--- id: CP-036 slug: credential-stuffing-wiederverwendete-zugangsdaten lang: de title: Credential Stuffing description: Bei einem Datenleck gestohlene Passwörter werden von Bots bei anderen Diensten ausprobiert. So funktioniert der Angriff, so schützen Sie sich. canonical_url: https://startbrain.io/cyberpedia/de/articles/credential-stuffing-wiederverwendete-zugangsdaten/ markdown_url: https://startbrain.io/cyberpedia/de/articles/credential-stuffing-wiederverwendete-zugangsdaten.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Credential Stuffing“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/credential-stuffing-wiederverwendete-zugangsdaten/ (CC BY 4.0) wing: 1 theme: master_passwords reflex: cr-008 schema: G3 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/credential-stuffing-wiederverwendete-zugangsdaten/ fr: https://startbrain.io/cyberpedia/fr/articles/credential-stuffing-reinjection-identifiants/ en: https://startbrain.io/cyberpedia/en/articles/credential-stuffing-leaked-passwords/ es: https://startbrain.io/cyberpedia/es/articles/credential-stuffing-reutilizacion-credenciales/ sources: - "n": 1 title: Credential stuffing | OWASP Foundation publisher: OWASP url: https://community.owasp.org/attacks/Credential_stuffing accessed: "2026-11-03" - "n": 2 title: "Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/004/ accessed: "2026-11-03" - "n": 3 title: Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1110/ accessed: "2026-11-03" - "n": 4 title: Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/ accessed: "2026-11-03" - "n": 5 title: Pourquoi et comment bien gérer ses mots de passe ? publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe published: "2019-11-23" accessed: "2026-11-03" - "n": 6 title: Les conseils de la CNIL pour un bon mot de passe publisher: CNIL url: https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe published: "2017-01-26" accessed: "2026-11-03" - "n": 7 title: Choosing and Protecting Passwords publisher: CISA url: https://www.cisa.gov/news-events/news/choosing-and-protecting-passwords published: "2009-05-21" accessed: "2026-11-03" - "n": 8 title: Password administration for system owners publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/passwords published: "2018-11-19" accessed: "2026-11-03" --- # Credential Stuffing Credential Stuffing, auf Französisch „réinjection d'identifiants“, bedeutet: Benutzername-Passwort-Paare, die bei einem Datenleck gestohlen wurden, werden automatisiert bei anderen Websites ausprobiert. OWASP beschreibt es als das automatisierte Einspeisen solcher Paare in Anmeldeformulare, um sich betrügerisch Zugang zu Konten zu verschaffen [1]. Beschäftigte müssen dafür keinen Fehler machen: Ihr Konto wurde nicht direkt angegriffen. Es genügt, dass ein Passwort, das bei einer unwichtigen Website verwendet wurde, auch an anderer Stelle gilt, etwa beim dienstlichen E-Mail-Postfach. ## In 30 Sekunden - Wo es vorkommt: bei jedem Dienst mit Anmeldeformular, auch bei E-Mail-Postfächern, Online-Anwendungen des Unternehmens und Single-Sign-on-Portalen [1][2]. - Was der Angreifer will: unter gestohlenen Zugangsdaten-Paaren diejenigen finden, die ein echtes Konto öffnen, und dabei auf die Wiederverwendung von Passwörtern setzen [1][2]. - Der Reflex: für jeden Dienst ein eigenes Passwort, aufbewahrt in einem Passwortmanager, dazu die Zwei-Faktor-Authentifizierung, wo es sie gibt [5][6]. - Wenn es schon passiert ist: das betroffene Passwort sofort ändern [5]. ## Direkte Fragen ### Worin unterscheidet sich das von Brute Force? Brute Force probiert mehrere Passwörter bei einem oder mehreren Konten aus: Der Angreifer rät. Credential Stuffing verwendet bereits bekannte Paare aus einem Datenleck bei anderen Websites [1]. OWASP ordnet es als Teilmenge von Brute Force ein, und MITRE führt es als Subtechnik T1110.004 der Technik „Brute Force“ [1][2]. ### Warum funktioniert das? Weil viele Menschen dasselbe Passwort und denselben Benutzernamen oder dieselbe E-Mail-Adresse mehrfach verwenden. Sind diese Daten einmal offengelegt, kann es genügen, sie bei Dutzenden oder Hunderten anderer Websites einzugeben, um dort Konten zu kompromittieren [1]. MITRE ergänzt, dass die Wiederverwendung private und dienstliche Konten gleichermaßen betrifft [2]. ### Mein Passwort ist lang und komplex: Bin ich sicher? Nein, wenn es an mehreren Stellen verwendet wird. Laut CISA gefährdet die Wiederverwendung eines Passworts, selbst eines starken, die Konten genauso wie