Wissen › Wie Profis hacken › Credential Stuffing & Password Spraying

Credential Stuffing & Password Spraying

Warum Angreifer heute selten Passwörter knacken, sondern einfach ausprobieren, was andere längst geleakt haben – und warum ein einziges schwaches Konto Millionen Datensätze öffnen kann.

Wie Profis hacken

Trainings-Lektion · Wie Profis hacken: Konten übernehmen Anmeldung nötig

Lies den Artikel und beantworte am Ende 9 Fragen. Erst wenn alle richtig beantwortet sind, ist die Lektion im Training erledigt und du bekommst 50 Punkte.

Zu den Fragen ↓

Der klassische Brute-Force-Angriff – jedes denkbare Passwort für ein Konto durchprobieren – ist laut und langsam. Profis gehen anders vor: Sie nutzen, was schon bekannt ist. Milliarden Kombinationen aus E-Mail-Adresse und Passwort kursieren aus früheren Datenlecks. Wer ein Passwort mehrfach verwendet, hat sein Konto damit oft schon verloren, bevor jemand es angreift.

Zwei Varianten, ein Prinzip

Technik	Vorgehen	Warum es funktioniert
Credential Stuffing	Listen mit E-Mail und Passwort aus alten Leaks werden automatisiert gegen andere Dienste ausprobiert – ein Versuch pro Konto.	Viele Menschen nutzen dasselbe Passwort auf mehreren Seiten. Ein Leck bei Dienst A öffnet Konten bei Dienst B.
Password Spraying	Wenige, häufige Passwörter („Sommer2024!“, „Firma123“) werden gegen sehr viele Konten probiert – jeweils nur ein- oder zweimal.	Kontosperren greifen erst nach mehreren Fehlversuchen pro Konto. Wer pro Konto nur einmal rät, bleibt darunter.

Beides ist kein Hacken im Filmsinn, sondern Statistik: Bei einer Trefferquote von einem Promille ergeben eine Million Versuche tausend übernommene Konten.

Warum das heute so gut funktioniert

Das Rohmaterial ist billig: Zugangsdaten aus Leaks und aus Infostealer-Infektionen werden in großen Mengen gehandelt.
Die Werkzeuge sind fertig: Skripte verteilen die Versuche, lösen einfache CAPTCHAs und erkennen, ob ein Login geklappt hat.
Die Versuche kommen von Millionen wechselnder IP-Adressen (siehe IP-Rotation & Residential Proxies). Sperren pro IP laufen damit ins Leere.
Ein übernommenes Konto ist selten das Ziel, sondern der Einstieg: Von dort aus geht es zu Daten anderer Nutzer, zu Admin-Rechten oder zu weiteren Systemen.

Fallbeispiel

◆ Echter Fall

23andMe (2023): 14.000 Konten, 6,9 Millionen Betroffene

Wann: bekannt seit Oktober 2023
Wen: 23andMe, Anbieter von Gentests mit rund 14 Millionen Kundinnen und Kunden
Folgen: Profildaten von rund 6,9 Millionen Menschen abgegriffen

1
Einstieg mit fremden Passwörtern
Die Angreifer meldeten sich mit Zugangsdaten an, die aus Leaks anderer Dienste stammten – laut Unternehmen bei rund 14.000 Konten, etwa 0,1 % aller Kunden. Die Systeme von 23andMe selbst wurden nach Angaben der Firma nicht kompromittiert.
2
Eine Funktion als Brücke
Über die Funktion „DNA Relatives“ sieht man Profile von Menschen, mit denen man DNA teilt. Aus den übernommenen Konten heraus lasen die Angreifer so rund 5,5 Millionen DNA-Relatives-Profile und etwa 1,4 Millionen Stammbaum-Profile aus.
3
Veröffentlichung und Folgen
Teile der Daten wurden in Foren angeboten. 23andMe setzte alle Passwörter zurück und machte die Zwei-Schritt-Anmeldung für alle Konten verpflichtend.

Die Lehre: Nicht das einzelne Konto war das Problem, sondern was ein Konto sehen durfte. Ein Login ohne zweiten Faktor reichte, um die Daten von Hunderten Verwandten mitzunehmen.

