Credential Stuffing: Definition, Ablauf und Schutz

Definition: Credential Stuffing ist eine Cyberangriffstechnik, bei der gestohlene Anmeldeinformationen verwendet werden, um auf Konten zuzugreifen. Angreifer nutzen dabei automatisierte Tools, um große Mengen an Benutzername-Passwort-Paaren zu testen und sich somit Zugang zu Konten zu verschaffen.

Was ist Credential Stuffing?

„Credentials“ sind Zugangsdaten, „Stuffing“ heißt so viel wie Hineinstopfen. Beim Credential Stuffing „stopfen“ Angreifer gestohlene Zugangsdaten massenhaft in fremde Anmeldemasken.

Der Angriff nutzt eine menschliche Schwäche aus: Viele Menschen verwenden dasselbe Passwort für mehrere Dienste. Wird ein Online-Shop gehackt, sind damit oft auch das E-Mail-Konto, das Firmenportal oder das Bankkonto in Gefahr.

So läuft ein Angriff ab

Zugangsdaten beschaffen: Angreifer kaufen oder laden Listen mit E-Mail-Adressen und Passwörtern aus früheren Datenlecks. Solche Sammlungen heißen Combo-Listen und kursieren in Foren und im Darknet.
Ziel auswählen: Interessant sind Dienste mit Wert, etwa Online-Shops, Streaming-Konten, Banken oder Firmenzugänge wie VPN und E-Mail.
Automatisiert testen: Bots probieren die Paare in großer Zahl aus. Sie verteilen die Versuche auf viele IP-Adressen und ahmen echte Browser nach, um nicht aufzufallen.
Treffer ausnutzen: Funktionierende Konten werden übernommen, weiterverkauft oder für Betrug genutzt.

Ein Beispiel: Ein Mitarbeiter nutzt für ein Fitness-Portal dasselbe Passwort wie für sein Firmenkonto. Das Portal wird gehackt, die Daten landen in einer Combo-Liste. Wochen später meldet sich ein Bot mit genau diesen Daten am Webmail des Unternehmens an. Ohne MFA ist der Angreifer jetzt im Postfach.

Selbst eine niedrige Trefferquote lohnt sich für Angreifer. Bei Millionen getesteter Paare bleiben genug funktionierende Konten übrig.

Credential Stuffing, Brute Force und Password Spraying

Credential Stuffing: echte, geleakte Paare aus Benutzername und Passwort werden bei anderen Diensten ausprobiert.
Brute Force: Passwörter werden durch systematisches Durchprobieren erraten.
Password Spraying: wenige, häufige Passwörter werden bei vielen Konten getestet, um Kontosperren zu umgehen.

Gemeinsam ist allen drei Angriffen: Sie zielen auf die Anmeldung. Die OWASP Top 10 führen diese Schwächen unter „A07:2025 Authentication Failures“. Mehr dazu unter OWASP Top 10.

Folgen für Unternehmen und Nutzer

Kontoübernahme: Angreifer handeln im Namen des Opfers, lesen E-Mails oder ändern Daten.
Betrug: Bestellungen, Überweisungen oder das Einlösen von Gutscheinen und Bonuspunkten.
Einstieg ins Firmennetz: Ein übernommener Firmenzugang kann der erste Schritt zu einem größeren Angriff sein, etwa mit Ransomware.
Datenschutzvorfall: Werden personenbezogene Daten abgerufen, kann eine Meldepflicht nach DSGVO entstehen.
Kosten und Ruf: Support-Aufwand, Rückerstattungen und verlorenes Vertrauen der Kunden.

Credential Stuffing erkennen

Achten Sie auf diese Warnzeichen in Ihren Anmeldeprotokollen:

viele fehlgeschlagene Anmeldungen für unterschiedliche Konten in kurzer Zeit
Anmeldeversuche für Benutzernamen, die es bei Ihnen gar nicht gibt
Zugriffe von vielen wechselnden IP-Adressen, oft aus Rechenzentren oder fremden Ländern
ungewöhnliche Uhrzeiten, Geräte oder Browser-Merkmale
ein plötzlicher Anstieg von Passwort-Zurücksetzungen und Kundenbeschwerden

Dafür müssen Anmeldungen zentral protokolliert und ausgewertet werden. Siehe Security Logging und Monitoring.

