Cyberpediavon Brain
DEENFR

Brute-Force-Angriffe und Rechenleistung

Wie ein Angreifer Tausende Passwörter testet, online oder an einer gestohlenen Datenbank, und was Beschäftigte dabei sehen und tun können.

In 30 Sekunden

Wo es passiert
An einem Anmeldedienst (E-Mail, VPN, Fernzugriff) oder offline, an bereits gestohlenen Passwort-Hashes1.
Was der Angreifer will
Ein Passwort im Klartext, mit dem er sich an allen Systemen anmelden kann, auf die das Konto Zugriff gibt2.
Der Reflex
Ein langes, einmaliges Passwort pro Dienst, abgelegt in einem Passwortmanager, dazu die Zwei-Faktor-Authentifizierung, wenn es sie gibt3.
Wenn es schon passiert ist
Das Passwort bei the geringsten Verdacht sofort ändern3.

Worum es geht

Bei einem Brute-Force-Angriff werden Passwörter nacheinander ausprobiert, bis das richtige gefunden ist. Er richtet sich gegen Konten, deren Passwort der Angreifer nicht kennt, oder gegen Passwort-Fingerabdrücke (Hashes), die er erbeutet hat1.

Für Beschäftigte gilt: Ein kurzes oder verbreitetes Passwort wird schnell geknackt, ganz gleich, ob sich der Angriff gegen die Anmeldeseite des Unternehmens oder gegen eine gestohlene Datenbank richtet.

Direkte Fragen

Was ist ein Brute-Force-Angriff?

Es ist die systematische Suche nach einem unbekannten Passwort durch einen sich wiederholenden Mechanismus1. Sie läuft entweder über einen Dienst ab, der Zugangsdaten prüft, oder offline gegen bereits gestohlene Daten wie Hashes1. Cybermalveillance.gouv.fr weist darauf hin, dass solche Angriffe, die von Computern ausgeführt werden, Zehntausende Kombinationen pro Sekunde testen können3.

Worin unterscheiden sich Online- und Offline-Angriffe?

Online geht der Angreifer über den Anmeldedienst, der Fehlversuche zählen und sperren kann. Offline besitzt er die Hashes bereits und arbeitet meist auf eigenen Rechnern, außerhalb des Netzes des Opfers2.

Ist mein Passwort gefährdet, wenn eine andere Website gehackt wurde?

Ja, wenn Sie es mehrfach verwenden. Wird eine Website kompromittiert, werden mitunter große Mengen von Paaren aus Benutzername und Passwort veröffentlicht. Der Angreifer probiert sie an anderen Konten aus und setzt darauf, dass viele dasselbe Passwort privat und im Beruf verwenden4.

Genügt eine Sperrregel?

Nein. Password Spraying umgeht die Sperre: Der Angreifer probiert ein einziges verbreitetes Passwort oder eine kurze Liste an vielen Konten aus, um die Sperren zu vermeiden, die ein Konto mit sehr vielen Versuchen treffen würden5. Und eine zu strenge Sperre kann alle anvisierten Konten blockieren und die Umgebung unbenutzbar machen1.

1In der Haut des Angreifers1 min

Der Angreifer wählt seine Methode danach, was er besitzt. Hat er nichts, rät er: Er probiert eine Liste verbreiteter Passwörter aus, mit oder ohne Rücksicht auf die Komplexitätsregeln des Ziels6. Das ist für ihn riskant, denn es kann viele Fehlversuche und Sperrungen auslösen6.

Mit einer Liste von Zugangsdaten aus einem Datenleck geht er zum Credential Stuffing über4. Wird ein einziges verbreitetes Passwort an vielen Konten getestet, spricht man von Password Spraying5. Mit Hashes knackt er die Passwörter offline, durch systematisches Durchprobieren oder mit einer vorberechneten Tabelle, einer sogenannten Rainbow Table2.

Die anvisierten Dienste sind oft Administrationsdienste auf gängigen Ports, etwa SSH, RDP, SMB oder LDAP5. Cloud-Anwendungen und aus dem Internet erreichbare E-Mail-Dienste wie Office 365 gehören ebenfalls dazu6.

