Brute-Force-Angriffe – so gelangen Angreifer an Konten

Automatisierte Programme können in kurzer Zeit zahlreiche Anmeldedaten testen. Schwache oder mehrfach verwendete Passwörter erleichtern Angreifern den Zugang zu privaten Konten.

Lange, einzigartige Passwörter, Multi-Faktor-Authentifizierung und die Kontrolle von Anmeldeaktivitäten erschweren eine Kontoübernahme erheblich.

Lesen Sie dazu auch:
👉 PR Agent: Berlin mit großem Datencheck – für Hacker.
👉 The Sierks: Identitätsdiebstahl online – so schützen Sie sich.
👉 Shots Magazin: Car Hacking – so leicht lassen sich vernetzte Autos übernehmen.

Was ist ein Brute-Force-Angriff?

„Password123“ ist eine offensichtliche Schwachstelle. Doch auch persönlich wirkende Passwörter, etwa der Name eines Haustiers, der Geburtsort oder ein wichtiges Datum, können leichter zu erraten sein, als viele Nutzer vermuten.

Angreifer kombinieren solche Informationen mit automatisierten Programmen und testen unterschiedliche Varianten, bis ein Passwort funktioniert. Ein Brute-Force-Angriff ist eine Methode, bei der Passwörter und andere vertrauliche Anmeldedaten durch wiederholtes Ausprobieren ermittelt werden.

Zunächst identifizieren die Angreifer ein Ziel und sammeln mögliche Informationen wie Benutzername oder E-Mail-Adresse. Anschließend testen Programme zahlreiche Kombinationen, bis die richtigen Zugangsdaten gefunden sind oder alle verfügbaren Möglichkeiten ausgeschöpft wurden.

Brute-Force, Wörterbuchangriff, Credential Stuffing

Bei einem einfachen Brute-Force-Angriff werden naheliegende Passwörter ausprobiert. Wörterbuchangriffe arbeiten dagegen mit vorbereiteten Listen aus häufig verwendeten Begriffen und vorhersehbaren Formulierungen.

Hybride Angriffe ergänzen bekannte Wörter oder geleakte Passwörter um Zahlen, Sonderzeichen oder ausgetauschte Buchstaben. Beim Credential Stuffing verwenden Cyberkriminelle dann Benutzernamen und Passwörter aus früheren Datenlecks, um sich bei anderen Diensten anzumelden.

Diese Methode ist vor allem dann erfolgreich, wenn dasselbe Passwort für mehrere Konten genutzt wird. Beim Password Spraying testen Angreifer ein einzelnes häufiges Passwort bei vielen verschiedenen Benutzernamen, um Kontosperren nach mehreren Fehlversuchen zu umgehen.

Welche Folgen hat eine Kontoübernahme?

Erhalten Angreifer Zugang zu einem Konto, können sie persönliche Informationen aus E-Mails, Nachrichten, Fotos oder Dateien stehlen. Sie können außerdem Zahlungsdaten missbrauchen, Wiederherstellungsinformationen ändern oder schädliche Links an Kontakte des Betroffenen versenden.

Hervé Lambert, Global Consumer Operations Manager bei Panda Security, erklärt: „Brute-Force-Angriffe haben vor allem dann Erfolg, wenn Passwörter vorhersehbar sind, mehrfach verwendet werden oder die einzige Schutzbarriere eines Kontos darstellen.“

Und weiter: „Lange und einzigartige Passwörter erschweren automatisierte Anmeldeversuche erheblich. Multi-Faktor-Authentifizierung kann einen Angriff zusätzlich stoppen, selbst wenn das Passwort bereits bekannt ist. Ungewöhnliche Anmeldewarnungen sollten deshalb immer ernst genommen und sofort überprüft werden.“

Diese Warnzeichen sollten Nutzer beachten

Wiederholte Benachrichtigungen über fehlgeschlagene Anmeldungen können darauf hindeuten, dass jemand versucht, auf ein Konto zuzugreifen. Auch unerwartete Kontosperren, Anmeldeversuche von unbekannten Geräten oder Standorten und unaufgefordert versendete E-Mails zum Zurücksetzen des Passworts sind mögliche Warnsignale.

Unbekannte Änderungen am Passwort, an den Kontoeinstellungen oder an den Wiederherstellungsdaten sollten ebenfalls sofort untersucht werden.

Ein Konto ist nicht automatisch sicher, nur weil sich der Nutzer weiterhin anmelden kann. Ein Angreifer könnte bereits Zugriff erhalten haben, ohne das Passwort zu ändern.

Starkes Passwort allein reicht nicht aus

Ein sicheres Passwort sollte lang, schwer vorhersehbar und für jedes Konto einzigartig sein. Persönliche Informationen, die sich über soziale Netzwerke oder den digitalen Fußabdruck einer Person ermitteln lassen, sollten nicht verwendet werden. Ein Passwortmanager erleichtert die Erstellung und Verwaltung unterschiedlicher Zugangsdaten.

Zusätzlich sollte die Multi-Faktor-Authentifizierung aktiviert werden. Dabei ist neben dem Passwort ein weiterer Bestätigungsschritt erforderlich, beispielsweise ein Code oder eine Freigabe auf dem Smartphone. Selbst wenn ein Passwort erraten oder gestohlen wurde, reicht es allein nicht für den Zugriff auf das Konto aus.

Auch Anmeldebenachrichtigungen sollten regelmäßig geprüft werden. Brute-Force-Angriffe benötigen häufig mehrere Versuche, bevor sie erfolgreich sind. Ungewöhnliche Login-Aktivitäten können deshalb eine frühe Gelegenheit bieten, das Passwort zu ändern und das Konto zu sichern.

Sierks Media / PR Agent / © Foto: weerapat, de.depositphotos.com