Schutzmaßnahmen gegen Credential Stuffing

Für Unternehmen und Betreiber

Multi-Faktor-Authentifizierung: Das gestohlene Passwort allein reicht dann nicht mehr. Führen Sie MFA mindestens für Admin-Konten und Zugänge von außen ein, besser für alle.
Passkeys: Sie ersetzen das Passwort durch ein Schlüsselpaar auf dem Gerät. Es gibt nichts mehr, das geleakt und anderswo ausprobiert werden kann.
Geleakte Passwörter sperren: Prüfen Sie neue Passwörter gegen Listen bekannter geleakter Passwörter. Das empfiehlt auch die NIST-Richtlinie SP 800-63B.
Anmeldeversuche begrenzen: Rate Limiting und schrittweise Verzögerungen bremsen Bots aus.
Bots erkennen: Gerätemerkmale, Verhaltensanalyse und, bei Auffälligkeiten, ein CAPTCHA.
Auffällige Anmeldungen prüfen: Bei neuen Geräten oder Orten eine zusätzliche Bestätigung verlangen und den Nutzer informieren.
Eigene Leaks überwachen: Tauchen Zugangsdaten Ihrer Mitarbeitenden auf, setzen Sie die Passwörter zurück. Siehe Dark Web Monitoring.

Für Nutzer

Für jedes Konto ein eigenes Passwort verwenden
Einen Passwort-Manager nutzen, der lange, zufällige Passwörter erzeugt
MFA oder Passkeys aktivieren, wo immer es geht
Nach einer Meldung über ein Datenleck das Passwort sofort ändern

Anmeldung auf Schwachstellen prüfen

Ob Ihre Anmeldung gegen Credential Stuffing gewappnet ist, zeigt ein Test. In einem Penetrationstest prüfen Fachleute unter anderem, ob Anmeldeversuche begrenzt werden, ob MFA umgangen werden kann und ob Fehlermeldungen verraten, welche Benutzernamen existieren.

Fazit

Credential Stuffing nutzt aus, dass viele Menschen Passwörter mehrfach verwenden. Ein einziges Datenleck reicht, um Konten bei ganz anderen Diensten zu gefährden. Den besten Schutz bieten MFA oder Passkeys, gesperrte Leak-Passwörter, Bot-Abwehr und eine gute Überwachung der Anmeldungen.

Häufige Fragen zu Credential Stuffing

Was ist Credential Stuffing einfach erklärt?

Beim Credential Stuffing probieren Angreifer gestohlene Kombinationen aus Benutzername und Passwort automatisiert bei vielen anderen Diensten aus. Das klappt, weil viele Menschen dasselbe Passwort mehrfach verwenden. Ein Leck bei einem Dienst gefährdet so Konten bei ganz anderen Diensten.

Was ist der Unterschied zwischen Credential Stuffing und Brute Force?

Bei einem Brute-Force-Angriff raten Angreifer Passwörter, indem sie sehr viele Kombinationen durchprobieren. Beim Credential Stuffing raten sie nicht. Sie nutzen echte Zugangsdaten aus früheren Datenlecks. Deshalb brauchen sie viel weniger Versuche pro Konto.

Was ist der Unterschied zu Password Spraying?

Beim Password Spraying testen Angreifer wenige, sehr häufige Passwörter wie „Sommer2025!“ bei vielen Konten. Beim Credential Stuffing testen sie für jedes Konto das Passwort, das zu genau diesem Benutzernamen in einem Leck aufgetaucht ist.

Woran erkennt man einen Credential-Stuffing-Angriff?

Typische Zeichen sind viele fehlgeschlagene Anmeldungen für unterschiedliche Konten in kurzer Zeit, Anmeldeversuche für Benutzernamen, die es gar nicht gibt, und Zugriffe von vielen wechselnden IP-Adressen. Auch ein plötzlicher Anstieg von Passwort-Zurücksetzungen kann ein Hinweis sein.

Schützt MFA vor Credential Stuffing?

MFA ist eine der wirksamsten Schutzmaßnahmen. Das gestohlene Passwort allein reicht dann nicht mehr. Am stärksten sind Passkeys, weil es dort gar kein wiederverwendbares Passwort gibt. Einfache Codes per SMS oder App lassen sich durch Phishing aber teils noch abfangen.

Was sollten Nutzer tun, wenn ihr Passwort geleakt wurde?

Sie sollten das Passwort sofort bei dem betroffenen Dienst ändern und überall dort, wo sie es ebenfalls verwendet haben. Für jedes Konto gehört ein eigenes Passwort, am besten aus einem Passwort-Manager. Wo möglich, sollten sie MFA oder Passkeys aktivieren.

Weitere Begriffe in „Penetrationstests“

Alle Begriffe zum Thema „Penetrationstests“ →