Spraying im Großformat: Microsoft 2024

Im Januar 2024 entdeckte Microsoft, dass die staatliche Gruppe Midnight Blizzard per Password Spraying in ein altes, nicht produktives Test-Konto gelangt war – ohne Zwei-Faktor-Anmeldung. Die Angreifer probierten nach Microsofts Angaben gezielt wenige Konten mit wenigen Versuchen, um nicht aufzufallen und keine Sperren auszulösen, und nutzten dafür Residential Proxies.

Von dort ging es über eine alte Test-Anwendung mit weitreichenden Rechten bis in E-Mail-Postfächer von Microsoft, darunter solche der Konzernleitung. Ein vergessenes Testkonto ohne MFA war der Anfang.

Woran du es erkennst

Viele fehlgeschlagene Logins über viele verschiedene Konten – jeweils nur wenige pro Konto.
Fehlversuche kommen von vielen IP-Adressen, oft aus Netzen von Privatkunden oder Mobilfunk.
Erfolgreiche Anmeldungen von ungewohnten Orten oder Geräten, kurz nach einer Welle von Fehlversuchen.
Login-Versuche für Konten, die es gar nicht gibt – ein Hinweis auf abgearbeitete Listen.

Was wirklich hilft

Zwei-Faktor-Anmeldung, am besten Passkeys oder Hardware-Schlüssel. Ein geleaktes Passwort allein reicht dann nicht mehr.
Grenzen pro Konto und global, nicht nur pro IP-Adresse.
Passwörter beim Setzen gegen bekannte Leaks prüfen (z. B. über die k-Anonymity-Schnittstelle von Have I Been Pwned).
Prüfen, was ein einzelnes Konto sehen kann: Funktionen, die Daten anderer Nutzer zeigen, vergrößern den Schaden jedes übernommenen Kontos.
Alte Test- und Service-Konten aufräumen oder genauso absichern wie echte.

◆ In TYPO3 beachten

Worauf du in TYPO3 achten musst

Backend und Frontend-Login von TYPO3 sind typische Ziele für beide Techniken.

Zwei-Faktor-Anmeldung vorschreiben

Seit TYPO3 11.1 gibt es MFA mit TOTP und Recovery-Codes. Mit $GLOBALS['TYPO3_CONF_VARS']['BE']['requireMfa'] lässt sie sich vorschreiben: 1 für alle Backend-Nutzer, 2 nur für Nicht-Admins, 3 nur für Admins, 4 nur für System-Maintainer. Per User-TSconfig (auth.mfa.required) geht das auch für einzelne Gruppen.

$GLOBALS['TYPO3_CONF_VARS']['BE']['requireMfa'] = 1;

Das Login-Limit kennt nur IP-Adressen

Seit TYPO3 11.3 bremst ein Rate-Limiter fehlgeschlagene Logins – standardmäßig 5 im Backend und 10 im Frontend je IP-Adresse in 15 Minuten. Gegen Spraying über wechselnde IP-Adressen hilft das kaum. Der wirksame Schutz ist der zweite Faktor.

Frontend-Logins nicht vergessen

Mitgliederbereiche mit felogin oder femanager sind für Credential Stuffing genauso interessant wie das Backend – vor allem, wenn eingeloggte Nutzer Daten anderer sehen können.

Trainings-Lektion abschließen

Lektion abschließen: 9 Fragen beantworten

Anmeldung nötig · +50 Pkt

Diese Lektion („Credential Stuffing & Password Spraying“) gilt im Training erst als erledigt, wenn du alle 9 Fragen zu diesem Artikel richtig beantwortet hast – von leicht bis knifflig. Dafür gibt es 50 Punkte. Dafür brauchst du ein Konto, damit dein Fortschritt gespeichert wird.

Anmelden & Fragen beantworten

Weiter im Wissen

IP-Rotation & Residential Proxies →Infostealer & Session-Diebstahl →Wie Angriffe funktionieren →

Interaktiv üben

In der Lernplattform probierst du das an einer echten, isolierten TYPO3-Instanz aus:

SQL-Injection im Gästebuch →

Quellen & weiterlesen

Jetzt interaktiv üben →