniert haben. Die Stärke Ihres Passworts ist irrelevant, wenn Sie es auf einer Seite wiederverwendet haben, die gehackt wurde.

Credential Stuffing vs. Brute Force

Beide werden oft verwechselt, doch in der Methode sind sie Gegensätze:

• Brute Force errät Passwörter aus dem Nichts und probiert Kombinationen, bis eine funktioniert. Ein langes, zufälliges, einzigartiges Passwort wehrt es ab, weil der Suchraum astronomisch groß ist.
• Credential Stuffing rät überhaupt nicht. Es verwendet Passwörter, von denen bereits bekannt ist, dass sie echt sind, gesammelt aus Datenlecks. Ein starkes Passwort bietet keinen Schutz, wenn es irgendwo wiederverwendet wurde, das geleakt wurde.

Deshalb ist die mit Abstand wichtigste Verteidigung gegen Stuffing nicht die Stärke des Passworts — es ist seine Einzigartigkeit.

Wie Angreifer es im großen Maßstab durchführen

Stuffing ist industrialisiert. Angreifer laden Combo-Listen mit Millionen geleakter Paare in automatisierte Werkzeuge und leiten die Anmeldeversuche dann durch Botnetze, die sich über Tausende von IP-Adressen erstrecken, um Ratenbegrenzungen und Erkennung zu umgehen. Die Erfolgsquoten pro Liste sind winzig — oft deutlich unter 1 % —, aber gegen Millionen von Zugangsdaten bedeutet selbst ein Bruchteil Tausende kompromittierter Konten. Das Rohmaterial stammt aus dem stetigen Strom von Datenlecks, deren Daten gekauft, gehandelt oder öffentlich veröffentlicht werden.

So stoppen Sie es

Drei Schichten legen Credential Stuffing lahm:

1. Ein einzigartiges Passwort pro Konto. Das ist die zentrale Lösung — das Leck einer Seite kann niemals eine andere entsperren. Kein Mensch kann sich Hunderte einzigartiger Passwörter merken, also lassen Sie einen Passwort-Manager sie erstellen und speichern.
2. Zwei-Faktor-Authentifizierung. Selbst wenn ein Passwort geleakt wird, bedeutet 2FA (eine Authenticator-App oder ein Hardware-Schlüssel), dass das gestohlene Passwort allein nicht zum Einloggen genügt.
3. Datenleck-Bewusstsein. Prüfen Sie, ob Ihre Konten in bekannten Datenlecks auftauchen, und ändern Sie sofort alle wiederverwendeten Passwörter.

Für die Grundbausteine sehen Sie sich an, wie man ein starkes Passwort erstellt, warum Passwort-Manager sicher sind, um ihnen alle anzuvertrauen, und was zu tun ist, wenn ein Konto bereits gehackt wurde.

Das Fazit

Credential Stuffing verwandelt ein geleaktes Passwort in viele gekaperte Konten — und es schlägt selbst starke Passwörter, wenn sie wiederverwendet werden. Die Lösung ist strukturell, nicht heldenhaft: ein einzigartiges Passwort pro Seite (über einen Manager), damit ein einzelnes Datenleck eingedämmt bleibt, plus 2FA, damit ein geleaktes Passwort allein eine Sackgasse ist. Bringen Sie diese beiden in Stellung, und der häufigste Kontoübernahme-Angriff von 2026 funktioniert bei Ihnen schlicht nicht mehr.

Redaktioneller Leitfaden basierend auf dokumentierten Credential-Stuffing-Techniken (Combo-Listen, botnetzverteilte Anmeldeversuche) und Standardverteidigungen (einzigartige Zugangsdaten, 2FA, Datenleck-Überwachung). Wir unterscheiden Stuffing klar von Brute Force. Kommerzielle Links tragen das Attribut rel="sponsored nofollow"; eine Affiliate-Provision kann anfallen, ohne dass Ihnen zusätzliche Kosten entstehen.