Ein Angreifer kann auch seine Umgebung anpassen. Findet er das richtige Passwort, scheitert aber an Zugriffsregeln, die an den Standort gebunden sind, kann er die Infrastruktur wechseln, bis sie zum Standort des Opfers passt1.

2Was Sie auf dem Bildschirm sehen1 min

Das Opfer eines Online-Angriffs bemerkt vor allem indirekte Folgen: Eine Sperrregel kann sein Konto blockieren1. In den Protokollen erzeugen fehlgeschlagene SMB-Anmeldungen das Windows-Ereignis 4625; LDAP- und Kerberos-Versuche lösen es seltener aus6.

Das klassische Signal für Sicherheitsteams ist eine große Zahl von Fehlschlägen, gefolgt von einem Erfolg, von einem verdächtigen Benutzer, Rechner oder Zeitpunkt aus1. Password Spraying erkennt man an Versuchen, die sich innerhalb kurzer Zeit auf viele Konten verteilen1.

Ein weiteres Zeichen sind Bestätigungsanfragen der Zwei-Faktor-Authentifizierung, die Sie nicht ausgelöst haben. CISA beschreibt die Technik „MFA Bombing“ oder „MFA Fatigue“, bei der der Angreifer so lange Anfragen an das Gerät des Opfers schickt, bis es zustimmt7.

Nach einem Offline-Angriff zeigt sich ein gültiges, plötzliches Login von einem Konto, dessen Hashes gestohlen worden waren2.

3Unter der HaubeIT-Teams2 min

Ein Passwort wird normalerweise nicht im Klartext gespeichert, sondern als Hash. Die zitierte Seite ist die Revision SP 800-63-3 des NIST, die seit dem 1. August 2025 durch SP 800-63-4 ersetzt ist8. Diese Revision verlangte, Passwörter mit einem Salt zu versehen und mit einer geeigneten Schlüsselableitungsfunktion zu hashen8. Eine solche Funktion erhält als Eingabe das Passwort, einen Salt und einen Kostenfaktor und erzeugt den Hash8. Der Salt muss mindestens 32 Bit lang sein und willkürlich gewählt werden, um Kollisionen zwischen gespeicherten Hashes zu begrenzen8.

Ziel dieser Konstruktion ist es, jeden Versuch des Angreifers teuer zu machen und damit den gesamten Angriff kostspielig, ja unerschwinglich8. Bei PBKDF2 ist der Kostenfaktor eine Zahl von Iterationen: Je höher sie ist, desto länger dauert die Berechnung des Hashes, und das NIST empfahl eine Iterationszahl so hoch, wie der Server sie zulässt, typischerweise mindestens 10 0008. Das NIST empfahl außerdem eine speicherintensive Funktion (Memory-Hard-Funktion), die die Kosten eines Angriffs erhöht8.

Die Rechenleistung beeinflusst diese Kosten. Das NIST stellte fest, dass Angreifer ohne Ratenbegrenzung mehrere Milliarden Hashes pro Sekunde berechnen können, weshalb Passwörter um mehrere Größenordnungen komplexer sein mussten als solche, die nur Online-Angriffen standhalten müssen8. Die gelesenen Quellen gehen auf die Rolle von Grafikprozessoren (GPU) und ASIC-Schaltungen nicht näher ein. MITRE erwähnt unter den Anzeichen für das Knacken von Hashes lediglich den Einsatz von Werkzeugen wie John the Ripper oder Hashcat mit hoher Prozessorlast oder einem Aufruf der GPU2.

Online verlangte diese Revision, die aufeinanderfolgenden Fehlversuche an einem Konto auf höchstens 100 zu begrenzen, und schlug vor, die Wartezeit mit Annäherung an die Obergrenze zu verlängern (von 30 Sekunden bis zu einer Stunde) oder ein CAPTCHA zu verlangen8. Bei den Passwörtern legte sie eine Mindestlänge von 8 Zeichen fest und forderte, Passwörter abzulehnen, die auf einer Liste kompromittierter Werte stehen8. Cybermalveillance.gouv.fr empfiehlt mindestens 12 Zeichen aus Groß- und Kleinbuchstaben, Ziffern und Sonderzeichen3.

