Was ist Credential Stuffing?

Credential Stuffing ist eine Form des Cyber-Angriffs, bei der Bedrohungsakteure gesammelte Anmeldeinformationen wie Ihren Benutzernamen und Ihr Passwort verwenden, um sich auf betrügerische Weise Zugang zu Ihren Konten zu verschaffen. Im Gegensatz zu Brute-Force-Angriffen, bei denen Passwörter mit Hilfe von ‘Enzyklopädien’ gängiger Wortkombinationen erraten werden, werden beim Credential Stuffing bekannte gültige Passwörter aus Datenverletzungen verwendet.

Credential Stuffing unterscheidet sich auch von Credential Dumping. Während das Letztere gestohlene Anmeldeinformationen für den Zugriff auf Geräte im selben Netzwerk verwendet, fügt das Erstere gestohlene Benutzernamen- und Passwortpaare in verschiedene Konten ein, von denen bekannt ist, dass sie Ihnen gehören.

Wenn ein Hacker zum Beispiel weiß, dass Sie das Benutzername-Passwort-Paar A für Konto A verwenden, wird er dasselbe Paar A für die Konten B, C usw. benutzen. Dies macht deutlich, wie anfällig die Festlegung desselben Passworts für verschiedene Konten ist: Wenn sich ein Hacker Zugang zu Ihrem Passwort verschafft, sind alle Konten, die das gleiche Passwort verwenden, kompromittiert.

Wie funktioniert Credential Stuffing?

Credential Stuffing ist einer der häufigsten Cyber-Angriffe, auch weil es so einfach ist.

Sobald Cyber-Kriminelle in den Besitz Ihrer Anmeldeinformationen gelangt ist, sei es durch eine Datenschutzverletzung, einen Phishing-Angriff oder eine Passwort-Dump-Seite, werden sie die gestohlenen Anmeldeinformationen mithilfe automatisierter Tools mit allen bekannten Konten in Ihrem Besitz vergleichen. Wenn es ihnen gelingt, auf Ihr Konto zuzugreifen, verstehen sie, dass sie über gültige Anmeldeinformationen verfügen.

Von dort aus sind die Möglichkeiten endlos: Cyber-Kriminelle können diese gültigen Anmeldeinformationen nutzen, um andere bösartige Handlungen auszuführen, wie z. B. falsche Einkäufe zu tätigen, Ihre Kreditkarteninformationen und andere sensible Daten zu stehlen oder Ihr Konto zum Versenden von Phishing-E-Mails zu nutzen.

Ist Credential Stuffing effektiv?

Beim Credential Stuffing geht es mehr um Quantität als um Qualität. Ähnlich wie bei der Trial-and-Error-Methode, ist die Erfolgsquote geringer als bei gezielteren Angriffen wie Spear-Phishing. Dennoch ist es immer noch recht effektiv, wenn es um den Zugriff auf Hunderttausende von Benutzerkonten pro Jahr geht – vor allem, weil viele Menschen dasselbe Benutzername-Passwort-Paar für mehrere Konten verwenden.

Die Zahlen sprechen für sich: bei 14 % aller Datenschutzverletzungen werden Schwachstellen als erster Zugriffsschritt ausgenutzt, insbesondere mit schwachen oder bekannten Benutzernamen-Passwort-Paaren. (2024 Data Breach Investigations Report, Verizon). Noch beunruhigender ist, dass 93 % der Unternehmen im Jahr 2023 von zwei oder mehr identitätsbezogenen Verstößen berichten, wobei die Machine Identity (die auch Anmeldeinformationen umfasst) die riskanteste Identitätsart ist (Forbes, 2024).

Credential Stuffing ist nach wie vor eine große Bedrohung für die Cyber-Sicherheit, sowohl der Unternehmen als auch der Privatpersonen. Um die Bedrohung durch das Credential Stuffing zu verstehen, müssen Sie nur daran denken, wie viele Konten Sie besitzen, die denselben Benutzernamen und dasselbe Passwort verwenden, und dann überlegen Sie sich, wie viele Millionen Menschen dasselbe tun. Dies erklärt, warum im Jahr 2023 35.000 PayPal-Konten durch Credential Stuffing kompromittiert wurden und warum Okta seine Kunden vor neuen Credential Stuffing-Angriffen gewarnt hat.

Wie kann man Credential Stuffing erkennen?

Leider ist Credential Stuffing schwer zu erkennen. Diese Angriffe werden in der Regel über Botnets und andere automatisierte Tools ausgelöst, die gefälschte, doch legitim aussehende. Anforderungen stellen. Es kann schwierig sein, zwischen legitimen Anforderungen und Credential Stuffing-Angriffen zu unterscheiden. Ein verräterisches Anzeichen für einen Angriff ist jedoch, wenn Sie plötzlich Schwierigkeiten haben, sich bei Ihrem Konto anzumelden, selbst wenn Sie sicher sind, dass Sie über die richtigen Anmeldeinformationen verfügen.

Obwohl viele Webseiten Sie benachrichtigen, wenn ein verdächtiger Anmeldungsversuch unternommen wird, sollten Sie dennoch vorbeugende Maßnahmen ergreifen. So ist beispielsweise eine präventive Strategie zur Verwaltung von Anmeldeinformationen einfacher und kostengünstiger zu implementieren als der Versuch, eine Datenschutzverletzung zu beheben.

Wie verhindert man Credential Stuffing?

Eine der effektivsten Methoden, um Credential Stuffing vorzubeugen, ist die Verwendung eines einmaligen Passworts für jedes Konto, das Sie besitzen und benutzen. Ziehen Sie die Verwendung eines Passwort-Managers in Betracht, wenn Sie befürchten, Ihre Passwörter zu vergessen – und schreiben Sie Ihre Passwörter niemals auf ein Stück Papier, das leicht gestohlen werden kann. Üben Sie weitere gesunde Gewohnheiten aus, um Ihre Cyber-Sicherheit aufrechtzuerhalten, z. B:

• Aktivieren Sie die Multi-Faktor-Authentifizierung (MFA). Um auf ein System oder ein Konto zuzugreifen, müssen sich Benutzer:innen wegen MFA auf verschiedene Weisen identifizieren, z. B. durch Face-ID oder durch das Scannen des Fingerabdrucks.
• Führen Sie regelmäßig Schulungen zur Cybersicherheit durch. Es ist essenziell, dass alle Teammitglieder in Ihrem Unternehmen, nicht nur Ihr IT-Team, lernen, ihre Anmeldeinformationen zu schützen. Als Einzelperson können Sie ständig über die aktuellsten Cyber-Sicherheitsstrategien auf dem Laufenden bleiben.
• Erwägen Sie proaktiven IT-Support. Wenn Sie ein MSP sind, sollten Sie die Einführung eines engagierten IT-Supports für alle Ihre Endbenutzer:innen für den Fall einer Datenverletzung in Betracht ziehen.

NinjaOne minimiert das Risiko von Credential Stuffing

Durch den Passwort-Manager bietet NinjaOne einen nahtlosen, zuverlässigen und sicheren Weg zum Schutz Ihrer Anmeldeinformationen. Mit der Plattform können Sie Skripte ohne Probleme mit Endpunktberechtigungen ausführen und gleichzeitig die höchsten Rechte für das Patching mit der Auswahl von Domain-Admin-Anmeldeinformationen erhalten.

Sichern Sie sich Ihr kostenloses Angebot, testen Sie 14 Tage gratis, oder sehen Sie sich eine Demo an.