Password Spraying probiert wenige verbreitete Passwörter über sehr viele Konten hinweg – so unterläuft der Angriff Sperren, die nur viele Fehlversuche je Konto erkennen.
Password Spraying ist eine Spielart des Passwort-Ratens, die bewusst die üblichen Schutzmechanismen umgeht. Statt viele Passwörter gegen ein einzelnes Konto zu testen – was schnell zu einer Sperre führt –, probiert der Angreifer wenige, besonders verbreitete Passwörter gegen eine große Zahl von Konten. Pro Konto fällt nur ein einziger Fehlversuch an, der keine Sperre auslöst; über tausend Konten hinweg genügt aber eine geringe Trefferquote, um gültige Zugänge zu finden. Klassiker wie „Firmenname2026!“ oder „Willkommen01“ erfüllen oft sogar die Komplexitätsregeln.
In MITRE ATT&CK ist Password Spraying als Unter-Technik von Brute Force erfasst (T1110.003). Der Unterschied zum Credential Stuffing: Spraying rät plausible Passwörter breit, Stuffing verwendet bereits bekannte echte Passwörter gezielt. Beide zielen auf nach außen erreichbare Anmeldungen, besonders auf Entra ID und andere Cloud-Identitätsdienste.
So funktioniert es
- Konten sammeln: Gültige Benutzernamen ergeben sich aus dem E-Mail-Schema (vorname.nachname), aus OSINT oder aus Fehlermeldungen, die existierende Konten verraten.
- Passwörter wählen: Saisonale Muster, Firmenbezüge und die häufigsten Passwörter aus Statistiken – angepasst an die Passwortrichtlinie des Ziels.
- Langsam sprühen: Ein Versuch je Konto, dann eine Pause von Stunden, um Schwellenwerte und Sperren zu unterlaufen („low and slow“). Die Anfragen verteilen sich über viele Quelladressen.
- Treffer verwerten: Ein gültiges Konto ohne zweiten Faktor ist ein unmittelbarer Erstzugriff.
Besonders anfällig sind ältere Protokolle, die keine moderne Authentifizierung unterstützen und MFA umgehen, sowie Konten, die von Conditional-Access-Regeln ausgenommen wurden.
Bedeutung für Unternehmen
Password Spraying ist deshalb gefährlich, weil es an der Lücke zwischen Richtlinie und Realität ansetzt: Ein Passwort kann regelkonform und trotzdem leicht zu raten sein. Der verbreitete Fehler ist, die Erkennung nur auf viele Fehlversuche je Konto auszurichten – genau das, was Spraying vermeidet. Erkennbar wird der Angriff nur über die Gesamtsicht: viele einzelne Fehlversuche über viele Konten, verteilt über Zeit und Quellen.
In unseren Einsätzen gegen Cloud-Identitäten ist Password Spraying ein zuverlässiger Einstieg, solange auch nur einzelne Konten ohne starke MFA existieren. Unser Ratgeber Cloud Red Teaming und Identitäten beschreibt, warum die Identitätsebene heute die wichtigste Angriffsfläche ist.
Schutz und Prüfung
- Phishing-resistente MFA ohne Ausnahmen: Jede unausgenommene Anmeldung schließt die Lücke, die Spraying ausnutzt.
- Alte Protokolle abschalten: Legacy-Authentifizierung deaktivieren, die MFA umgeht; nur moderne Authentifizierung zulassen.
- Verbotene Passwörter: Firmenbezogene und verbreitete Passwörter per Sperrliste ausschließen; lange Passphrasen statt starrer Komplexität fördern.
- Erkennung über die Gesamtsicht: Fehlversuche kontenübergreifend korrelieren, Conditional Access mit Risikobewertung nutzen.
- Regelmäßig prüfen: Ein Penetrationstest gegen die externen Anmeldungen deckt schwache Passwörter und unausgenommene Konten auf, bevor ein Angreifer sie findet.