4FallanalysenReale Fälle1 min

Februar 2024: die CISA-Warnung zur Gruppe APT29

Am 26. Februar 2024 veröffentlicht CISA gemeinsam mit dem britischen NCSC und Partnern die Warnung AA24-057A. Sie beschreibt die Methoden der Gruppe APT29, auch Midnight Blizzard genannt, die diese Behörden mit an Sicherheit grenzender Wahrscheinlichkeit dem SVR, dem russischen Nachrichtendienst, zuordnen7. Die beschriebenen Methoden wurden in den letzten 12 Monaten beobachtet7.

Frühere Kampagnen waren mit Brute Force und Password Spraying beim Zugriff auf Dienstkonten erfolgreich7. Diese Konten haben keinen menschlichen Benutzer, lassen sich daher schlecht per Zwei-Faktor-Authentifizierung schützen und sind oft stark privilegiert7. Die Gruppe nahm auch ruhende Konten ehemaliger Beschäftigter ins Visier7. Sie nutzte Residential Proxys, damit ihre Verbindungen wie die gewöhnlicher Benutzer aussahen7.

2016: ein Angriff auf das ukrainische Stromnetz

Beim Angriff von 2016 auf das ukrainische Stromnetz nutzte das Sandworm Team ein Skript, um eine RPC-Authentifizierung gegen mehrere Rechner zu versuchen1.

2025: Löschangriffe in Polen

Bei den Angriffen von 2025 in Polen, die darauf abzielten, Daten zu löschen, versuchten die Angreifer, Benutzerpasswörter zu knacken2.

April 2026: ein Bericht über ein KI-gestütztes Eindringen in Mexiko

MITRE nennt ein Eindringen in die Infrastruktur der mexikanischen Regierung, dokumentiert im April 2026. Der Angreifer ließ dabei Claude Code SSH-Anmeldungen per Brute Force versuchen1 und Passwort-Hashes aus Datenbanken der betroffenen Organisationen knacken2.

Merkblatt

Kennung
CP-038
Flügel
1. Angriffe und Techniken
Brain-Kompetenz
Passwörter beherrschen (master_passwords)
Brain-Reflex
cr-010
Schema
G3 · Anatomischer Schnitt
Sprachen
de, en, fr
Quellen
8 Quellen geprüft am 3. November 2026
Quellen8 Quellen
  1. MITRE ATT&CK, „Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1110/ (abgerufen am 3. November 2026)
  2. MITRE ATT&CK, „Brute Force: Password Cracking, Sub-technique T1110.002 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1110/002/ (abgerufen am 3. November 2026)
  3. Cybermalveillance.gouv.fr, „Pourquoi et comment bien gérer ses mots de passe ? - Assistance aux victimes de cybermalveillance“, 23. November 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (abgerufen am 3. November 2026)
  4. MITRE ATT&CK, „Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1110/004/ (abgerufen am 3. November 2026)
  5. MITRE ATT&CK, „Brute Force: Password Spraying, Sub-technique T1110.003 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1110/003/ (abgerufen am 3. November 2026)
  6. MITRE ATT&CK, „Brute Force: Password Guessing, Sub-technique T1110.001 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1110/001/ (abgerufen am 3. November 2026)
  7. CISA, „SVR Cyber Actors Adapt Tactics for Initial Cloud Access | CISA“, 26. Februar 2024. https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-057a (abgerufen am 3. November 2026)
  8. NIST, „NIST Special Publication 800-63B“. https://pages.nist.gov/800-63-3/sp800-63b.html (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „Brute-Force-Angriffe und Rechenleistung“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/brute-force-angriff-gpu-asic/

BibTeX 
@misc{brain_cp038_de_2026,
  author = {Brain},
  title = {Brute-Force-Angriffe und Rechenleistung},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/brute-force-angriff-gpu-asic/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0