Credential Stuffing ist das automatisierte Ausprobieren erbeuteter Zugangsdaten aus Datenlecks bei anderen Diensten – es nutzt aus, dass viele Menschen Passwörter mehrfach verwenden.
Credential Stuffing ist ein Angriff, der eine einfache menschliche Gewohnheit ausnutzt: dass viele Menschen dasselbe Passwort bei mehreren Diensten verwenden. Der Angreifer besorgt sich große Listen aus Zugangsdaten, die bei Datenlecks anderer Anbieter erbeutet wurden – Kombinationen aus E-Mail-Adresse und Passwort –, und probiert sie automatisiert bei den Anmeldeseiten des Zielunternehmens durch. Er muss kein Passwort erraten; er setzt darauf, dass ein Mitarbeitender das private Passwort vom gehackten Online-Shop auch für den Firmenzugang nutzt.
Der Unterschied zu Password Spraying liegt in der Datengrundlage: Credential Stuffing verwendet echte, bereits bekannte Passwörter zu bestimmten Konten, Password Spraying rät verbreitete Passwörter über viele Konten hinweg. In MITRE ATT&CK ist beides unter „Brute Force“ (T1110) erfasst, Credential Stuffing speziell als T1110.004.
So funktioniert es
- Beschaffung: Zugangsdaten aus Datenlecks sind in einschlägigen Foren und über automatisierte Dienste frei oder günstig verfügbar; Info-Stealer liefern laufend Nachschub.
- Zuordnung: Der Angreifer gleicht die E-Mail-Domänen mit dem Zielunternehmen ab und filtert passende Konten heraus.
- Automatisiertes Durchprobieren: Bots testen die Kombinationen über verteilte Adressen, um Sperren und Ratenbegrenzungen zu umgehen; die Anfragen imitieren echte Browser.
- Verwertung: Jedes funktionierende Konto wird als Erstzugriff genutzt, für weitere Datenbeschaffung verwertet oder verkauft.
Betroffen sind vor allem nach außen erreichbare Anmeldungen: Webmail, VPN-Portale, Cloud-Dienste und Mitarbeiterportale. Gerade bei Cloud-Diensten, die naturgemäß aus dem Internet erreichbar sind, ist die Angriffsfläche groß.
Bedeutung für Unternehmen
Credential Stuffing kostet den Angreifer fast nichts und skaliert beliebig. Für Unternehmen bedeutet das: Jede Mehrfachverwendung eines Passworts durch Mitarbeitende ist ein potenzieller Zugang, unabhängig von der Passwortstärke. Laut Verizon DBIR 2025 war der Missbrauch von Zugangsdaten an 22 Prozent der Sicherheitsverletzungen beteiligt – Zugangsdaten sind damit eine der wichtigsten Einstiegsklassen überhaupt. Der zentrale Fehler vieler Organisationen ist, sich auf Passwortkomplexität zu verlassen, während der eigentliche Hebel die fehlende zweite Barriere ist.
In Penetrationstests gegen externe Dienste prüfen wir regelmäßig, ob bekannte Zugangsdaten aus Lecks noch funktionieren und ob die Anmeldeprozesse automatisierte Angriffe erkennen. Die Ergebnisse sind oft unbequem, weil sie zeigen, wie viele gültige Zugänge bereits im Umlauf sind.
Schutz und Prüfung
- Phishing-resistente MFA: Die wirksamste Einzelmaßnahme – ein erbeutetes Passwort allein genügt dann nicht mehr. Passkeys machen Passwörter ganz überflüssig.
- Abgleich mit Leak-Datenbanken: Passwörter gegen bekannte geleakte Listen prüfen und kompromittierte erzwungen zurücksetzen.
- Anomalie-Erkennung an der Anmeldung: Conditional Access, Erkennung unmöglicher Ortswechsel, Ratenbegrenzung und Sperren nach Fehlversuchen.
- Passwort-Manager fördern: Wer für jeden Dienst ein eigenes Passwort nutzt, ist gegen Credential Stuffing praktisch immun; Unternehmen sollten das aktiv unterstützen.
- Externe Angriffsfläche testen: Ein Penetrationstest der nach außen erreichbaren Anmeldungen zeigt, welche Konten gefährdet sind und ob Schutzmechanismen greifen.