ein schwaches Passwort [7]. Länge schützt vor dem Erraten, nicht vor der Wiederverwendung eines bereits gestohlenen Passworts. ### Ist ein wiederverwendetes Passwort der einzige Zugang? Nein. OWASP weist darauf hin, dass Daten aus Lecks auch dazu dienen, Passwörter zurückzusetzen, vor allem bei Unternehmenskonten: Sicherheitsfragen, Wiederherstellungsadressen oder andere persönliche Informationen aus dem Leck ermöglichen dann eine Übernahme auch ohne Wiederverwendung [1]. ### Kann ein übernommenes Konto noch anderweitig dienen? Ja. Mit einem gültigen Konto lässt sich ohne Schadsoftware in das Netzwerk eindringen, wodurch die Anwesenheit des Angreifers schwerer zu erkennen ist [4]. ## In der Haut des Angreifers Der Angreifer beschafft sich zunächst Zugangsdaten: aus dem Leck einer Website, durch Phishing oder über eine Website, auf der Passwörter veröffentlicht werden [1]. Er muss nichts gegen eine bestimmte Person haben. CISA merkt an, dass ein Angriff oft nicht auf ein bestimmtes Konto zielt, sondern auf den Zugang, den es für einen umfassenderen Angriff bietet [7]. Danach übergibt er diese Paare an automatische Werkzeuge, die sie bei vielen Websites ausprobieren: soziale Netzwerke, Online-Shops, Webanwendungen [1]. Eine erfolgreiche Anmeldung zeigt ihm, dass er gültige Zugangsdaten besitzt [1]. Dann geht es darum, daraus Nutzen zu ziehen. OWASP nennt vier mögliche Folgen: Konten um ihren gespeicherten Wert erleichtern oder Einkäufe tätigen, sensible Informationen lesen (Kartennummern, private Nachrichten, Dokumente), Phishing-Nachrichten oder Spam vom Konto aus versenden, die gültigen Zugangsdaten an andere Angreifer weiterverkaufen [1]. MITRE hebt hervor, dass dieses Verfahren je nach Richtlinie der betroffenen Organisation viele fehlgeschlagene Anmeldungen und Kontosperrungen auslösen kann [2]. Verteidiger wiederum können riskante Anmeldeanfragen blockieren, etwa solche, die über Anonymisierungsdienste oder Proxys laufen [2]. ## Was Sie auf dem Bildschirm sehen Das Opfer sieht den Angriff selbst selten. Es sieht seine Folgen, und die sind verschieden, je nachdem, was der Angreifer mit dem Konto vorhat. - Eine Nachricht des Dienstes über eine Anmeldung von einem unbekannten Gerät. Die CNIL beschreibt diesen Fall: Die Website warnt per SMS oder E-Mail, und die Person kann den Zugriff erlauben oder ablehnen [6]. - Ein gesperrtes Konto nach zahlreichen fehlgeschlagenen Anmeldungen. MITRE nennt solche Sperrungen als mögliche Folge [2]. - Einkäufe, Nachrichten oder Dokumente, die der Kontoinhaber weder getätigt noch versendet hat, denn das sind die von OWASP beschriebenen Verwendungen [1]. - Eine E-Mail zum Zurücksetzen des Passworts, die man nicht angefordert hat. Cybermalveillance.gouv.fr erklärt, warum das Postfach ins Visier gerät: Es erhält die Links zum Zurücksetzen der anderen Konten, und wer es knackt, kann über die Funktion „Passwort vergessen“ etwa ein Bankkonto übernehmen [5]. Keine dieser Situationen beweist für sich allein ein Credential Stuffing. Alle sind ein Grund, das Passwort zu ändern und die IT-Abteilung zu informieren, wenn es sich um ein dienstliches Konto handelt. ## Unter der Haube OWASP veranschaulicht den Mechanismus an einem Schema: Die Datenbank einer Website, acme.com, wird kompromittiert. Der Angreifer probiert diese Zugangsdaten bei drei anderen Websites aus. Er stellt fest, dass ein Benutzer, „spongebob“, sein Passwort bei zwei Websites wiederverwendet und eine Benutzerin, „sally“, ihres bei einer Website: Drei Konten werden geöffnet [1]. Die Ziele beschränken sich nicht auf Verbraucher-Websites. MITRE nennt Administrationsdienste an gängigen Ports (SSH, RDP, SMB, LDAP, Datenbanken), aber auch Single Sign-on, Cloud-Anwendungen auf Basis föderierter Protokolle und erreichbare Mailsysteme wie Office 365 [2]. Zur Erkennung beschreibt MITRE typische Signale: viele Fehlversuche mit unterschiedlichen Paaren von derselben IP-Adresse in kurzer Zeit oder Fehlversuche bei Cloud-Anwendungen mit Paaren aus voneinander unabhängigen Domänen [2]. Ein weiterer technischer Punkt: Kennt ein Angreifer das richtige Passwort, stößt aber auf eine ortsbasierte Zugangsregel, kann er die Infrastruktur wechseln, um dem Standort des Opfers zu entsprechen, und die Regel so umgehen [3]. Die Gegenmaßnahmen auf Seiten der Organisation laut MITRE: Konten nach einer bestimmten Zahl von Fehlversuchen sperren (eine zu strenge Regel kann legitime Konten blockieren), Multifaktor-Authentifizierung vorschreiben, bekannte Konten aus Lecks proaktiv zurücksetzen [2]. OWASP nennt die Multifaktor-Authentifizierung als wichtigste Gegenmaßnahme [1]. ## Was Sie tun - Für jeden Dienst ein eigenes Passwort. So ist bei einem Diebstahl nur der betroffene Dienst angreifbar [5]. Die CNIL verlangt für jedes sensible Konto (Bank, E-Mail, soziales Netzwerk) ein eigenes, einmaliges Passwort, um Kettenreaktionen bei Hackerangriffen zu vermeiden [6]. - Ein Passwortmanager, der sich für Sie lange und durchweg verschiedene Passwörter merkt [6]. Cybermalveillance.gouv.fr nennt KeePassXC, von der ANSSI in Version 2.7.9 zertifiziert [5]. Das Master-Passwort des Managers muss selbst stark sein [7]. - Die Zwei-Faktor-Authentifizierung, wenn der Dienst sie anbietet: Zusätzlich zum Passwort sorgt eine Bestätigung per Code, App, Schlüssel oder Biometrie dafür, dass nur Sie ein neues Gerät freigeben [5]. - Eine sofortige Änderung bei geringstem Verdacht oder sobald bekannt wird, dass ein Unternehmen, bei dem man ein Konto hat, gehackt wurde, ohne abzuwarten, ob es stimmt [5]. - Ein besonders starkes Passwort für das E-Mail-Postfach, da es das Zurücksetzen vieler anderer Konten ermöglicht [5]. Das britische NCSC erklärt zudem in einer Meldung vom 23. April 2026, Passkeys seien eine sicherere und einfachere Anmeldemethode und sollten für Privatpersonen die Standardoption sein [8]. ## Die Fallstricke - Zu glauben, ein „unwichtiges“ Konto spiele keine Rolle. Ein auf einer Nebenwebsite gestohlenes Passwort wird anderswo ausprobiert [1]. - Sich ein einziges gutes Passwort zu merken und es unverändert abzuwandeln. Das ist Wiederverwendung [7]. - Passwörter auf einem Notizzettel, im E-Mail-Postfach, in einer ungeschützten Datei oder im Telefon aufzubewahren [5]. - Passwörter im Browser eines gemeinsam genutzten Computers zu speichern [6]. ## Fallanalysen OWASP führt Datenlecks zusammen, die nach seiner Analyse auf Credential Stuffing zurückgehen. Hier vier davon, so wie OWASP sie wiedergibt [1]. ### Sony, 2011 Ein Analyst stellt fest, dass von den Nutzern, die sowohl in den Daten von Sony als auch in denen des früher im selben Jahr erfolgten Gawker-Lecks vorkamen, zwei Drittel auf beiden Systemen dasselbe Passwort hatten [1]. ### Yahoo, 2012 OWASP zitiert Troy Hunt, der die Lecks von Sony und Yahoo über eine Gemeinsamkeit verbindet: die Passwörter [1]. ### Dropbox, 2012 Dropbox gab an, die in der Presse erwähnten Benutzernamen und Passwörter seien bei anderen Diensten gestohlen worden, nicht bei Dropbox. Angreifer hätten sie anschließend auf Websites im ganzen Internet ausprobiert, darunter Dropbox [1]. ### JPMorgan Chase, 2014 Die Daten des Lecks enthielten Kombinationen aus Passwörtern und Adressen von Teilnehmern, die auf der Website Corporate Challenge registriert waren, einer Plattform für jährliche Wohltätigkeitsläufe, die ein externer Dienstleister betreibt und die Beschäftigten der Bank und anderer Unternehmen offensteht. OWASP stellt klar, dass dieses Leck aus einer anderen Quelle stammt: Angreifer nahmen eine Website für Läufe eines Dritten ins Visier, um daraus Zugangsdaten für Angriffe auf JPMC zu gewinnen [1]. ## Quellen 1. OWASP, „Credential stuffing | OWASP Foundation“. https://community.owasp.org/attacks/Credential_stuffing (abgerufen am 3. November 2026) 2. MITRE ATT&CK, „Brute Force: Credential Stuffing, Sub-technique T1110.004 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1110/004/ (abgerufen am 3. November 2026) 3. MITRE ATT&CK, „Brute Force, Technique T1110 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1110/ (abgerufen am 3. November 2026) 4. MITRE ATT&CK, „Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1078/ (abgerufen am 3. November 2026) 5. Cybermalveillance.gouv.fr, „Pourquoi et comment bien gérer ses mots de passe ?“, 23. November 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (abgerufen am 3. November 2026) 6. CNIL, „Les conseils de la CNIL pour un bon mot de passe“, 26. Januar 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (abgerufen am 3. November 2026) 7. CISA, „Choosing and Protecting Passwords“, 21. Mai 2009. https://www.cisa.gov/news-events/news/choosing-and-protecting-passwords (abgerufen am 3. November 2026) 8. NCSC (Royaume-Uni), „Password administration for system owners“, 19. November 2018. https://www.ncsc.gov.uk/collection/passwords (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/credential-stuffing-wiederverwendete-zugangsdaten/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.